czy musimy zgłosić incydent bezpieczeństwa z ubiegłego roku naszemu klientowi

Stary incydent należy do kwestionariusza, a nie do osobnego kanału zgłoszeniowego

Tak, incydent bezpieczeństwa z ubiegłego roku wpisujesz, jeśli pytanie dotyczy incydentów lub ich obsługi — nawet jeśli sam incydent został już zamknięty. Pytanie w większości kwestionariuszy klientów nie dotyczy aktualnego zagrożenia, ale tego, czy istnieje procedura i czy działa. Obsłużony incydent z ubiegłego roku jest dla tego celu bardziej dowodem niż ryzykiem: pokazuje, że procedurą obsługi incydentów bezpieczeństwa w praktyce przeszedł przez całą ścieżkę, od wykrycia do zamknięcia.

To jest zatem coś innego niż ustawowy obowiązek zgłoszenia do organu nadzorczego — który ma własne terminy i własnych odbiorców, a te terminy już dawno upłynęły, jeśli incydent pochodzi z ubiegłego roku. Kwestionariusz twojego klienta nie jest punktem zgłoszeniowym; jest to pytanie o odpowiedzialność. Odpowiedz na podstawie tego, co jest teraz ustalone: czy istnieje procedura, czy została zastosowana, czy wdrożono ulepszenia w wyniku incydentu? Jeśli tego brakuje, to "nie" lub "częściowo" jest równie ważną odpowiedzią jak "tak" — o ile tylko odpowiada temu, co znajduje się w pliku łańcucha.

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 Dyrektywy NIS2 wymienia obsługę incydentów jako jedną z dziesięciu obowiązkowych środków, obok między innymi analiza ryzyka i ochrona systemów informacyjnych i polityki ciągłości. ISO/IEC 27001 opracowuje to w Załączniku A jako środki kontroli wymagające rejestracji, reagowania i oceny incydentów — zamknięty plik z ubiegłego roku pasuje idealnie jako materiał przykładowy. Ustawa o cyberbezpieczeństwie, polska transpozycja NIS2, wchodzi w życie 15 sierpnia 2026 r. i reguluje ustawowy obowiązek zgłoszenia do władz; jest to inny proces niż rozliczenie, które klient prosi w swoim własnym kwestionariuszu.