dobbiamo informare il nostro cliente se c'è stato un data breach

Solitamente sì, se l'incidente riguarda il servizio prestato a quel cliente

Nella maggior parte dei casi è necessario segnalare un incidente al cliente, ma non tutti gli incidenti e non a chiunque. L'articolo 21, paragrafo 2 della direttiva NIS2 menciona "incident handling" come una delle dieci misure obbligatorie, e la maggior parte dei questionari dei clienti la traducono in: disponete di un processo per segnalare gli incidenti, a chi, e entro quale termine. Si tratta di qualcosa di diverso da un obbligo legale di segnalazione a un'autorità di vigilanza — la domanda del vostro cliente riguarda l'accordo contrattuale o operativo tra voi e loro, non l'obbligo di segnalazione che la legge sulla cibersicurezza tra poco impone a determinati enti.

Una violazione dei dati che riguarda solo i vostri sistemi interni e non colpisce alcun dato o servizio di quel cliente ricade spesso fuori dall'accordo. Non appena l'incidente colpisce dati, sistemi o forniture rilevanti per quel cliente, la segnalazione è opportuna — spesso entro il termine previsto nel contratto o nel contratto di trattamento dei dati, non entro un termine che possiamo indicare qui. Verificate quindi innanzitutto cosa è stato concordato nel vostro accordo con quel cliente, poiché questo ha la precedenza su una risposta generale in un questionario.

Quale sia il documento comprovante e cosa rispondete senza una procedura

La prova sottostante è la procedura per la gestione degli incidenti di sicurezza: in esso è indicato chi internamente decide se qualcosa deve essere segnalato, a chi, e entro quale termine. Se non avete documentato tale procedura, allora "no" è la risposta effettivamente corretta — un sì senza documento non regge durante un audit. I clienti che pongono questa domanda spesso la accompagnano nello stesso questionario anche a politica per l'analisi dei rischi e la sicurezza dei sistemi informativipoiché l'incident handling nell'articolo 21, paragrafo 2 NIS2 e nell'Allegato A di ISO/IEC 27001 è considerato parte coerente della politica di sicurezza, non come processo separato.