be kell-e jelentenünk egy előző évi biztonsági incidenst az ügyfelünknek

Egy régi incidens a kérdőívbe tartozik, nem egy külön bejelentési csatornába

Igen, az előző évi biztonsági incidenst akkor töltsd ki, ha a kérdés az incidensekre vagy azok kezelésére vonatkozik — még akkor is, ha az incident már lezárult. A legtöbb klienst kérdőívben feltett kérdés nem egy aktuális fenyegetésről szól, hanem arról, hogy van-e eljárás, és hogy az működik-e. Egy kezelés alatt állt incident az előző évből ennek sokkal inkább bizonyítéka, mint egy kockázat: azt mutatja, hogy biztonsági incidensek kezelésének eljárásához a gyakorlatban lezajlott, a jelzésektől az lezárásig.

Ez tehát különbözik attól, hogy egy felügyeleti hatóságnak van-e törvényi bejelentési kötelezettsége — ennek saját határidői és saját címzettjei vannak, és ezek a határidők már lejártak, ha az incident az előző évből származik. A kliens kérdőíve nem bejelentési pont; ez egy elszámoltatási kérdés. Válaszolj rá az alapján, hogy mi van most rögzítve: van-e eljárás, alkalmazták-e, végeztek-e az incident alapján fejlesztéseket? Ha ez utóbbi hiányzik, akkor a "nem" vagy "részben" éppoly érvényes válasz, mint az "igen" — mindaddig, amíg az megfelel a láncfájlban rögzölteknek.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

A NIS2-irányelv 21. cikk 2. bekezdése az incidensfelfogást említi a tíz kötelező intézmény egyikeként, többek között hozzáférés-ellenőrzésről és az üzleti eszközökről és üzletmenet-folytonossági politikamellett. Az ISO/IEC 27001 ezt az A. mellékletben behelyettesíti az incidentek nyilvántartása, reagálása és értékelésére vonatkozó kontrollintézkedésekbe — egy lezárt előző évi dosszi pontosan olyan mintaanyagként illik ide. A Cyberbeveiligingswet, a Hollandia NIS2-re vonatkozó átalakítása 2026. augusztus 15-én lép hatályba, és szabályozza a kormányzati bejelentési kötelezettséget; ez egy másik folyamat, mint az a leszámoltatás, amelyet egy kliens saját kérdőívében kér.