ar man turėtų pranešti apie hakavimą ar duomenų pažeidimą savo klientui

Pranešimas klientui dažniausiai yra sutartinis, o ne įstatyminis

Pareiga pranešti apie kibernetinį incidentą daugeliu atveju yra nustatyta jūsų kliento sutartyje, o ne tiesioginė įstatymo pareiga. NIS2 direktyvos 21 straipsnio 2 dalis įpareigoja organizacijas, kurios pačios patenka į direktyvos taikymo sritį, reaguoti į incidentus ir pranešti savo priežiūros institucijai — tai yra dešimt priemonių sąrašas, kurį matyti beveik kiekvienoje klausimyne. Ši pareiga pranešti priežiūros institucijai skiriasi nuo pareigos pranešti klientui. Tai, ar turite pranešti apie incidentą savo užsakovui, priklauso nuo to, kas nustatyta duomenų tvarkymo sutartyje arba tiekimo sutartyje, ir nuo to, ar jūsų klientas pats patenka į NIS2 direktyvos taikymo sritį ir todėl priklauso nuo jūsų pranešimo, kad sutvarkytų savo tiekimo grandinę.

Praktikoje klausimyne neklausima "ar turėjote incidentą", o ar egzistuoja procedūra incidentams nustatyti, įvertinti ir pranešti — tai yra tikslas, kurio siekia saugumo incidentų procedūrų klausimų tikslas. Jei tokia procedūra yra, galite atsakyti "taip" į šį klausimą, neturėdami kada nors pasakyti, ar ir kada turėjote konkretų incidentą. Pastarasis lieka atskira, sutartine klausimu, kuris gali skirtis priklausomai nuo kliento.

Pagrindimas: Kibernetinio saugumo įstatymas ir A priedas

Kibernetinio saugumo įstatymas, Nyderlandų NIS2 direktyvos įgyvendinimas, kuris pradeda galioti 2026 m. rugpjūčio 15 d., nustato pareigą pranešti priežiūros institucijai subjektams, kurie patenka į įstatymo taikymo sritį — tai yra klausimas, kuris taip pat grįžta ar įmonė pati patenkanti į NIS2 direktyvos taikymo sritįatžvilgiu. ISO/IEC 27001 A priedas tai nurodo viduje kaip kontrolinę priemonę incidentų valdymui, atskirai nuo bet kokios pareigos pranešti išorinei šaliai. Sutartinė pareiga pranešti klientui yra šalia, o ne vietoje šių teisinių ir normatyvinių reglamentų.