trebuie să raportez unui incident de securitate din anul trecut clientului nostru

Un incident vechi aparține în chestionar, nu într-un canal de raportare separat

Da, un incident de securitate din anul trecut îl completezi dacă întrebarea se referă la incidente sau la gestionarea acestora — chiar dacă incidentul în sine a fost deja închis. Întrebarea din cele mai multe chestionare ale clienților nu se referă la o amenințare actuală, ci la faptul dacă există o procedură și dacă aceasta funcționează. Un incident finalizat din anul trecut este mai degrabă dovadă pentru asta decât un risc: arată că procedura de gestionare a incidentelor de securitate în practică a fost parcurs, de la semnalare până la închidere.

Acesta este deci ceva diferit de o obligație legală de raportare la o autoritate de supraveghere — care are propriile termene și proprii destinatari, și acele termene au expirat cu mult timp dacă incidentul din anul trecut este. Chestionarul clientului tău nu este un punct de raportare; este o întrebare de responsabilitate. Răspunde pe baza a ceea ce este stabilit acum: există o procedură, a fost aplicată, au fost implementate îmbunătățiri pe baza incidentului? Dacă lipsește acest lucru, atunci "nu" sau "parțial" este un răspuns la fel de valid ca și "da" — atât timp cât se aliniază cu ceea ce se află în dosarul de lanț.

De unde vine asta: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul 2 al Directivei NIS2 menționează gestionarea incidentelor ca una dintre cele zece măsuri obligatorii, alături de, printre altele, analiza riscurilor și securitatea sistemelor informaționale și politica de continuitate. ISO/IEC 27001 detaliază aceasta în Anexa A sub formă de măsuri de control care solicită înregistrarea, răspunsul și evaluarea incidentelor — un dosar închis din anul trecut se potrivește perfect ca material exemplar. Legea privind securitatea cibernetică, transpunerea olandeză a NIS2, intră în vigoare pe 15 august 2026 și reglementează obligația legală de raportare către autorități; acesta este un alt proces decât răspunderea pe care o cere un client în propriul chestionar.