czy muszę powiadomić klienta o wycieku danych go dotyczących

Zwykle tak ze względów umownych, ale nie automatycznie ze względów prawnych wobec klienta

Zwykle tak, ale nie dlatego, że NIS2 to nakazuje. Artykuł 21 ust. 2 dyrektywy zobowiązuje do zgłoszenia znaczącego zagrożenia lub incydentu narodowemu CSIRT lub właściwemu organowi — nie bezpośrednio każdemu klientowi. Obowiązek zgłoszenia wobec samego klienta zwykle wynika z umowy lub umowy o przetwarzaniu, która często jest surowsza i szybsza niż wymaga NIS2. Kto patrzy tylko na dyrektywę i nie sprawdza swoich własnych umów, pomija zatem obowiązek, który w praktyce pojawia się na pierwszym miejscu.

Dla klienta, który zadaje pytanie w kwestionariuszu, zwykle nie chodzi o ustawowy obowiązek zgłoszenia, ale o proces: czy macie ustaloną drogę do identyfikacji, oceny i zgłoszenia incydentu, i czy zawiera ona informacje o tym, kiedy klient jest powiadomiony? To właśnie to, na czym procedury obsługi incydentów bezpieczeństwa się skupia, i większość kwestionariuszy pyta o istnienie tej procedury, a nie o pojedyncze przypadki. Jeśli przedsiębiorstwo nie ma tej procedury na piśmie, wtedy "nie" jest tu uczciwą odpowiedzią — nikt nie może tu za ciebie wpisać zobowiązania, że klient zawsze będzie zadzwoniony.

Na czym to opiera się: artykuł 21 ust. 2 NIS2 i własna umowa

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia dziesięć środków, które musi podjąć podmiot, w tym pod lit. i) proces obsługi incydentów; obowiązek zgłoszenia organowi znajduje się w artykule 23, a nie w samym ust. 2, i kieruje się do CSIRT lub właściwego organu. Załącznik A normy ISO/IEC 27001 zawiera podobny środek kontrolny dla zarządzania incydentami, łącznie z komunikacją wobec interesariuszy, ale również tam klient nie jest automatycznym odbiorcą standardowym — to jest wypełniane dla każdej organizacji indywidualnie. Ustawa o cyberbezpieczeństwie, polska transpozycja wchodząca w życie 15 sierpnia 2026 r., następuje tej samej strukturze. Kto chce wiedzieć, czy jego przedsiębiorstwo podlega tym zasadom, sprawdza to przy pytaniu, czy przedsiębiorstwo jest podmiotem NIS2; zgłoszenie wobec samego klienta pozostaje w każdym przypadku kwestią obowiązującej umowy.