az ügyfél tudni szeretné, hogy 24 órán belül bejelentjük-e az incidenseket

24 óra egy figyelmeztetés, nem teljes bejelentés

Nem, nem abban az értelemben, hogy 24 órán belül teljes incidensjelentést kell készíteni — de van egy közeli kötelezettség. A NIS2-irányelv 21. cikk 2. bekezdése előírja a "fontos" és "alapvető" entitások számára, hogy jelentős incidenseket szakaszokban jelentsék: korai figyelmeztetést 24 órán belül, majd teljes bejelentést 72 órán belül, és végjelentést később. Ez a kötelezettség közvetlenül az NIS2 alá tartozó entitásra vonatkozik — ez általában az a ügyfél, amely a kérdőívet elküldi, nem automatikusan az a szállító, aki kitölti. Az a kérdés, hogy ezt a 24 órás kötelezettséget saját vállalkozásodra is alkalmazni kell-e, attól függ, hogy te magad entitásként az irányelv hatálya alá tartozol-e; ez leírásra kerül a következőnél: annak a kérdésnek, hogy a vállalkozás maga a NIS2 alá tartozik-e.

Amit egy ügyfél ezzel a kérdéssel általában szeretne megtudni, az nem az, hogy teljesítesz-e az adat-védelmi hatóságnál a szabályozási bejelentési kötelezettséget, hanem hogy őt elég gyorsan tájékoztatod-e, ha nálad olyan incidens történik, amely az ő szolgáltatásnyújtását érinti. Ez egy szerződéses megállapodás, nem pedig a direktíva szerinti szabályozási határidő — az NIS2-ből származó 24 óra egy, az entitás és a felügyeleti hatóság közötti kötelezettség, nem automatikusan a szállító és az ügyfél közötti kötelezettség. Ha van egy biztonsági incidensi eljárásod saját belső bejelentési határidőkkel, az a dokumentum, amely általában ide tartozik; ez az eljárás a következőnél van leírva: a biztonsági incidensi eljárásra vonatkozó kérdés. Ha nincs meghatározott határidőd, akkor az "nem" rövid indoklással őszintébb, mint egy alátámaszthatatlan "igen".

Ahol ez az irányelvben szerepel: 21. cikk 2. bekezdés

A fokozatos bejelentési kötelezettség — korai figyelmeztetés 24 órán belül, bejelentés 72 órán belül, végjelentés — az Irányelv (EU) 2022/2555 21. cikk 2. bekezdésében foglalt tíz intézmény közül található. Ez a kötelezettség az entitás és a hatáskörrel rendelkező felügyeleti hatóság vagy a CSIRT közötti kapcsolatra vonatkozik, nem a szállító és a megrendelő közötti kapcsolatra. A holland Cyberbeveiligingswet ezt az irányelvet nemzeti szabályozásba ülteti át; hogy pontosan ki tartozik a bejelentési kötelezettség alá és milyen időponttól, az ezt a törvényt követően megállapítható, amint az hatályba lép.