devo segnalare un attacco o una violazione dei dati al mio cliente

La notifica al cliente è di solito contrattuale, non legale

L'obbligo di notifica in caso di incidente informatico si trova nella maggior parte dei casi nel contratto con il tuo cliente, non direttamente nella legge. L'articolo 21 paragrafo 2 della direttiva NIS2 obbliga le organizzazioni che ricadono sotto la direttiva stessa a rispondere agli incidenti e a notificare la propria autorità di vigilanza — si tratta dell'elenco di dieci misure che ritrovi in quasi ogni questionario. Questo obbligo di notifica a un'autorità di vigilanza è diverso da un obbligo di notifica a un cliente. Se devi notificare un incidente al tuo committente dipende quindi da ciò che è scritto nel contratto di responsabile del trattamento o nel contratto di fornitura, e dalla questione se il tuo cliente ricade sotto la direttiva NIS2 e dipende quindi dalla tua notifica per mantenere la sua catena in ordine.

In pratica, il questionario non chiede "avete subito un incidente", ma se esiste una procedura per identificare, valutare e segnalare gli incidenti — è proprio quello a cui la domanda su una procedura per gli incidenti di sicurezza mira. Se hai quella procedura, puoi rispondere "sì" a quella domanda senza dover mai dire se e quando hai subito un incidente concreto. Quest'ultimo rimane una questione separata e contrattuale che può variare da cliente a cliente.

Su cui si basa: Legge sulla cibersicurezza e Allegato A

La Legge sulla cibersicurezza, il recepimento olandese di NIS2 che entrerà in vigore il 15 agosto 2026, stabilisce l'obbligo di notifica all'autorità di vigilanza per le entità che ricadono sotto la legge — se ciò si applica alla tua azienda è la domanda che ritorna anche in se l'azienda stessa rientra nella direttiva NIS2. ISO/IEC 27001 Allegato A lo sviluppa internamente come misura di controllo per la gestione degli incidenti, indipendentemente da qualsiasi obbligo di notifica a una parte esterna. Un obbligo contrattuale di notifica a un cliente si affianca quindi a, non sostituisce, questi quadri normativi e normativi.