trebamo li obavijestiti našeg klijenta ako je došlo do curenja podataka

Obično da, ako incident utječe na pružanje usluge tom klijentu

U većini slučajeva morate prijaviti incident svom klijentu, ali ne svaki incident i ne svima. Članak 21. stavak 2. Direktive NIS2 navodi "rukovanje incidentima" kao jednu od deset obveznih mjera, a većina klijentskih upitnika prevodi to u: imate li postupak za prijavu incidenata, kome, i u kojem vremenskom roku. To je drugačije od zakonske obveze prijave nadzornom tijelu — pitanje vašeg klijenta odnosi se na ugovorni ili operativni sporazum između vas i njih, a ne na obvezu prijave koju će Zakon o kibernetskoj sigurnosti uskoro nametnuti određenim subjektima.

Curenje podataka koje dotječe samo vaše vlastite interne sustave i ne zahvaća nikakve podatke ili usluge tog klijenta, često pada izvan sporazuma. Čim incident dotječe podatke, sustave ili isporuke relevantne tom klijentu, prijava se nameće — često u roku navedenom u ugovoru ili sporazumu o obradi podataka, a ne u roku koji bismo ovdje mogli navesti. Prvo provjerite što je dogovoreno u vašem vlastitom ugovoru s tim klijentom, jer to ima prednost pred općenitim odgovorom u upitniku.

Koji je dokaz i što odgovarate bez procedure

Temeljni dokaz je postupkom rukovanja incidentima sigurnosti: u njemu je navedeno tko interno odlučuje trebate li nešto prijaviti, kome, i u kojem roku. Ako taj postupak niste formalno dokumentirali, tada je "ne" faktički ispravan odgovor — da bez dokumenta ne može se održati pri reviziji. Klijenti koji postavljaju ovo pitanje, često u istoj listi pitaju i o politike za analizu rizika i zaštitu informacijskih sustava, jer se rukovanje incidentima u članku 21. stavak 2. NIS2 i u Prilogu A standarda ISO/IEC 27001 vidi kao povezani dio sigurnosne politike, a ne kao odvojen postupak.