Musím nahlásiť hack alebo porušenie údajov môjmu objednávateľovi

Hlásenie zákazníkovi je zvyčajne zmluvné, nie zákonné

Povinnosť hlásenia v prípade kybernetického incidentu sa v prevažnej väčšine prípadov nachádza v zmluve s vaším zákazníkom, nie priamo v zákone. Článok 21 odstavec 2 smernice NIS2 zavezuje organizácie, ktoré sú samotné v rozsahu pôsobnosti smernice, na reakčnú činnosť v prípade incidentov a na hlásenie svojmu vlastnému dozorovacímu orgánu — to je zoznam desiatich opatrení, ktorý vidíte v takmer každej kontrolnej listine. Táto povinnosť hlásenia dozorovacímu orgánu sa líši od povinnosti hlásenia zákazníkovi. To, či musíte hlásať incident svojmu objednávateľovi, teda závisí od toho, čo je uvedené v zmluve o spracúvaní alebo zmluve o dodávkach, a od toho, či váš zákazník sám podlieha smernici NIS2 a teda závisí od vášho hlásenia, aby si udržal svoju vlastnú dodávateľskú reťaz v poriadku.

V praxi sa v kontrolnej listine nepýta "mali ste incident", ale či existuje postup na rozpoznávanie, hodnotenie a hlásenie incidentov — to je presne to, na čo je otázke o postupe pri bezpečnostných incidentoch orientovaná. Ak máte tento postup, potom môžete túto otázku odpovedať áno bez toho, aby ste kedy museli povedať, či a kedy ste mali konkrétny incident. Posledné uvedené zostáva samostatnou, zmluvnou otázkou, ktorá sa môže líšiť od zákazníka k zákazníkovi.

Na čom sa to zakladá: Zákon o kybernetickej bezpečnosti a Príloha A

Zákon o kybernetickej bezpečnosti, holandská transpozícia NIS2, ktorá nadobúda účinnosť 15. augusta 2026, stanovuje povinnosť hlásenia dozorovacímu orgánu pre subjekty, ktoré podliehajú zákonu — či sa to vzťahuje na vašu podnikateľskú činnosť, je otázka, ktorá sa objavuje aj v alebo či podnik sám spadá pod smernicu NIS2. ISO/IEC 27001 Príloha A to vypracúva ako kontrolné opatrenie na riadenie incidentov, oddelene od akejkoľvek povinnosti hlásenia externe tretej strane. Zmluvná povinnosť hlásenia zákazníkovi stojí teda vedľa, nie namiesto, týchto právnych a normatívnych rámcov.