a kérdőív azt kérdezi, hogy bejelentettünk-e incidenst egy felügyeleti szervezetnek

A bejelentési kötelezettség csak akkor érvényes, ha te magad a NIS2 hatálya alá tartozol

Ez a kérdés csak akkor releváns, ha a vállalkozásod maga NIS2-entitás — lényeges vagy fontos. Ha nem tartozol ide, akkor a válasz általában "nem alkalmazható", és ezt így is jelölheted, rövid magyarázattal együtt, hogy miért. Ha kétségeid vannak az állapotodról, azt először tisztázni kell a vagy az entitás az NIS2-irányelv hatálya alá esik — a választ erre a kérdésre közvetlenül függ ettől.

Ha a NIS2 hatálya alá tartozol, akkor a kérdés arra irányul, hogy az adott kritériumoknak megfelelő incidenseket ténylegesen bejelentettél-e a CSIRT-hez vagy a bevoegd felügyeleti hatósághoz, a meghatározott határidőkön belül (első bejelentés, közbenső bejelentés, végső jelentés). Ha ezt megtettél, akkor az "igen" válaszod alátámasztható a bejelentés megerősítésével vagy az incidensregiszterrel mint bizonyítékkal. Ha a megadott időszakban egyszerűen nem volt bejelentésre kötelezett incidenséd, akkor a "nem" a ténylegesen helyes válasz — ez nem hiányosság, és ezt is megjelenítheted így a szabad szöveges mezőben. Problematikus helyzet csak akkor alakul ki, ha volt ugyan olyan incidens, amely megfelelt a kritériumoknak, de nem került bejelentésre; ez egy tény, amelyet az adatlapodnak egyszerűen tükrözni kell, nem valami, amit másként kellene megfogalmazni. Ez a kérdés egyébként összefügg a biztonsági incidensek kezelésének eljárásához— munkaeljárás nélkül általában nincs működő bejelentési folyamat sem.

Ahol ez következik: a 21. cikk 2. bekezdése b) és a Kiberbiztonságról szóló törvény

A bejelentési kötelezettség maga nem szerepel a 21. cikk 2. bekezdésében — ez a cikk az tíz intézkedést írja le, köztük b) pont alatt az incidenskezelést mint felügyeleti intézkedést. A tényleges bejelentési kötelezettség határidőkkel az irányelvben külön szabályozott, és Hollandia számára a Kiberbiztonságról szóló törvénybe kerül átültetésre, amely 2026. augusztus 15-én lép hatályba. Addig nincs holland jogszabályi alapú bejelentési kötelezettség a NIS2 alapján; amit egy ügyfél egy kérdőívben már most felvet, az gyakran az adott kötelezettség előzetes megoldása vagy egy ISO 27001-es kérdés az A melléklet szerinti incidensregistrációról.