klients vēlas zināt, vai es ziņoju par incidentiem 24 stundu laikā

24 stundas ir brīdinājums, nevis pilnīga paziņojuma

Nē, nevis pilnīga incidenta ziņojuma nozīmē 24 stundu laikā — bet pastāv tuvs pienākums. NIS2 direktīvas 21. panta 2. punkts nosaka, ka "svarīgas" un "būtiskas" entītijas nozīmē nozīmīgus incidentus posmēm: agrs brīdinājums 24 stundu laikā, kam seko pilnīgs paziņojums 72 stundu laikā, un pēcāk galīgais ziņojums. Šis pienākums attiecas tieši uz entītiju, kas ietilpst NIS2 — tas parasti ir klients, kurš sūta jautājumnico, nevis piegādātājs, kurš to aizpilda. Tas, vai 24 stundu pienākums attiecas arī uz tavas paša uzņēmumu, ir atkarīgs no tā, vai jūs pats ietilpstat direktīvā; tas ir aprakstīts pie jautājums par to, vai uzņēmums pats pakļauts NIS2.

Tas, ko klients ar šo jautājumu parasti vēlas uzzināt, nav tas, vai jūs pilda likuma noteikto paziņošanas pienākumu pārraudzības iestādei, bet gan tas, vai jūs viņu informējat pietiekami ātri, ja jūs kaut kas notiek, kas ietekmē viņa pakalpojuma sniegšanu. Tas ir līguma noteikums, nevis direktīvā izklāstīts likumīgs termiņš — 24 stundas no NIS2 ir pienākums starp entītiju un pārraudzības iestādi, nevis automātiski starp piegādātāju un klientu. Ja jums ir izstrādāta incidentu procedūra ar saviem iekšējiem paziņošanas termiņiem, tas parasti ir pierādījums, kas šeit ir piemērojams; šī procedūra ir aprakstīta pie jautājumu par drošības incidentu procedūru. Ja jums nav noteikta termiņa, tad "nē" ar īsu skaidrojumu ir godīgāk nekā "jā", ko nevar pamatot.

Kur tas ir norādīts direktīvā: 21. panta 2. punkts

Pakāpeniskais paziņošanas pienākums — agrs brīdinājums 24 stundu laikā, paziņojums 72 stundu laikā, galīgais ziņojums — ir noteikts Direktīvas (ES) 2022/2555 21. panta 2. punktā, kā daļa no desmit turpat norādītajiem pasākumiem. Šis pienākums ir vērsts uz sakarību starp entītiju un kompetento pārraudzības iestādi vai CSIRT, nevis starp piegādātāju un iegādātāju. Nīderlandes Kibervārda drošības likums transponē šo direktīvu nacionālajā normatīvajā regulējumā; tas, kurš tieši ietilpst paziņošanas pienākumā un no kāda brīža, izriet no šī likuma, kad tas stājas spēkā.