Musím nahlásiť bezpečnostný incident z minulého roka v dotazníku

Starý incident zvyčajne patri do odpovede

Áno, vo väčšine prípadov nahlasujete incident z minulého roka aj teraz, ak otázka v zozname nie je výslovne obmedzená na určité časové obdobie. Zoznamy otázok zvyčajne pýtajú na situáciu všeobecne: či sa vyskytol incident a ako sa spracoval. Malý incident z minulého roka k tomu patrí, aj keď už bol vyriešený a nemá ďalšie následky. Ak otázka obsahuje časové obdobie — "v posledných dvanástich mesiacoch" alebo "v tomto kalendárnom roku" — je to rozhodujúce a berú sa do úvahy len udalosti, ktoré sa udiali v tomto období.

Často je dôležitejšie ako samotný incident to, ako ste na neho reagovali. Klient, ktorý sa pýta na incidenty, chce v skutočnosti vedieť, či za tým stojí proces: či bol identifikovaný, či bol vyriešený, či sa z neho poučili. To súvisí s postupom na spracovanie bezpečnostných incidentov. Ak máte takýto postup a bol dodržaný, potom malý incident z minulého roka nie je problém nahlasovať — naopak ukazuje, že proces funguje. Ak si nie ste istí, či sú podrobnosti príliš citlivé na zdieľanie, použite tlačidlo dôvernosti pri odpovedi namiesto úpravy samotnej odpovede.

Prečo je to oddelené od povinnosti hlásenia v Zákone o kybernetickej bezpečnosti

Táto otázka v zozname otázok je niečo iné ako zákonná povinnosť hlásenia dozorovateľovi. Článok 21 odsek 2 smernice NIS2 uvádza zaobchádzanie s incidentami ako jedno z desiatich povinných opatrení pre subjekty podliehajúce smernici; Zákon o kybernetickej bezpečnosti to vykonáva ako slovenskú transpozíciu s povinnosťou hlásenia príslušnému orgánu. To, či sa táto povinnosť hlásenia vzťahuje na podnik, závisí od toho, či sám podlieha smernici — to si môžete overiť v otázke, či podnik podlieha smernici NIS2. Otázka v zozname otázok od klienta je od toho nezávislá: nepýta sa na zákonné hlásenie, ale na transparentnosť voči klientovi o tom, ako vyspelý je proces spracovania incidentov.