tenho de comunicar um hack ou fuga de dados ao meu cliente

Reportar ao cliente é geralmente contratual, não legal

A obrigação de notificação em caso de incidente cibernético encontra-se na maioria dos casos no contrato com seu cliente, não diretamente na lei. O artigo 21.º, n.º 2 da Diretiva NIS2 obriga as organizações que se enquadram na própria diretiva a responder a incidentes e a notificar sua própria autoridade supervisora — esse é o conjunto de dez medidas que aparece em praticamente todas as listas de verificação. Essa obrigação de notificação a uma autoridade supervisora é diferente de uma obrigação de notificação a um cliente. Se você deve notificar um incidente ao seu cliente depende, portanto, do que está estabelecido no contrato de processamento ou contrato de fornecimento e da questão de se seu cliente se enquadra na Diretiva NIS2 e, portanto, depende de sua notificação para manter sua própria cadeia em conformidade.

Na prática, a lista de verificação não pergunta "teve um incidente", mas se existe um procedimento para identificar, avaliar e notificar incidentes — é exatamente o que a questão sobre um procedimento para incidentes de segurança visa. Se você tem esse procedimento, pode responder sim a essa pergunta sem nunca ter que dizer se e quando teve um incidente concreto. Este último permanece uma questão separada e contratual que pode variar para cada cliente.

Onde isso se baseia: Lei de Cibersegurança e Anexo A

A Lei de Cibersegurança, a transposição holandesa da NIS2 que entra em vigor em 15 de agosto de 2026, estabelece a obrigação de notificação à autoridade supervisora para as entidades que se enquadram na lei — se sua empresa se enquadra nela é a questão que também aparece em se a empresa está ou não sujeita à directiva NIS2. ISO/IEC 27001 Anexo A desenvolve isso internamente como medida de controle para gestão de incidentes, separadamente de qualquer obrigação de notificação a terceiros. Uma obrigação contratual de notificação a um cliente existe, portanto, além de, e não em vez de, esses marcos legal e normativo.