klijent pita kako brzo bi im obavijestili o curenju podataka

Tri trenutka prijavljivanja unutar 72 sata, ne jedan

Klijent pita o roku za prijavu, ali članak 21 stavak 2 Direktive NIS2 ne predviđa odvojen rok — radi se o nizu od tri trenutka. Unutar 24 sata od otkrivanja značajnog incidenta, rana upozorenja se šalje nadležnom organu ili CSIRT-u. Unutar 72 sata slijedi detaljnija prijava s preliminarnom procjenom ozbiljnosti i utjecaja. I mjesec dana nakon završetka slijedi završno izvješće s analizom uzroka, poduzetetih mjera i prekograničnih učinaka. Ako se u popisu pitanja jednostavno pita "u roku od koliko sati prijavljujete kršenje podataka", odgovor je zapravo trostruk, i to možete i tako popuniti: ne jedan broj, već tri koraka s njihovim vlastitim rokovima.

Važna napomena: ovi rokovi vrijede za subjekte koji sami spadaju pod ovu Direktivu, a obaveza prijave odnosi se na vlastiti organ nadzora — ne automatski na klijenta koji je poslao popis pitanja. Spada li sama poduzeća u takav subjekt koji mora prijaviti, ovisi o sektoru i veličini; to je opisano u je li poduzeće obuhvaćeno NIS2 direktivom ili njezinom nacionalnom provedbom". Ono što klijent obično želi znati je postoji li interni postupak koji može zadovoljiti takve rokove — to je drugačija točka od zakonske obveze prijavljivanja državi i tretira se zasebno u postoji li postupak za rukovanje incidentima povezanim sa zaštitom.

Gdje je to navedeno u Direktivi: članak 21 stavak 2, točka b

Tri trenutka prijavljivanja — 24 sata, 72 sata, jedan mjesec — izravno proizlaze iz članka 21 stavka 2 točka b Direktive (EU) 2022/2555. Nizozemski Zakon o kibernetskoj sigurnosti pretvara ovu obvezu u nacionalno pravo i stupa na snagu 15. kolovoza 2026.; do tog datuma sama Direktiva je mjesta pronalaženja, nakon toga zakonski tekst kako je objavljen na wetten.overheid.nl.