questionário pergunta como notificaríamos uma violação de dados a eles

Esta pergunta trata de procedimento de notificação, não de obrigação de notificação a uma autoridade supervisora

O cliente pergunta aqui como funciona o seu processo de incidentes, não se já notificou alguma vez uma violação de dados à Autoridade de Proteção de Dados. A resposta que se pede é uma descrição do processo: como identifica um incidente de segurança, quem é avisado internamente, em que prazo o cliente recebe pessoalmente uma notificação, e através de qual canal. É exatamente o que deveria constar o procedimento para incidentes de segurança quando tiver estabelecido uma política nesse domínio.

Se tem um processo assim estabelecido, a resposta é geralmente "sim": tem um procedimento, um ponto de contacto e um prazo de notificação acordado para com os clientes cujos dados ou sistemas possam ter sido afetados. Se esse processo não existe, ou existe apenas de forma informal, então "não" ou "parcialmente" é a resposta factualmente correta — um compromisso de o fazer "a partir de agora" não é uma resposta para hoje. Preste também atenção à ligação com fornecedores: se o incidente ocorre numa terceira parte que trabalha para si, isso afeta os requisitos que estabelece para os seus próprios fornecedores, e algumas listas de verificação perguntam separadamente sobre isso.

Por que isto se enquadra no artigo 21.º n.º 2

Os procedimentos de notificação de incidentes fazem parte das dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2 (Diretiva (UE) 2022/2555); a alínea b menciona o tratamento de incidentes pelo nome. Na Lei de Cibersegurança, a transposição holandesa que entra em vigor em 15 de agosto de 2026, a mesma obrigação volta a surgir para entidades abrangidas por essa lei. A ISO/IEC 27001 pede no Anexo A um registo semelhante, sob as medidas de controlo para gestão de incidentes. Qual das três se lhe aplica depende de se a sua empresa está ou não sujeita a um desses regimes — é uma pergunta diferente desta.