il cliente vuole sapere se segnalo gli incidenti entro 24 ore

24 ore è un avviso, non una segnalazione completa

No, non nel senso di una relazione d'incidente completa entro 24 ore — ma c'è comunque un obbligo che si avvicina. L'articolo 21 comma 2 della direttiva NIS2 obbliga le entità "importanti" e "essenziali" a segnalare gli incidenti significativi in fasi: un avviso iniziale entro 24 ore, seguito da una segnalazione completa entro 72 ore, e una relazione finale successivamente. Questo obbligo si applica direttamente all'entità che rientra nell'ambito NIS2 — di solito è il cliente che invia il questionario, non automaticamente il fornitore che lo compila. Se questo obbligo di 24 ore ricade anche sulla tua azienda dipende dal fatto che tu stesso rientri come entità nell'ambito della direttiva; questo è descritto in la domanda se l'azienda stessa rientra nell'ambito NIS2.

Ciò che un cliente di solito vuole sapere con questa domanda non è se tu rispetti l'obbligo legale di segnalazione a un'autorità di vigilanza, ma se tu lo informi abbastanza rapidamente se qualcosa va male presso di te che riguarda la sua fornitura di servizi. Questo è un accordo contrattuale, non un termine legale della direttiva stessa — le 24 ore della NIS2 sono un obbligo tra l'entità e l'autorità di vigilanza, non automaticamente tra fornitore e cliente. Se hai una procedura per gli incidenti con termini di segnalazione interni propri, quello è il documento di prova che di solito si associa qui; questa procedura è descritta in la domanda su una procedura per gli incidenti di sicurezza. Se non hai un termine stabilito, allora un "no" con una breve spiegazione è più onesto di un "sì" che non puoi sostenere.

Dove si trova nella direttiva: articolo 21 paragrafo 2

L'obbligo di segnalazione in fasi — avviso iniziale entro 24 ore, segnalazione entro 72 ore, relazione finale — è stabilito nell'articolo 21 comma 2 della Direttiva (UE) 2022/2555, come parte delle dieci misure elencate lì. Questo obbligo riguarda la relazione tra l'entità e l'autorità di vigilanza competente o il CSIRT, non la relazione tra fornitore e cliente. La legge olandese sulla cibersicurezza (Cyberbeveiligingswet) recepisce questa direttiva nella normativa nazionale; chi esattamente rientra nell'obbligo di segnalazione e da quale momento segue da questa legge una volta che entra in vigore.