ar turime pranešti apie saugos incidentą iš praėjusių metų mūsų klientui

Senąjį incidentą reikėtų nurodyti klausimyne, o ne per atskir pranešimų kanalą

Taip, praėjusių metų saugos incidentą užpildai, jei klausimas yra apie incidentus arba jų valdymą — net jei pats incidentas jau buvo užbaigtas. Daugumoje kliento klausimynų užduodamas klausimas yra ne apie esamą grėsmę, bet apie tai, ar egzistuoja procedūra ir ar ji veikia. Praėjusiais metais valdomai incidento yra veikiau įrodymas nei rizika: jis rodo, kad procedūrą saugumo incidentams tvarkyti praktikoje buvo vykdyta, nuo pranešimo iki užbaigimo.

Tai todėl skiriasi nuo teisinės pranešimo pareigos priežiūros institucijai — kuri turi savo terminus ir savo adresatus, ir tie terminai jau seniai praėjo, jei incidentas buvo praeitais metais. Jūsų kliento klausimynas nėra pranešimo punktas; tai atskaitomybės klausimas. Atsakykite jį remiantis tuo, kas dabar yra nustatyta: ar yra procedūra, ar ji buvo taikyta, ar buvo atliekami patobulinimai, remiantis incidentu? Jei pastarojo nėra, tai „ne

Kur tai gaunasi: 21 straipsnio 2 dalis ir A priedas

Direktyva NIS2 21 straipsnio 2 dalyje nurodyta incidentų tvarkymas kaip vienas iš dešimties privalomų priemonių, be kita ko, rizikos vertinimas ir informacinių sistemų apsauga ir tęstinumo politika. ISO/IEC 27001 tai išplečia A priede iki kontrolės priemonių, kuriose prašoma incidentų registravimo, reagavimo ir įvertinimo — praeitų metų uždarytas failas puikiai tinka kaip pavyzdinis medžiaga. Kibernetinio saugumo įstatymas, Nyderlandų NIS2 transpozicija, įsigalioja 2026 m. rugpjūtį 15 d. ir nustato privalomus pranešimus valdžios institucijoms; tai yra kita procedūra nei paskyra, kurią kliento savoje klausimyne prašo.