informálnunk kell-e ügyfelemet, ha adatvédelmi incidens történt

Általában igen, ha az incidens érinti az ügyfélnek nyújtott szolgáltatást

A legtöbb esetben be kell jelentenie az incidensről az ügyfélnek, de nem minden incidensről és nem mindenkinek. A NIS2-irányelv 21. cikkének (2) bekezdése az "incidenskezelést" említi mint az egyik kötelező tíz intézkedést, és a legtöbb ügyfélkérdőív ezt így értelmezi: van-e folyamata az incidensekről való bejelentésre, kinek és milyen időn belül. Ez más, mint a felügyeleti hatóság felé való törvényi bejelentési kötelezettség — az ügyfél kérdése az Ön és közöttük közötti szerződéses vagy operatív megállapodásra vonatkozik, nem pedig a Kiberbiztonsági törvényre, amely később bizonyos entitások számára bejelentési kötelezettséget ír elő.

Egy olyan adatvédelmi incidens, amely csak az Ön saját belső rendszereire vonatkozik és az ügyfélnek nem érint semmilyen adatot vagy szolgáltatást, gyakran kívül esik a megállapodáson. Amint az incidens azonban az ügyfél számára releváns adatokat, rendszereket vagy szállításokat érint, a bejelentés indokolt — gyakran a szerződésben vagy az adatfeldolgozási megállapodásban meghatározott határidőn belül, nem olyan határidőn belül, amelyet mi itt megnevezhetünk. Ezért először ellenőrizze, hogy mi van az Ön és az ügyfél közötti saját megállapodásban, mert az megelőzi az általános választ a kérdőívben.

A bizonyíték és az, amit eljárás nélkül válaszol

Az alapul szolgáló bizonyíték biztonsági incidensek kezelésének eljárásához: ebben rögzített, hogy ki dönt belsőleg arról, hogy valamit be kell-e jelenteni, kinek és milyen időn belül. Ha nem rögzítette ezt az eljárást, akkor az "nem" a ténylegesen helyes válasz — egy "igen" dokumentáció nélkül nem áll ki az audit során. Azok az ügyfelek, akik ezt a kérdést feltevik, gyakran ugyanebben a listában azt is kérdezik, hogy a kockázatelemzésre és az információs rendszerek biztonságára vonatkozó politikának, mivel az incidenskezelés a NIS2 21. cikkének (2) bekezdésében és az ISO/IEC 27001 A mellékletében a biztonsági politika összefüggő részeként szerepel, nem pedig elszigetelt folyamatként.