kell-e előző évi biztonsági incidenst jelentenem a kérdőívben

A régi incident általában valóban a válaszban kell, hogy szerepeljen

Igen, a legtöbb esetben egy előző évi incidenst még most is jelentesz, ha a listában szereplő kérdés nem korlátozódik kifejezetten egy meghatározott időszakra. A kérdőívek általában az általános helyzetre kérdeznek rá: bekövetkezett-e egy incident, és hogyan kezelték azt. Az előző évből származó kis incident alá tartozik ennek, még akkor is, ha közben már megoldódott, és nincs több következménye. Ha azonban a kérdésben szerepel egy időszak — "az elmúlt tizenkét hónapban" vagy "ebben az naptári évben" — akkor az az irányadó, és csak az adott időszakba eső dolgokat veszed fel.

Gyakran az incident maga nem olyan fontos, mint ahogyan arra reagáltál. Az ügyfél, aki incidensekre kérdez rá, valójában azt szeretné megtudni, hogy van-e mögötte egy folyamat: észlelték-e, megoldották-e, tanultak-e belőle. Ez összhangban áll a biztonsági incidensek kezelésére vonatkozó eljárással. Ha van ilyen eljárásod, és azt követted, akkor egy kis incident az előző évből nem jelent problémát a jelentésben — sőt, azt mutatja, hogy a folyamat működik. Ha kételkedsz abban, hogy egyes részleteket túl érzékenyek-e a megosztáshoz, használd inkább a titoktartás gombot a válasznál, ahelyett hogy magát a választ módosítanád.

Miért áll ez elkülönülten a Kiberbiztonságról szóló törvény bejelentési kötelezettségétől

Ez a kérdés egy ügyfél kérdőívében más, mint a felügyeleti hatóság felé fennálló jogszabályi bejelentési kötelezettség. A NIS2-irányelv 21. cikk (2) bekezdése az incidensek kezelését az irányelvbe tartozó entitások tíz kötelező intézkedménye közül említi; a Kiberbiztonságról szóló törvény ennek a bejelentési kötelezettségnek a jogszabályi transzpozíciójaként részletezi azt a bevolásztott hatóság felé. Hogy az a bejelentési kötelezettség az adott vállalkozásra vonatkozik-e, attól függ, hogy maga az irányelvbe tartozik-e — ezt ellenőrizhető a annak a kérdésnek, hogy a vállalkozás a NIS2-irányelv hatálya alá tartozik-e. Az ügyfél kérdőívben szereplő kérdés ettől elkülönülten áll: nem a jogszabályi bejelentésre kérdez rá, hanem az ügyfél felé való átláthatóságra az incidenskezelési folyamat érettségéről.