ar turime informuoti mūsų klientą, jei įvyko duomenų pažeidimas

Paprastai taip, jei incidentas paveikia paslaugą šiam klientui

Daugeliu atveju turite pranešti apie incidentą savo klientui, tačiau ne apie kiekvieną incidentą ir ne visiem. 2 NIS2 direktyvos 21 straipsnio dalis nurodo "incidento tvarkymas" kaip vieną iš dešimties privalomų priemonių, ir dauguma kliento klausimynų tai paverčia: ar turite procesą incidentams pranešti, kam ir per kokį laiką. Tai skiriasi nuo tiesioginės pranešimo pareigos priežiūros institucijai — jūsų kliento klausimas skirtas sutartinei arba operacinei sutarčiai tarp jūsų ir jų, o ne pranešimo pareigai, kurią Kibernetinio saugumo įstatymas netrukus nustaty tiems entitetams.

Duomenų pažeidimas, kuris paveikia tik jūsų vidines sistemas ir nepaveikia jokių jūsų kliento duomenų ar paslaugų, dažnai nepatenka į susitarimą. Kai tik incidentas paveikia duomenis, sistemas ar pristatymus, kurie yra svarbūs šiam klientui, pranešimas yra akivaizdus — dažnai per sutartyje nurodytą terminą arba duomenų tvarkymo sutartyje, o ne per terminą, kurį čia galėtume nurodyti. Taigi pirmiausia patikrinkite, kas jūsų sutartyje su šiuo klientu numatytas, nes tai yra svarbiau nei bendras atsakymas į klausimyną.

Koks yra įrodymo dokumentas ir kaip atsakote be procedūros

Pagrindiniai įrodymai yra procedūrą saugumo incidentams tvarkyti: juose nurodyta, kas viduje sprendžia, ar kas nors turi būti pranešta, komu ir per kiek laiko. Jei šios procedūros nėra užfiksavę, tada „ne atsargines kopijas ir neišvengiamą paslaugų teikimo atkūrimo priemonę, nes incidento valdymas pagal NIS2 21 straipsnio 2 dalį ir ISO/IEC 27001 A priedą yra vertinamas kaip susijusi saugumo politikos dalis, o ne kaip atskiras procesas.