il questionario chiede se abbiamo segnalato incidenti a un'autorità di controllo

L'obbligo di notifica si applica solo se tu stesso rientri in NIS2

Questa domanda è rilevante solo se la tua azienda è essa stessa un'entità NIS2 — essenziale o importante. Se non rientri in questa categoria, la risposta è solitamente "non applicabile" e puoi annotarla come tale, con una breve spiegazione del motivo. Se hai dubbi sulla tua classificazione, questo deve prima essere verificato tramite se l'azienda rientra nella direttiva NIS2 — la risposta a questa domanda dipende direttamente da ciò.

Se rientri in NIS2, la domanda riguarda se hai effettivamente segnalato gli incidenti che soddisfano i criteri di notifica al CSIRT o all'autorità di vigilanza competente, entro i termini stabiliti (notifica iniziale, notifica intermedia, rapporto finale). Se lo hai fatto, la risposta "sì" può essere supportata dalla conferma di notifica o dal registro degli incidenti come prova. Se nel periodo in questione non hai avuto alcun incidente soggetto a obbligo di notifica, allora "no" è la risposta fattualmente corretta — questo non è una carenza, e puoi spiegarlo anche nel campo di testo libero. Il problema sorge solo se c'è stato un incidente che soddisfa i criteri e non è stata inoltrata alcuna notifica; questo è un fatto che il tuo dossier deve semplicemente riflettere, non qualcosa da riformulare. Questa domanda è inoltre correlata a la procedura per la gestione degli incidenti di sicurezza: senza una procedura funzionante, di solito non esiste neanche un processo di notifica completo.

Fonte: articolo 21, paragrafo 2, lettera b) e la Cybersecurity Act

L'obbligo di notifica non figura nell'articolo 21, paragrafo 2 — questo articolo descrive le dieci misure, inclusa sotto b) la gestione degli incidenti come misura di controllo. L'obbligo di notifica effettivo con termini è disciplinato separatamente nella direttiva e per i Paesi Bassi è attuato nella Cybersecurity Act, che entra in vigore il 15 agosto 2026. Fino a quella data non esiste un obbligo di notifica olandese basato su NIS2; quello che un cliente chiede ora in un questionario è spesso un anticipo di tale obbligo o una domanda ISO 27001 sulla registrazione degli incidenti nell'Allegato A.