vai man ir jāziņo par datu pārkāpumu klientam, kura dati ir apdraudēti

Pēc līguma parasti jā, pēc likuma ne automātiski klientam

Parasti jā, bet ne tāpēc, ka NIS2 to tā nosaka. Direktīvas 21. panta 2. punkts nosaka pienākumu paziņot par nozīmīgu draudu vai incidentu nacionālajam CSIRT vai kompetentajai iestādei — ne tieši katram klientam. Paziņošanas pienākums pašam klientam parasti ir noteikts līgumā vai apstrādes līgumā, un tas bieži ir stingrāks un ātrāks nekā to prasa NIS2. Ja skatās tikai uz direktīvu un nepārskata savus līgumus, tad nokavē pienākumu, kas praktiski ir pirmais.

Klientam, kurš jautājumu uzdod anketas veidā, parasti runa ir ne par likumisko paziņošanas pienākumu, bet par procesu: vai jums ir noteikts maršruts incidenta identificēšanai, novērtēšanai un paziņošanai, un vai tajā ir norādīts, kad klient tiek informēts? Tas ir precīzi tas, par ko drošības incidentu risināšanas procedūras ir, un lielākā daļa anketu uzdod jautājumus par šīs procedūras esamību, nevis par atsevišķiem gadījumiem. Ja uzņēmumam šis procedūra nav dokumentēta, tad "nē" ir godīga atbilde — neviens nespēj šeit aizpildīt apņemšanos, ka klients vienmēr tiks izsaukts.

Uz ko tas pamatojas: NIS2 21. panta 2. punkts un savs līgums

Direktīvas (ES) 2022/2555 21. panta 2. punkts nosaka desmit pasākumus, kas jāveic entītijam, tai skaitā i) incidentu pārvaldības procesu; paziņošanas pienākums iestādei ir minēts 23. pantā, nevis 2. punktā, un tas attiecas uz CSIRT vai kompetento iestādi. ISO/IEC 27001 A pielikums satur līdzīgu pārvaldības pasākumu incidentu vadībai, tostarp komunikācijai ar ieinteresētajām personām, bet arī tur klients nav automātiski standarta saņēmējs — to katrai organizācijai nosaka individuāli. Kiberbezūtības likums, Nīderlandes transponējums, kas stājas spēkā 2026. gada 15. augustā, seko tam pašam modelim. Ja vēlas noskaidrot, vai viņu uzņēmums pats ietilpst šo noteikumu tvērumā, to pārbauda, adresējot jautājumu par to, vai uzņēmums ir NIS2 entītija; paziņošana pašam klientam visos gadījumos paliek spēkā esošā līguma jautājums.