ar man turėtų pranešti apie praėjusiais metais įvykusį saugumo incidentą klausimyne

Senas incidentas paprastai turėtų būti atsakyme

Taip, daugeliu atvejų jūs pranešate apie praėjusių metų incidentą ir dabar, jei klausimas sąraše nėra aiškiai apribotas tam tikru laikotarpiu. Klausimynai paprastai klausia apie situaciją apskritai: ar įvyko incidentas ir kaip jis buvo sprendžiamas. Mažas incidentas iš praėjusių metų patenka į šią kategoriją, net jei jis jau buvo išspręstas ir nebėra jokių pasekmių. Jei klausime yra laikotarpis — "per pastaruosius dvylika mėnesių" arba "šiais kalendoriniais metais" — tai yra nurodanti nuostata, ir tuomet atsižvelgiate tik į tai, kas patenka į tą laikotarpį.

Dažnai svarbesnis nei pats incidentas yra tai, kaip jūs į jį reagavote. Klientas, kuris klausia apie incidentus, iš tikrųjų nori sužinoti, ar yra procesas: ar jis buvo aptiktas, ar jis buvo išspręstas, ar buvo iš to pasimokyti. Tai atitinka saugumo incidentų tvarkymo procedūrą. Jei turite tokią procedūrą ir ji buvo laikytasi, tuomet mažas incidentas iš praėjusių metų nėra problema jį pranešti — tai parodo, kad procesas veikia. Jei abejojate, ar išsamios informacijos yra per jautrios dalintis, naudokite konfidencialumo mygtuką atsakyme, o ne patį atsakymą keisti.

Kodėl tai atskirai nuo Kibernetinio saugumo įstatymo pranešimo pareigos

Šis klausimas klausimyne yra kažkas kito nei teisinė pranešimo pareiga priežiūros institucijai. NIS2 direktyvos 21 straipsnio 2 dalies 2 punktas nurodo incidentų tvarkyką kaip vieną iš dešimties privalomų priemonių subjektams, kurie patenka į direktyvos taikymo sritį; Kibernetinio saugumo įstatymas tai įgyvendina kaip Nyderlandų transpoziciją su pranešimo pareiga kompetentingai institucijai. Ar ta pranešimo pareiga taikoma įmonei, priklauso nuo to, ar pati įmonė patenka į direktyvos taikymo sritį — tai galima patikrinti klausimą, ar įmonė patenka į NIS2 direktyvos taikymo sritį. Klausimas iš kliento klausimyno atskirai nuo to: jis neprašo teisinės pranešamos informacijos, bet dėl skaidrumo klientui, kaip subrendusi yra incidento tvarkymo procedūra.