klient chce wiedzieć, czy zgłaszam incydenty w ciągu 24 godzin

24 godziny to ostrzeżenie, a nie pełne powiadomienie

Nie, nie w sensie pełnego raportu incydentu w ciągu 24 godzin — ale istnieje obowiązek, który do tego zbliża. Artykuł 21 ust. 2 dyrektywy NIS2 obliguje podmioty "ważne" i "istotne" do zgłaszania znaczących incydentów w fazach: wczesne ostrzeżenie w ciągu 24 godzin, a następnie pełne powiadomienie w ciągu 72 godzin oraz ostateczne sprawozdanie później. Obowiązek ten dotyczy bezpośrednio podmiotu podlegającego NIS2 — zwykle jest to klient wysyłający ankietę, a nie dostawca, który ją wypełnia. Czy obowiązek 24-godzinny dotyczy również Twojej działalności gospodarczej, zależy od tego, czy Ty sam podlegasz jako podmiot dyrektywnie; opisane to jest w kwestii, czy przedsiębiorstwo samo podlega NIS2.

To, co klient zwykle chce wiedzieć za pomocą tego pytania, to nie czy spełniasz ustawowy obowiązek zgłaszania do organu nadzoru, ale czy informujesz go wystarczająco szybko, jeśli u Ciebie coś się nie powiedzie, co dotyczy jego świadczenia usług. To jest umowa, a nie termin ustawowy z samej dyrektywy — 24 godziny z NIS2 to obowiązek między podmiotem a organem nadzoru, niekoniecznie między dostawcą a klientem. Jeśli masz procedurę incydentów z własnymi wewnętrznymi terminami zgłoszenia, to zwykle jest to dokument dowodowy, który tutaj pasuje; procedura ta opisana jest w pytaniu o procedurę obsługi incydentów bezpieczeństwa. Jeśli nie masz ustalonego terminu, wtedy "nie" z krótkim wyjaśnieniem jest uczciwsze niż "tak", którego nie możesz uzasadnić.

Gdzie jest to wymienione w wytycznej: artykuł 21 ust. 2

Sfazowany obowiązek zgłoszenia — wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie w ciągu 72 godzin, sprawozdanie ostateczne — zawiera artykuł 21 ust. 2 dyrektywy (UE) 2022/2555, jako część dziesięciu środków tam wymienionych. Obowiązek ten dotyczy relacji między podmiotem a właściwym organem nadzoru lub CSIRT, a nie relacji między dostawcą a nabywcą. Holenderska Ustawa o cyberbezpieczeństwie wdraża tę dyrektywę w przepisy krajowe; kto dokładnie podlega obowiązkowi zgłoszenia i od którego momentu, wynika z tej ustawy, gdy tylko wejdzie w życie.