Zákazník sa pýta, ako rýchlo by sme im nahlásili porušenie údajov

Tri ohlasné momenty v priebehu 72 hodín, nie jeden

Zákazník sa pýta na lehotu hlásenia, ale článok 21 odsek 2 smernice NIS2 neurčuje žiadnu samostatnú lehotu — ide o sériu troch momentov. V priebehu 24 hodín od zistenia významného incidentu sa pošle skoré varovanie príslušnému orgánu alebo CSIRT. V priebehu 72 hodín nasleduje podrobnejšie hlásenie s prvým zhodnotením závažnosti a vplyvu. A v priebehu jedného mesiaca po vyriešení nasleduje záverečná správa s príčinou, prijatými opatreniami a cezhraničnými účinkami. Ak sa v zozname otázok jednoducho pýta "v priebehu koľkých hodín hlásite únik údajov", odpoveď je teda vlastne trojdielna, a môžete ju tak vyplniť: nie jedno číslo, ale tri kroky s vlastnou lehotou.

Dôležitý detail: tieto lehoty platia pre subjekty, ktoré sú samy podľa smernice povinné, a oznamovacia povinnosť je voči vlastnému dozornému orgánu — nie automaticky voči klientovi, ktorý posielal zoznam otázok. To, či je podnik sám takým povinným subjektom na nahlasovanie, závisí od sektora a veľkosti; to je popísané v sekcii podlieha podnik sám sebe pod Smerinicu NIS2 alebo jej národnú implementáciu. Čo chce klient zvyčajne vedieť, je to, či existuje interný postup, ktorý umožní splniť takéto lehoty — to je odlišný bod od zákonnej oznamovacej povinnosti voči štátu, a je rozpracovaný osobitne v sekcii existuje postup na spracovanie bezpečnostných incidentov.

Kde je to uvedené v smernici: články 21 odsek 2, písm. b

Tri termíny na hlásenie — 24 hodín, 72 hodín, jeden mesiac — vyplývajú priamo z článku 21 odsek 2 písm. b Smernice (EÚ) 2022/2555. Holandský zákon o kybernetickej bezpečnosti (Cyberbeveiligingswet) zavádzajú túto povinnosť do vnútroštátneho práva a nadobúda účinnosti 15. augusta 2026; do tohto dátumu je samotná smernica zdroj, potom je to znenie zákona uverejnené na wetten.overheid.nl.