Ali moram obvestiti svojega naročnika o haku ali kršitvi podatkov

Obvestilo stranki je običajno pogodbeno, ne zakonsko

Obveza obvestila ob kibernetskem incidentu je v večini primerov predvidena v pogodbi s stranko, ne neposredno v zakonu. Člen 21 odstavek 2 Direktive NIS2 zavezuje organizacije, ki same sodijo pod direktivo, k odzivanju na incidente in k obvestitvi lastnega nadzornega organa — to je seznam desetih ukrepov, ki ga vidite v prav tako rekoč vsakem vprašalniku. Ta obveza obvestila nadzornemu organu se razlikuje od obveze obvestila stranki. Ali morate incident obvestiti naročnika, je torej odvisno od tega, kaj je navedeno v pogodbi o obdelavi podatkov ali pogodbi o dobavi, ter od tega, ali vaša stranka sama sodi pod Direktivo NIS2 in je zato odvisna od vašega obvestila, da drži svojo verigo v redu.

V praksi vprašalnik ne sprašuje »ste imeli incident«, temveč ali obstaja postopek za prepoznavanje, ocenjevanje in obveščanje incidentov — to je točno, na kar vprašanje o postopku za varnostne incidente kaže. Če imate tak postopek, lahko na to vprašanje odgovorite z »da«, ne da bi se morali kdaj izjaviti, ali in kdaj ste imeli konkreten incident. Slednje ostane ločeno, pogodbeno vprašanje, ki se lahko razlikuje glede na stranko.

Osnova za to: Zakon o kibernetski varnosti in Pripomoček A

Zakon o kibernetski varnosti, nizozemska prenova Direktive NIS2, ki začne veljati 15. avgusta 2026, določa obveznost obveščanja nadzornega organa za subjekte, ki sodijo pod zakon — ali to velja za vaše podjetje, je vprašanje, ki se pojavi tudi v ali podjetje samo spada pod Direktivo NIS2Pripomoček A standarda ISO/IEC 27001 to razvije kot notranji nadzorni ukrep za upravljanje incidentov, ločeno od katerekoli obveze obveščanja zunanje strani. Pogodbena obveza obveščanja stranki je torej skupaj s, ne namesto, teh zakonskih in normativnih okvirjev.