zoznam otázok sa pýta, ako by sme im oznámili únik údajov

Táto otázka sa týka postupu hlásenia, nie povinnosti hlásenia regulačnému orgánu

Klient sa tu pýta, ako funguje váš proces riadenia incidentov, nie či ste už niekedy hlásili únik údajov Úradu na ochranu osobných údajov. Požadovaná odpoveď je opis procesu: ako rozpoznáte bezpečnostný incident, kto sa potom interného upozorní, v akom čase klient dostane sám notifikáciu a prostredníctvom ktorého kanála. To je presne to, čo by malo spadať pod postupu spracúvania incidentov bezpečnosti mali by ste tam už mať vypracovanú politiku.

Ak máte takýto vypracovaný proces, odpoveď je zvyčajne "áno": máte postupy, kontaktnú osobu a dohodnutú lehotu na hlásenie smerom k klientom, ktorých údaje alebo systémy mohli byť postihnuté. Ak takýto proces chýba, alebo existuje iba ústne, potom je "nie" alebo "čiastočne" fakticky správna odpoveď — záväzok, že to "budete robiť odteraz" nie je odpoveďou na dnes. Venujte pozornosť aj prepojeniu na dodávateľov: ak sa incident vyskytne u tretej strany, ktorá pre vás pracuje, ovplyvní to požiadavky, ktoré kladiete svojim vlastným dodávateľom, a niektoré zoznamy otázok sa na to pýtajú osobitne.

Prečo to spadá pod článok 21 odsek 2

Postupy hlásenia incidentov patria medzi desať opatrení článku 21 odsek 2 smernice NIS2 (Smernica (EÚ) 2022/2555); bod b konkrétne spomína riešenie incidentov. V Zákone o kybernetickej bezpečnosti, dutchivedení transpozícii, ktorý nadobudne účinnosť 15. augusta 2026, sa rovnaká povinnosť objavuje pre subjekty spadajúce pod tento zákon. ISO/IEC 27001 vyžaduje v prílohe A porovnateľnú dokumentáciu pod opatreniami kontroly riadenia incidentov. Ktorý z týchto troch na vás vzťahuje, závisí od toho, či vaša spoločnosť sama spadá pod jednu z týchto právnych úprav — to je iná otázka ako táto.