trebam li prijaviti hacking ili curenje podataka svom naručitelju

Prijava klijentu je obično ugovorna, ne zakonska

Obaveza prijave u slučaju kibernetičkog incidenta većinom se nalazi u ugovoru s vašim klijentom, a ne izravno u zakonu. Članak 21. stavak 2. Direktive NIS2 obvezuje organizacije koje same padaju pod direktivu na reagiranje na incidente i na prijavu vlastitom nadzornom tijelu — to je niz od deset mjera koje vidite u gotovo svakoj listi pitanja. Ta obaveza prijave nadzornom tijelu razlikuje se od obaveze prijave klijentu. Trebate li incident prijaviti svom naručitelju, ovisi o tome što je navedeno u ugovoru o obradi podataka ili ugovoru o isporuci, te o pitanju je li vaš klijent sam pod Direktivom NIS2 i ovisi li o vašoj prijavi da bi održao redoslijed u svojoj mreži.

U praksi, lista pitanja ne postavlja pitanje "jesu li vam se desili incidenti", već postoji li postupak za prepoznavanje, procjenu i prijavu incidenata — to je upravo ono na što pitanje o postupku za incidente u sigurnosti usmjerava. Ako imate taj postupak, možete odgovoriti s da na to pitanje bez potrebe da izjavite je li došlo do konkretnog incidenta i kada. Potonje ostaje odvojeno, ugovorno pitanje koje može biti drugačije za svakog klijenta.

Temelj za to: Zakon o kibernetičkoj sigurnosti i Prilog A

Zakon o kibernetičkoj sigurnosti, nizozemska implementacija NIS2 koja stupa na snagu 15. kolovoza 2026., propisuje obavezu prijave nadzornom tijelu za subjekte koji padaju pod zakonu — je li to primjenjivo na vašu tvrtku, to je pitanje koje se javlja i kod jesu li poduzećem predmet Direktive NIS2. ISO/IEC 27001 Prilog A to razrađuje kao kontrolnu mjeru za upravljanje incidentima, odvojeno od bilo kakve obaveze prijave vanjskoj strani. Ugovorna obaveza prijave klijentu stoga stoji pored, a ne umjesto, ovog zakonskog i normatskog okvira.