kötelező-e az adatvédelmi incidenst az érintett ügyfélnek bejelenteni

Szerződésileg általában igen, törvényi szinten azonban nem automatikusan az ügyfelnek

Általában igen, de nem azért, mert a NIS2 ezt előírja. A irányelv 21. cikkének 2. bekezdése kötelezi egy jelentős fenyegetés vagy incidens bejelentését a nemzeti CSIRT-hez vagy a hatáskörrel rendelkező hatósághoz — nem közvetlenül minden ügyfelhez. Az ügyfél felé való bejelentési kötelezettség általában a szerződésben vagy az adatfeldolgozási szerződésben szerepel, és ez gyakran szigorúbb és gyorsabb, mint amit a NIS2 megkövetel. Aki csak az irányelvhez nyúl és nem ellenőrzi a saját szerződéseit, így elmulasztja azt a kötelezettséget, amely a gyakorlatban először szükséges.

Az ügyfel számára, aki a kérdést egy kérdőívben felteszi, általában nem a törvényi bejelentési kötelezettségről van szó, hanem az eljárásról: van-e rögzített útvonal az incidens felismeréséhez, értékeléséhez és bejelentéséhez, és ebben szerepel, hogy mikor értesítik az ügyfelet? Ez pontosan az, amiről biztonsági incidensek kezelésére vonatkozó eljárás szól, és a legtöbb lista az eljárás meglétét kérdezi, nem pedig elkülönített eseteket. Ha a vállalkozásnak nincs papíron rögzített eljárása, akkor az "nem" a tisztességes válasz — egy olyan ígéret, hogy az ügyfelet mindig felhívják, ezt senki sem töltheti ki helyetted.

Erre alapozva: a NIS2 21. cikkének 2. bekezdése és a saját szerződés

A (EU) 2022/2555 irányelv 21. cikkének 2. bekezdése tíz intézkedést nevez meg, amelyeket az entitásnak meg kell hoznia, köztük i) az incidenskezelési eljárást; a hatóságnak való bejelentési kötelezettség a 23. cikkben szerepel, nem magában a 2. bekezdésben, és a CSIRT-re vagy a hatáskörrel rendelkező hatóságra irányul. Az ISO/IEC 27001 A melléklete hasonló ellenőrzési intézkedést tartalmaz az incidenskezeléshez, beleértve a kommunikációt az érdekeltekkel, de ott sem az ügyfél az automatikus címzett — azt szervezeten belül határozzák meg. A Kiberbiztonság törvénye, amely a 2026. augusztus 15-én hatályba lépő holland jogszabály, ugyanezt a szerkezetet követi. Aki szeretné tudni, hogy a saját vállalkozása ezek a szabályok alá tartozik-e, azt ellenőrzi az alábbinál: hogy a vállalkozás NIS2-entitás-e; az ügyfélnek szóló bejelentés minden esetben a geldende szerződés kérdése marad.