chestionarul întreabă dacă am raportat incidente unei autorități de supraveghere

Obligația de raportare se aplică doar dacă tu însuți cazi sub NIS2

Această întrebare este relevantă doar dacă întreprinderea ta este ea însăși o entitate NIS2 — esențială sau importantă. Dacă nu cazi sub aceasta, atunci răspunsul este de obicei "nu este aplicabil" și poți nota și asta, cu o scurtă explicație privind motivul. Dacă te îndoiești cu privire la acel statut, atunci trebuie mai întâi clarificat prin dacă întreprinderea cade sub directiva NIS2 — răspunsul la această întrebare depinde direct de aceasta.

Dacă cazi sub NIS2, atunci întrebarea se referă la faptul dacă ai raportat efectiv incidentele care îndeplinesc criteriile de raportare către CSIRT sau autoritatea de supraveghere competentă, în termenele stabilite (raportarea inițială, raportarea intermediară, raportul final). Dacă ai făcut-o, atunci "da" poate fi susținut cu confirmarea raportării sau registrul de incidente ca dovadă. Dacă în perioada solicitată pur și simplu nu ai avut un incident care să justifice raportarea, atunci "nu" este răspunsul factual corect — aceasta nu este o deficiență, și poți explica asta și în câmpul text liber. Problema apare doar dacă a existat cu adevărat un incident care îndeplinea criteriile și nu a fost făcută vreo raportare; aceasta este un fapt pe care dosarul tău trebuie să îl reflecte, nu ceva de reformulat. Această întrebare este, de altfel, legată de procedura de gestionare a incidentelor de securitate': fără o procedură funcțională, de obicei nici nu există un proces de raportare etanș.

Conform articolului 21 alineatul 2 litera b și Legea privind securitatea cibernetică

Obligația de raportare în sine nu se află în articolul 21 alineatul 2 — acel articol descrie cele zece măsuri, inclusiv sub b gestionarea incidentelor ca măsură de control. Obligația de raportare propriu-zisă cu termene este reglementată separat în directivă și este transpusă pentru Olanda în Legea privind securitatea cibernetică, care intră în vigoare pe 15 august 2026. Până la acea dată, nu există o obligație legală neerlandeză de raportare pe baza NIS2; ceea ce un client cere acum într-o listă de întrebări, este adesea un anticipat la acea obligație sau o întrebare conform ISO 27001 privind înregistrarea incidentelor în Anexa A.