klient pyta, jak szybko powiadomilibyśmy ich o naruszeniu danych

Trzy momenty powiadomienia w ciągu 72 godzin, nie jeden

Klient pyta o termin powiadomienia, ale artykuł 21 ust. 2 dyrektywy NIS2 nie przewiduje oddzielnego terminu — jest to seria trzech momentów. W ciągu 24 godzin od wykrycia poważnego incydentu wczesne ostrzeżenie trafia do właściwego organu lub CSIRT. W ciągu 72 godzin następuje bardziej szczegółowe powiadomienie z wstępną oceną wagi i skutków. A w ciągu miesiąca od rozwiązania incydentu następuje raport końcowy ze wskazaniem przyczyny, podjętych środków i skutków transgranicznych. Jeśli lista pytań po prostu pyta „w ciągu ilu godzin powiadamiacie o naruszeniu danych

>odpowiedź jest zatem w rzeczywistości trójczęściowa, i można ją również tak wypełnić: nie jedna liczba, ale trzy kroki z własnymi terminami. czy przedsiębiorstwo samo podlega dyrektywie NIS2 lub jej krajowemu wdrożeniuWażny szczegół: te terminy dotyczą podmiotów, które same podlegają dyrektywnie, a obowiązek powiadomienia dotyczy właściwego organu nadzoru — nie automatycznie klienta wysyłającego listę pytań. To, czy przedsiębiorstwo samo jest takim podmiotem mającym obowiązek powiadomienia, zależy od sektora i wielkości; opisane jest to w procedurą postępowania z incydentami bezpieczeństwa.

Gdzie to znajduje się w dyrektywie: artykuł 21 ust. 2, lit. b

Trzy momenty powiadomienia — 24 godziny, 72 godziny, jeden miesiąc — wynikają bezpośrednio z artykułu 21 ust. 2 lit. b Dyrektywy (UE) 2022/2555. Holenderska Ustawa o bezpieczeństwie cybernetycznym wdraża ten obowiązek w prawo krajowe i wchodzi w życie 15 sierpnia 2026 roku; do tej daty dyrektywę samą stanowi źródło, od tego czasu — tekst ustawy opublikowany na wetten.overheid.nl.