trebuie să raportez o încălcare a datelor clientului căruia îi aparțin datele

Contractual în general da, conform legii nu automat către client

În general da, dar nu pentru că NIS2 o prescrie în felul acesta. Articolul 21 alineatul 2 al directivei obligă la anunțarea unei amenințări sau incident semnificativ autorității naționale CSIRT sau autorității competente — nu direct fiecărui client. Obligația de anunțare către clientul însuși se află de obicei în contract sau în acordul de prelucrare, iar aceasta este adesea mai strictă și mai rapidă decât ceea ce cere NIS2. Cel care se uită doar la directivă și nu consultă propriile contracte, ratează prin urmare obligația care conteaza cel mai mult în practică.

Pentru clientul care pune întrebarea într-un chestionar, nu este vorba de obicei despre obligația legală de anunțare, ci despre proces: aveți o rută stabilă pentru a identifica, evalua și anunța un incident, și este specificat în aceasta când va fi informat un client? Exact acolo procedurii pentru incidente de securitate se referă, și majoritatea chestionarelor întreabă despre existența procedurii respective, nu despre caz izolate. Dacă întreprinderea nu are acea procedură pe scris, atunci „nu

Baza pentru aceasta: articolul 21 alineatul 2 NIS2 și propriul contract

Articolul 21 alineatul 2 al Directivei (UE) 2022/2555 enumeră zece măsuri pe care o entitate trebuie să le ia, inclusiv sub i) un proces de gestionare a incidentelor; obligația de raportare unei autorități este prevăzută în articolul 23, nu în alineatul 2 însuși, și se adresează CSIRT-ului sau autorității competente. Anexa A a ISO/IEC 27001 cunoaște o măsură de control similară pentru managementul incidentelor, inclusiv comunicarea către părțile interesate, dar nici acolo clientul nu este automat destinatarul standard — aceasta se completează pe baza organizației. Legea privind securitatea cibernetică, transpunerea olandeză care intră în vigoare pe 15 august 2026, urmează aceeași structură. Cine dorește să știe dacă propria sa întreprindere cade sub aceste reguli, verifică dacă întreprinderea este o entitate NIS2; notificarea către client însuși rămâne în toate cazurile o chestiune a contractului aplicabil.