client întreabă cât de repede i-am notifica despre o scurgere de date

Trei momente de raportare în 72 de ore, nu doar unul

Clientul întreabă despre un termen de raportare, dar articolul 21 alineatul 2 din NIS2 nu prevede un termen separat — este o serie de trei momente. În termen de 24 de ore de la detectarea unui incident semnificativ, o avertizare timpurie se transmite autorității competente sau CSIRT. În termen de 72 de ore urmează o raportare mai detaliată cu o primă evaluare a gravității și impactului. Și în termen de o lună după remediare urmează un raport final cu cauza, măsurile luate și efectele transfrontaliere. Dacă chestionarul pur și simplu întreabă "în câte ore raportați o încălcare de date", răspunsul este de fapt triplu, și poți să-l completezi și așa: nu un singur cifr, ci cei trei pași cu propriii lor termeni.

Detaliu important: acești termeni se aplică entităților care în sine cad sub incidența directivei, și obligația de raportare este către propriul supraveghetor — nu automat către clientul care trimite chestionarul. Dacă întreprinderea în sine este o entitate obligată să raporteze depinde de sector și mărime; aceasta este descrisă la is the company subject to the NIS2 Directive or its national implementation. Ceea ce clientul de obicei doreşte să cunoască este dacă există o procedură internă care respectă acești termeni — aceasta este un punct diferit de obligația legală de raportare către autorități, și este tratată separat la există o procedură pentru tratarea incidentelor de securitate.

Locul în care se regăsește în directivă: articolul 21 alineatul 2, litera b

Cele trei momente de raportare — 24 de ore, 72 de ore, o lună — decurg direct din articolul 21 alineatul 2 litera b din Directiva (UE) 2022/2555. Legea olandeză privind securitatea cibernetică transpune această obligație în dreptul național și intră în vigoare pe 15 august 2026; până la acea dată sursa este directiva în sine, după aceea textul legii așa cum este publicat pe wetten.overheid.nl.