vprašalnik sprašuje, ali smo imeli varnostni incident v zadnjih letih

Vprašanje o incidentu se nanaša na dejstva, ne na ugled

Vprašanje, ali ste v preteklih letih doživeli varnostni incident, zahteva dejansko odgovor: da ali ne, in pri da običajno s kratkim pojasnjvanjem o naravi, vplivu in obravnavi. Ni dobrega ali slabega odgovora — »da« s primerno obravnavo je za številne stranke bolj verodostojno kot neutemeljeno »ne« pri dobavitelju, ki drugače ne more pokazati ničesar o svojih varnostnih ukrepih. Ključno je: ali lahko odgovor dokazuješ?

Če je bil incident, dokaz ni sam incident, ampak njegova obravnava: ali je bil prijavljen, raziskan in obravnavan v skladu s stalnim postopkom? To je natanko tisto, kar postopkom za obravnavo varnostnih incidentov vpraša, in stranke to vprašanje pogosto kombinirajo s tistima dvema. Če ni bilo incidenta, je »ne« odgovor, morda z navedko na ukrepe za zaznavanje, ki to dokazujejo — glej postopkom za odkrivanje in odpravljanje ranljivosti. Brez incidentnega registra ali -knjige je "ne" še vedno veljaven odgovor, vendar brez osnovnega dokazila; to lahko omeniš v pojasnilu namesto da bi si izmislil dokaz, ki ga ni.

Zakaj spada med deset ukrepov

Obravnava incidentov ("incident handling") je eden od desetih konkretnih ukrepov, ki jih navaja člen 21(2) direktive NIS2 (Direktiva (EU) 2022/2555) kot del varnostne politike subjekta. V nizozemski implementaciji prek Zakona o kibernetski varnosti — ki stopa v veljavo 15. avgusta 2026 — enaka zahteva velja za subjekte, ki spadajo pod ta zakon. Zato je vprašanje o prejšnjih incidentih v praksi pogosto posredni preizkus vprašanja, ali ima organizacija proces obravnave incidentov, ne le o samem incidentu. Kdor uporablja ISO/IEC 27001, prepozna isto temo v Prilohi A, med nadzornimi ukrepi za "upravljanje varnostnih incidentov z informacijami".