måste jag rapportera en hack eller dataintrång till min uppdragsgivare

Rapportering till kunden är vanligtvis avtalsbaserad, inte lagstadgad

Rapporteringsplikten vid en cyberincident finns i de flesta fall i kontraktet med din kund, inte direkt i lag. Artikel 21 stycke 2 i NIS2-direktivet förpliktar organisationer som själva omfattas av direktivet att genomföra incidenthantering och rapportera till sin egen tillsynsmyndighet — det är listan över tio åtgärder som du ser i nästan varje frågeformulär. Den rapporteringsplikten till en tillsynsmyndighet är något annat än en rapporteringsplikt till en kund. Huruvida du måste rapportera en incident till din uppdragsgivare beror alltså på vad som står i databehandlaravtalet eller leveransavtalet, och på frågan om din kund själv omfattas av NIS2-direktivet och därför är beroende av din rapportering för att hålla sin egen kedja i ordning.

I praktiken frågar inte frågeformuläret "har ni haft en incident", utan om det finns ett förfarande för att identifiera, bedöma och rapportera incidenter — det är precis vad frågan om en procedur för säkerhetsincidenter syftar till. Om du har det förfarandet kan du svara ja på den frågan utan att någonsin behöva säga om och när du har haft en konkret incident. Det senare förblir en separat, avtalsbaserad fråga som kan skilja sig åt mellan kunder.

Vad detta grundas på: Cybersäkerhetslag och Annex A

Cybersäkerhetslagen, den nederländska omställningen av NIS2 som träder i kraft den 15 augusti 2026, fastslår rapporteringsplikten till tillsynsmyndigheten för enheter som omfattas av lagen — huruvida det gäller ditt företag är frågan som också återkommer i eller om företaget självt omfattas av NIS2-direktivet. ISO/IEC 27001 Annex A arbetar detta ut internt som en kontrollåtgärd för incidenthantering, skild från någon rapporteringsplikt till en extern part. En avtalsbaserad rapporteringsplikt till en kund står alltså vid sidan av, inte i stället för, dessa juridiska och normativa ramverk.