ar turiu pranešti duomenų saugotoją, jei įvyko duomenų nutekėjimas

Pagal sutartį dažniausiai taip, pagal įstatymus ne automatiškai klientui

Dažniausiai taip, bet ne todėl, kad NIS2 tai reikalauja. NIS2 direktyvos 21 straipsnio 2 dalis reikalauja pranešti apie reikšmingą grėsmę ar incidentą nacionaliniam CSIRT arba kompetentingai institucijai — ne tiesiogiai kiekvienam klientui. Pareiga pranešti pačiam klientui paprastai nurodyta sutartyje ar duomenų tvarkymo sutartyje, ir ji dažnai griežtesnė ir greitesnė nei NIS2 reikalauja. Kas tik žvelgia į direktyvą ir nepasitikrina savo sutarčių, praleistą pareigą, kuri praktikoje yra pati svarbiausia.

Klientui, kuris šį klausimą užduoda klausimyne, dažniausiai rūpi ne teisinė pareiga, o procesas: ar jūs turite nustatytą maršrutą incidentui atpažinti, įvertinti ir pranešti, ir kada klientas yra informuojamas? Tai tiksliai tai, dėl ko eina, ir dauguma sąrašų paklaus apie tos procedūros buvimą, o ne apie atskirus atvejus. Jei įmonė tos procedūros neturi parašytoje formoje, čia sąžiningas atsakymas yra „ne saugumo incidentų tvarkos procedūra ),

Paremta: NIS2 21 straipsnio 2 dalimi ir savo sutartimi

21 straipsnis 2 dalis iš Direktyvos (ES) 2022/2555 nurodo dešimt priemonių, kurias turi imtis subjektas, įskaitant i) incidento valdymo procesą; pranešimo pareiga valdžios institucijai nurodyta 21 straipsnyje 23, o ne pačioje 2 dalyje, ir ji nukreipta į CSIRT arba kompetentingąją instituciją. ISO/IEC 27001 A priedas nusako panašią kontrolės priemonę incidento valdymui, įskaitant ryšį su suinteresuotaisiais šalimis, tačiau ir ten klientas nėra automatinis standartinis pranešimo gavėjas — tai nurodoma kiekvienos organizacijos. Kibernetinio saugumo įstatymas, Nyderlandų transponavimas, kuris įsigalioja 2026 m. rugpjūčio 15 d., vadovavosi ta pačia struktūra. Kas nori sužinoti, ar jo paties verslas pats patenka į šias taisykles, tai patikrina ar įmonė yra NIS2 subjektas; pranešimas pačiam klientui visais atvejais lieka sutarties klausimu.