naročnik želi vedeti, ali poročam o incidentih v 24 urah

24 ur je opozorilo, ne popolna prijava

Ne, ne v smislu popolnega incidentnega poročila v 24 urah — vendar obstaja obveznost, ki je temu blizu. Člen 21 odstavek 2 Direktive NIS2 zavezuje »pomembne« in »bistvene« subjekte, da v fazah prijavijo pomembne incidente: zgodnjo opozorilo v 24 urah, ki ji sledi popolna prijava v 72 urah, in končno poročilo pozneje. Ta obveznost se neposredno uporablja za subjekt, ki je zajet v NIS2 — to je običajno odjemalec, ki pošilja vprašalnik, ne nujno dobavitelj, ki ga izpolnjuje. Ali te obveznosti v 24 urah velja tudi za tvoje lastno podjetje, je odvisno od tega, ali sam kot subjekt spadaš v obseg direktive; to je opisano pri vprašanje, ali je podjetje samo zajeto v NIS2.

Kar želi odjemalec s tem vprašanjem običajno vedeti, ni to, ali izpolnjuješ zakonsko obveznost prijave pri nadzorniku, temveč ali ga dovolj hitro obveščaš, če se pri tebi zgodi kaj, kar vpliva na njegovo storitev. To je pogodbena dogovorka, ni zakonska rokov iz same direktive — 24 ur iz NIS2 je obveznost med subjektom in nadzorom, ne samodejno med dobaviteljem in odjemalcem. Če imaš postopek za incidente s svojimi internimi rokovniki, je to dokazilo, ki se običajno priloži; ta postopek je opisan pri vprašanje o postopku za varnostne incidente. Če nimaš določenega roka, je »ne« s kratko razlago bolj pošteno kot »da«, ki ga ne moreš utemeljiti.

Kjer je to v direktivi: člen 21(2)

Fazirana obveznost prijave — zgodnjo opozorilo v 24 urah, prijava v 72 urah, končno poročilo — je v členu 21 odstavek 2 Direktive (EU) 2022/2555, kot del desetih ukrepov, ki so tam našteti. Ta obveznost se nanaša na razmerje med subjektom in pristojnim nadzorom ali CSIRT, ne na razmerje med dobaviteljem in odjemalcem. Nizozemski zakon o kibernetski varnosti ta direktivo preslika v nacionalno zakonodajo; kdo je točno zajet v obveznost prijave in od kdaj, sledi iz tega zakona, ko vstopi v veljavo.