Vai mums jāinformē mūsu klients, ja ir noticis datu noplūde

Parasti jā, ja incidents ietekmē pakalpojumu tam klientam

Vairumā gadījumu jums ir jāziņo par incidentu savam klientam, bet ne par katru incidentu un ne visiem. NIS2 direktīvas 21. panta 2. punkts nosaka "incidentu risināšanu" kā vienu no desmit obligātajiem pasākumiem, un lielākā daļa klientu anketu to interpretē kā: vai jums ir process incidentu ziņošanai, kādam un kādā laikā. Tas atšķiras no likumā noteiktās paziņošanas pienākuma regulatoram — jūsu klienta jautājums attiecas uz līgumiskiem vai operatīviem norunājumiem starp jums un viņiem, nevis uz paziņošanas pienākumu, ko Kubedrošības likums drīzumā uzliks noteiktām subjektiem.

Datu noplūde, kas ietekmē tikai jūsu savus iekšējus sistēmas un neietekmē nevienu šī klienta datu vai pakalpojumu, bieži vien izslēdzas no norunājuma. Tiklīdz incidents ietekmē datus, sistēmas vai piegādes, kas attiecas uz šo klientu, ziņošana ir loģiska — bieži vien laikā, kas norādīts jūsu līgumā vai datu apstrādes nīcības līgumā, ne laikā, ko mēs šeit varam norādīt. Tāpēc vispirms pārbaudiet, kas ir norunāts jūsu pašu iegūšanas līgumā ar šo klientu, jo tas ir svarīgāks par vispārēju atbildi anketā.

Kāds ir pierādījums un ko jūs atbildat bez procedūras

Pamatā esošais pierādījums ir drošības incidentu risināšanas procedūru: tajā ir norādīts, kurš iekšējā līmenī izlemj, vai kaut ko ir jāziņo, kādam un kādā laikā. Ja šo procedūru neesat dokumentējuši, tad "nē" ir faktisk pareiza atbilde — jā bez dokumenta nepastāvēs audita laikā. Klienti, kuri uzdod šo jautājumu, vienā anketā parasti jautā arī par politikas riska analīzes un informācijas sistēmu drošības jomā, jo incidentu risināšana NIS2 21. panta 2. punktā un ISO/IEC 27001 Pielikumā A tiek uzskatīta par saistītu drošības politikas daļu, nevis par atsevišķu procesu.