cliente pergunta com que rapidez lhes comunicaríamos uma fuga de dados

Três momentos de notificação em 72 horas, não um

O cliente pergunta sobre um prazo de notificação, mas o artigo 21.º, n.º 2 da NIS2 não estabelece um prazo isolado — trata-se de uma série de três momentos. No prazo de 24 horas após a detecção de um incidente significativo, é enviado um aviso prévio à autoridade competente ou ao CSIRT. No prazo de 72 horas segue-se uma notificação mais pormenorizada com uma avaliação preliminar da gravidade e do impacto. E no prazo de um mês após a resolução segue-se um relatório final com a causa, as medidas tomadas e os efeitos transfronteiriços. Se o questionário simplesmente perguntar "em quantas horas notifica uma violação de dados", a resposta é portanto na verdade tríplice, e pode preenchê-la assim: não um número, mas os três passos com o seu próprio prazo.

Detalhe importante: estes prazos aplicam-se a entidades que se enquadram na própria diretiva, e a obrigação de notificação é dirigida à autoridade de supervisão própria — não automaticamente ao cliente que envia o questionário. Se a empresa se enquadra ou não nessa entidade com obrigação de notificação depende do setor e da dimensão; isso está descrito em a empresa se enquadra na Diretiva NIS2 ou na transposição nacional dessa diretiva. O que o cliente normalmente quer saber é se existe um procedimento interno que cumpre estes prazos — este é um ponto diferente da obrigação legal de notificação às autoridades, e é tratado separadamente em existe um procedimento para o tratamento de incidentes de segurança.

Onde consta na diretiva: artigo 21.º, n.º 2, alínea b

Os três momentos de notificação — 24 horas, 72 horas, um mês — decorrem diretamente do artigo 21.º, n.º 2, alínea b da Diretiva (UE) 2022/2555. A Lei de Cibersegurança neerlandesa transpõe esta obrigação para o direito nacional e entra em vigor em 15 de agosto de 2026; até essa data a diretiva em si é a fonte, depois o texto legal tal como publicado em wetten.overheid.nl.