moeten we onze klant informeren als er een datalek is geweest

Meestal ja, als het incident de dienst aan die klant raakt

In de meeste gevallen moet u een incident melden aan uw klant, maar niet elk incident en niet aan iedereen. Artikel 21 lid 2 van de NIS2-richtlijn noemt "incidentafhandeling" als een van de tien verplichte maatregelen, en de meeste klantvragenlijsten vertalen dat naar: heeft u een proces om incidenten te melden, aan wie, en binnen welke tijd. Dat is iets anders dan een wettelijke meldplicht aan een toezichthouder — de vraag van uw klant gaat over de contractuele of operationele afspraak tussen u en hen, niet over de meldplicht die de Cyberbeveiligingswet straks aan bepaalde entiteiten oplegt.

Een datalek dat alleen uw eigen interne systemen raakt en geen enkel gegeven of dienst van die klant treft, valt vaak buiten de afspraak. Zodra het incident wél data, systemen of leveringen raakt die voor die klant relevant zijn, ligt melden voor de hand — vaak binnen de termijn die in het contract of de verwerkersovereenkomst staat, niet binnen een termijn die wij hier kunnen noemen. Check dus eerst wat er in uw eigen overeenkomst met die klant is afgesproken, want dat gaat vóór een algemeen antwoord in een vragenlijst.

Wat het bewijsstuk is en wat u antwoordt zonder procedure

Het onderliggende bewijs is de procedure voor het behandelen van beveiligingsincidenten: daarin staat wie intern beslist of iets gemeld moet worden, aan wie, en binnen welke tijd. Heeft u die procedure niet vastgelegd, dan is "nee" het feitelijk juiste antwoord — een ja zonder document houdt geen stand bij een audit. Klanten die deze vraag stellen, vragen vaak in dezelfde lijst ook naar beleid voor risicoanalyse en de beveiliging van informatiesystemen, omdat incidentafhandeling in artikel 21 lid 2 NIS2 en in Annex A van ISO/IEC 27001 als samenhangend onderdeel van het beveiligingsbeleid wordt gezien, niet als los proces.