tenho de comunicar um incidente de segurança do ano passado na lista de questões

Um incidente antigo geralmente sim faz parte da resposta

Sim, na maioria dos casos você relata um incidente do ano passado também agora, se a pergunta na lista não estiver explicitamente limitada a um período específico. As listas de perguntas geralmente perguntam sobre a situação em geral: ocorreu um incidente e como foi tratado. Um pequeno incidente do ano passado se enquadra nisso, mesmo que já tenha sido resolvido e não tenha mais consequências. Se houver um período na pergunta — "nos últimos doze meses" ou "neste ano civil" — isso é determinante, e você inclui apenas o que se enquadra nesse período.

Muitas vezes, mais importante do que o incidente em si é como você reagiu a ele. Um cliente que pergunta sobre incidentes quer saber se há um processo por trás disso: foi detectado, foi resolvido, lições foram aprendidas. Isso se alinha com um procedimento para o tratamento de incidentes de segurança. Se você tem um procedimento assim e o seguiu, então um pequeno incidente do ano passado não é problema reportar — na verdade mostra que o processo funciona. Se duvidar que os detalhes sejam sensíveis demais para compartilhar, use o botão de confidencialidade na resposta em vez de adaptar a resposta em si.

Por que isso está separado da obrigação de notificação na Lei de Segurança Cibernética

Esta pergunta em uma lista de perguntas é algo diferente da obrigação de notificação legal a um supervisor. O artigo 21.º, n.º 2 da Diretiva NIS2 menciona o tratamento de incidentes como uma das dez medidas obrigatórias para entidades abrangidas pela diretiva; a Lei de Segurança Cibernética a desenvolve como a transposição holandesa, com uma obrigação de notificação à autoridade competente. Se essa obrigação de notificação se aplica à empresa depende de se ela mesma está abrangida pela diretiva — isso pode ser verificado em a pergunta se a empresa está abrangida pela Diretiva NIS2. A pergunta em uma lista de perguntas do cliente está separada disso: não pergunta sobre uma notificação legal, mas sobre transparência em relação ao cliente sobre como é maduro o processo de incidentes.