jautājumā tiek vaicāts, kā mēs datu nopludi ziņotu viņiem

Šis jautājums attiecas uz paziņošanas kārtību, nevis uz paziņošanas pienākumu regulatoram

Klients šeit jautā, kā darbojas jūsu incidents procesa, nevis to, vai jūs kādreiz esat pārsūtījuši datu noplūdi Personīgo datu iestādei. Pieprasītā atbilde ir procesa apraksts: kā jūs atpazīstat drošības incidents, kurš tiek brīdināts iekšēji, kādā laika posmā klients pats saņem paziņojumu un caur kādu kanālu. Tas ir tieši tas, kas paredzēts drošības incidentu risināšanas procedūras jāietilpst, ja tur jau esat noteikuši politiku.

Ja jums ir tāds dokumentēts process, atbilde parasti ir "jā": jums ir procedūra, kontaktpersona un saskaņota paziņošanas termiņš klientiem, kuru dati vai sistēmas varētu būt skārtas. Ja šis process trūkst vai pastāv tikai mutiskas formas veidā, tad "nē" vai "daļēji" ir faktiski pareiza atbilde — solījums, ka jūs to "turpmāk darīsiet", nav šodienas atbilde. Pievērsiet uzmanību arī saitei ar piegādātājiem: ja incidents ir radies trešās puses, kas strādā jūsu labā, to skar prasības, kuras jūs izvirzāt saviem piegādātājiem, un dažas jautājumu saraksti par to jautā atsevišķi.

Kāpēc tas ietilpst 21. panta 2. punktā

Incident paziņošanas procedūras ir viena no desmit pasākumiem saskaņā ar NIS2 direktīvas 21. panta 2. punktu (Direktīva (ES) 2022/2555); apakšpunkts b nosauc incidents pārvaldības ar nosaukumu. Kibernozīmju drošības likumā, Nīderlandes transpozīcijas aktā, kas stājas spēkā 2026. gada 15. augustā, ir tāds pats pienākums subjektiem, uz kuriem attiecas šis likums. ISO/IEC 27001 saka līdzīgu dokumentēšanu Pielikumā A, saskaņā ar incidents vadības kontroles pasākumiem. Kurš no trim attiecas uz jūsu uzņēmumu, ir atkarīgs no tā, vai jūsu organizācija pati ietilpst vienā no šīm regulējumiem — tas ir cits jautājums nekā šis.