klientas nori žinoti, ar pranešu apie incidentus per 24 valandas

24 valandos yra įspėjimas, o ne visapusiška pranešimas

Ne, ne ta prasme, kad pilnas incidento pranešimas būtų teikiamas per 24 valandas — tačiau yra artima pareiga. NIS2 direktyvos 21 straipsnio 2 dalis įpareigoja „svarbias klausimą, ar pati įmonė patenka į NIS2 taikymo sritį.

Kas tiesą sakant, nori sužinoti klausiant šiuo klausimu, nėra tai, ar tu patenki į įstatymo nustatytą pranešimo pareigą priežiūros institucijai, bet ar tu jį informuoji pakankamai greitai, jei pas tave įvyksta kažkas, kas daro neigiamą poveikį jam arba suteiktoms paslaugoms. Tai sutartinė nuostata, o ne įstatymo nustatyta termino iš pačios direktyvos — 24 valandos iš NIS2 yra pareiga tarp subjekto ir priežiūros institucijos, o ne automatiškai tarp tiekėjo ir kliento. Jeigu turi saugumo incidentų procedūrą su savais vidiniais pranešimo terminais, tai yra dokumento, kuris paprastai čia priklauso, įrodymas; ta procedūra aprašyta saugumo incidentų procedūrų klausimų. Jeigu neturi nustatyto termino, tada „ne

Tai nurodyta direktyvoje: 21 straipsnio 2 dalis

Etapine pranešimo pareiga — įspėjimas per 24 valandas, pranešimas per 72 valandas, galutinis pranešimas — nurodyta Direktyvos (ES) 2022/2555 21 straipsnio 2 dalyje, kaip viena iš dešimties priemonių, kurios yra ten išvardytos. Ši pareiga skirta ryšiui tarp subjekto ir kompetentingos priežiūros institucijos arba CSIRT, o ne tarp tiekėjo ir pirkėjo. Nyderlandų Kibernetinio saugumo įstatymas perima šią direktyvą į nacionalinę teisę; kas tiksliai patenka į pranešimo pareigą ir nuo kada, išplaukia iš to įstatymo, kai tik jis pradeda galioti.