A kérdőív azt kérdezi, hogyan jeleztük volna egy adatsértést nekik

Ez a kérdés a bejelentési eljárásról szól, nem a felügyeleti hatóság felé történő bejelentési kötelezettségről

Az ügyfél itt azt kérdezi, hogy az Ön incidenskezelési folyamata hogyan működik, nem azt, hogy már valamikor bejelentett-e egy adatsértést a Személyes Adatok Hatóságának. A kért válasz a folyamat leírása: hogyan azonosít egy biztonsági incidenst, kit értesít belül, milyen időn belül kapja meg az ügyfél saját értesítését, és milyen csatornán keresztül. Ez pontosan az alá tartozik biztonsági incidensek kezelésére vonatkozó eljárás amennyiben erre vonatkozóan már megállapított szabályzata van.

Ha van ilyen megállapított eljárása, akkor a válasz általában "igen": van eljárása, kapcsolattartási pontja és megállapodott bejelentési határideje az ügyfelek felé azok adatai vagy rendszerei lehetséges megsértése esetén. Ha ez az eljárás hiányzik, vagy csak szóban létezik, akkor az "nem" vagy "részlegesen" a ténylegesen helyes válasz — az ígéret, hogy Ön ezt "a jövőben így fogja tenni" nem válasz a mai napra. Ügyeljen a szállítókal való kapcsolatra is: ha az incidens egy harmadik féltől származik, aki az Ön nevében dolgozik, az érinti a követelményeket, amelyeket saját szállítóinak támaszthat, és egyes kérdőívek erre külön rákérdeznek.

Miért esik ez az NISD2-irányelv 21. cikk 2. bekezdése alá

Az incidensekre vonatkozó bejelentési eljárások az NIS2-irányelv (2022/2555 (EU) irányelv) 21. cikk 2. bekezdésének tíz intézkedménye közé tartoznak; a b) pont kifejezetten az incidenskezelést említi. A Kiberbiztonsági törvényben, a 2026. augusztus 15-én hatályba lépő holland átalakításában ugyanez a kötelezettség jelenik meg az erre a törvényre vonatkozó entitások tekintetében. Az ISO/IEC 27001 a függelékben hasonló dokumentálást követel meg az incidenskezelés kontrollintézkedései között. Hogy közülük melyik vonatkozik az Ön szervezetére, attól függ, hogy Ön szervezete maga alatt esik-e valamely ilyen szabályozásnak — ez más kérdés, mint ez a kérdés.