kaip atsakyti į klausimą apie mūsų pranešimo procedūrą duomenų nuotėkio atveju

Pati pranešimo procedūra, o ne duomenų saugumo pažeidimas

Klausimas skirtas jūsų vidiniam procesui, o ne tam, ar jau kada nors yra buvę pažeidimas. Kliento norima žinoti, ar yra nustatyta procedūra saugumo incidentams tvarkyti: kas pranešą apie įtarimą, komu, per kiek laiko bus paeškalintas lygis, ir kas nusprendžia, ar bus informuoti priežiūros institucija arba suinteresuoti asmenys. Tai ta pati procedūra, apie kurią klausiama ties saugumo incidentų tvarkos procedūra — duomenų saugumo pažeidimas praktikoje yra konkretus šio proceso incidento tipas, o ne atskiras dokumentas.

Jei tokia procedūra egzistuoja, "taip" galima pagrįsti pačiu dokumentu: veiksmų planu, atsakinga funkcija (dažnai saugumo pareigūnas arba DPO) ir ankstesnių pranešimų registru kaip įrodymu, kad procesas iš tikrųjų veikia. Jei nėra nustatytos procedūros, tačiau egzistuoja neformali linija ("skambink savinininkui"), tai dažniausiai nėra pakanka "taip" — dossier neturi šaltinio, ant kurio galėtų remtis, ir šiuo atveju sistema nepasiūlo jokio atsakymo. Kai kurie klientai toje pačioje anketoje taip pat klausia, ar jie patys patenka į pranešimo reikalavimus; tai kitoks klausimas nei pati procedūra, ir jį galima rasti per NIS2 subjekto statusą.

Kodėl tai patenka į 21 straipsnio 2 dalį

21 straipsnio 2 dalis iš NIS2 direktyvos nurodo "incidentų tvarkymą" kaip vieną iš dešimties privalomų priemonių, o duomenų saugumo pažeidimų pranešimo procedūra yra jos įgyvendinimas asmeninių duomenų atžvilgiu. ISO/IEC 27001 Annex A tai toliau išplėtoja incidentų valdymo kontrolės priemonėmis, o tai paaiškina, kodėl klientai, turintys ISO klausimą, dažnai priima tą pačią procedūrą kaip įrodymo dokumentą. Kibernetinio saugumo įstatymas, Nyderlandų transponavimas, pradeda galioti 2026 m. rugpjūčio 15 d. ir jis taip pat nustato šį reikalavimą nacionaliniu lygiu subjektams, kurie po juo patenka.