måste vi informera vår kund om det har skett ett dataByte

Vanligtvis ja, om incidenten påverkar tjänsten till den kunden

I de flesta fall måste du rapportera en incident till din kund, men inte varje incident och inte till alla. Artikel 21 punkt 2 i NIS2-direktivet nämner "incidenthantering" som en av de tio obligatoriska åtgärderna, och de flesta kundenkäter översätter det till: har du en process för att rapportera incidenter, till vem, och inom vilken tid. Det är något annat än en juridisk rapporteringsskyldighet till en tillsynsmyndighet — din kunds fråga gäller det avtalsmässiga eller operativa avtal mellan du och dem, inte den rapporteringsskyldighet som cybersäkerhetsslagen snart kommer att ålägga vissa enheter.

Ett dataintrång som endast påverkar dina egna interna system och inte någon data eller tjänst från den kunden träffar ofta utanför avtalet. Så snart incidenten väl påverkar data, system eller leveranser som är relevanta för den kunden, är rapportering uppenbar — ofta inom den tidsfrist som anges i avtalet eller databehandleravtalet, inte inom en tidsfrist som vi kan nämna här. Kontrollera därför först vad som är överenskommet i ditt eget avtal med den kunden, för det går före ett allmänt svar i en enkät.

Vad beviset är och vad du svarar utan procedure

Det underliggande beviset är förfarandet för hantering av säkerhetstillbud: däri framgår vem internt som bestämmer om något måste rapporteras, till vem, och inom vilken tid. Har du inte dokumenterat den proceduren, då är "nej" det faktiskt korrekta svaret — ett ja utan dokument håller inte vid en granskning. Kunder som ställer denna fråga frågar ofta i samma enkät också om policy för riskanalys och säkring av informationssystem, eftersom incidenthantering i artikel 21 punkt 2 NIS2 och i Annex A av ISO/IEC 27001 ses som en sammanhängande del av säkerhetspolicyn, inte som en separat process.