az ügyfél megkérdezi, milyen gyorsan értesítenénk őt egy adatsértésről

Három bejelentési időpont 72 órán belül, nem egy

Az ügyfél egy bejelentési határidőt kérdez, de a NIS2 21. cikkének 2. bekezdése nem ismeri a szokásos határidőt — ez három időpont sora. Egy jelentős incidens felfedezésétől számított 24 órán belül korai figyelmeztetés érkezik a hatáskörrel rendelkezésre álló szervezetnek vagy a CSIRT-nek. 72 órán belül egy részletesebb bejelentés következik az első súlyossági és hatás-értékeléssel. A kezelés befejezésétől számított egy hónapon belül pedig végjelentés érkezik az ok, a meghozott intézkedések és a határokon átlépő hatások leírásával. Ha a kérdőív egyszerűen azt kérdezi, hogy „hány órán belül jelent egy adatszivárgást

+a válasz valójában háromrétegű, és ezt így is kitöltheti: nem egyetlen szám, hanem a három lépés a saját határidejével. tartozik-e a vállalkozás maga a NIS2-irányelvelet vagy annak nemzeti átültetése aláFontos részlet: ezek a határidők azokra az entitásokra vonatkoznak, amelyek maguk a richtlína alá tartoznak, és a bejelentési kötelezettség saját felügyelő szervezet felé áll fenn — nem automatikusan a kérdőívet küldő ügyfél felé. Az, hogy a vállalkozás maga ilyen bejelentési kötelezettsággel rendelkező entitás-e, a szektortól és a mérettől függ; ez leírva van a van-e egy eljárása a biztonsági incidensek kezelésére.

Ahol ezt a richtlín tünteti fel: 21. cikk, 2. bekezdés, b) pont

A három bejelentési időpont — 24 óra, 72 óra, egy hónap — közvetlenül az (EU) 2022/2555 Richtlín 21. cikkének 2. bekezdéséből adódik. A holland Kibervédelmi törvény ezt a kötelezettséget az országos jogba ülélteti és 2026. augusztus 15-én lép hatályba; addig a richtlína maga a forrás, azután a wetten.overheid.nl-en közzétett jogszöveg.