lista kontrolna pyta, czy zgłaszaliśmy incydenty organowi nadzorczemu

Obowiązek zgłoszenia obowiązuje tylko wtedy, gdy sam podlegasz NIS2

To pytanie jest istotne tylko wtedy, gdy Twoja organizacja jest sama podmiotem NIS2 — istotnym lub ważnym. Jeśli do tego nie należysz, odpowiedź zwykle brzmi "nie dotyczy" i możesz to również zaznaczyć, z krótkim wyjaśnieniem przyczyny. Jeśli masz wątpliwości dotyczące tego statusu, należy to najpierw wyjaśnić za pośrednictwem czy organizacja jest objęta dyrektywą NIS2 — odpowiedź na to pytanie zależy bezpośrednio od tego.

Jeśli podlegasz NIS2, pytanie dotyczy tego, czy incydenty spełniające kryteria zgłoszenia faktycznie zgłosiłeś CSIRT-owi lub właściwemu organowi nadzoru, w wyznaczonych terminach (zgłoszenie wstępne, zgłoszenie pośrednie, raport końcowy). Jeśli to zrobiłeś, to "tak" można uzasadnić potwierdzeniem zgłoszenia lub rejestrem incydentów jako dowodem. Jeśli w danym okresie po prostu nie miałeś incydentu podlegającego obowiązkowi zgłoszenia, "nie" jest faktycznie prawidłową odpowiedzią — nie jest to uchybienie, i możesz to również wyjaśnić w polu wolnego tekstu. Problem pojawia się dopiero, gdy miał miejsce incydent spełniający kryteria, a żadne zgłoszenie nie zostało złożone; jest to fakt, który Twój dossier musi po prostu odzwierciedlać, a nie coś do innego sformułowania. Pytanie to jest powiązane z procedurą obsługi incydentów bezpieczeństwa: bez skutecznej procedury zwykle nie ma również zamkniętego procesu zgłaszania.

Gdzie to wynika: artykuł 21 ust. 2 lit. b i Ustawa o cyberbezpieczeństwie

Obowiązek zgłoszenia nie jest zawarty w artykule 21 ust. 2 — artykuł ten opisuje dziesięć środków, w tym pod lit. b obsługę incydentów jako środek kontroli. Faktyczny obowiązek zgłoszenia z terminami jest regulowany oddzielnie w dyrektywie i implementowany dla Holandii w Ustawie o cyberbezpieczeństwie, która wchodzi w życie 15 sierpnia 2026 r. Do tego czasu nie istnieje holenderski obowiązek zgłoszenia na mocy NIS2; to, o co klient pyta teraz w kwestionariuszu, jest często wyprzedzeniem tego obowiązku lub pytaniem ISO 27001 dotyczącym rejestracji incydentów w Załączniku A.

Na czym to się opiera

Sama rozporządzenie znajduje się na EUR-Lex. Powołujemy się na każde stwierdzenie; nie musisz nam wierzyć.

Co konkretnie musisz zrobić

Szczegóły dla każdego obowiązku, wraz z mającymi zastosowanie terminami i szablonami do ich dokumentacji, znajdują się w subskrypcji.

Zapoznaj się z subskrypcją Najpierw bezpłatny szybki przegląd

To nie jest porada prawna. Ta strona zawiera ogólne informacje o przepisach, których dotyczy ta platforma. Nie znamy Twojej sytuacji. W razie wątpliwości co do Twojego konkretnego przypadku skonsultuj się z prawnikiem lub właściwym organem nadzoru.

Napisane za pomocą AI na podstawie powyższych źródeł, sprawdzane przez człowieka w dniu 2026-09-05. Coś się nie zgadza? Daj nam znać — poprawki mają priorytet.