musím hlásit únik údajov klientovi, ktorého údaje sú postihnuté

Zmluvne väčšinou áno, právne nie automaticky klientovi

Väčšinou áno, ale nie preto, že to tak predpisuje NIS2. Článok 21 odsek 2 smernice ukládá nahlásenie významnej hrozby alebo incidentu národnému CSIRT alebo príslušnému orgánu — nie priamo každému klientovi. Povinnosť nahlásenia samotného klienta je zvyčajne uvedená v zmluve alebo zmluve o spracovaní údajov a často je prísnejšia a rýchlejšia, ako si žiada NIS2. Kto sa pozerá len na smernicu a nepreskúma vlastné zmluvy, vynechá teda povinnosť, ktorá sa v praxi uplatňuje ako prvá.

Pre klienta, ktorý si položí otázku v zozname otázok, ide zvyčajne nie o právnu povinnosť nahlásenia, ale o proces: máte určitú trasu na rozpoznanie incidentu, jeho posúdenie a nahlásenie, a obsahuje, kedy bude klient informovaný? Práve to je to, čo postupu spracúvania incidentov bezpečnosti sa týka, a väčšina zoznamov sa pýta na existenciu tohto postupu, nie na jednotlivé prípady. Ak podnik tento postup nemá napísaný, potom je tu "nie" poctivá odpoveď — každý tu zaväzuje klienta, že bude vždy zavolaný, nikto nemôže vyplniť namiesto vás.

Kde sa to opiera: článok 21 odsek 2 NIS2 a vlastná zmluva

Článok 21 odsek 2 Smernice (EÚ) 2022/2555 uvádza desať opatrení, ktoré musí entita prijať, vrátane pod i) procesu zvládania incidentov; povinnosť nahlásenia orgánu je v článku 23, nie v samotnom odseku 2, a zameriaľa sa na CSIRT alebo príslušný orgán. Príloha A ISO/IEC 27001 obsahuje podobné opatrenie na riadenie incidentov, vrátane komunikácie so zainteresovanými stranami, ale aj tam klient nie je automaticky štandardným príjemcom — to sa vypĺňa pre každú organizáciu. Kybernetický bezpečnostný zákon, holandská implementácia, ktorá nadobúda účinnosť 15. augusta 2026, nasleduje rovnakú štruktúru. Kto chce zistiť, či jeho podnik sám spadá pod tieto pravidlá, skontroluje to pri otázke, či je podnik NIS2 entitou; nahlásenie samotného klienta zostáva v každom prípade záležitosťou zmluvy, ktorá sa uplatňuje.