hur besvarar jag frågan om vår anmälningsrutin vid ett dataByte

Själva rapporteringsproceduren, inte dataintrånget

Frågan handlar om er interna process, inte om det redan har förekommit ett intrång. Kunden vill veta om det finns en fastställd procedur för att hantera säkerhetsincidenter: vem som anmäler ett misstanke, till vem, inom vilken tid det eskaleras, och vem som beslutar om en tillsynsmyndighet eller de berörda ska informeras. Det är samma procedur som frågas om vid proceduren för säkerhetsincidenter — ett dataintrång är i praktiken en särskild typ av incident inom denna process, inte ett separat dokument.

Om ni har denna procedur kan "ja" stödjas med själva dokumentet: en handlingsplan, en ansvarig funktion (ofta säkerhetschef eller dataskyddsamordnare), och en registrering av tidigare anmälningar som bevis för att processen fungerar. Saknas en fastställd procedur, men finns det en informell väg ("ring ägaren"), är detta vanligen inte tillräckligt för ett "ja" — dossiern har då ingen källa att stödja sig på, och systemet föreslår i detta fall inget svar. Vissa kunder frågar också om ni själva omfattas av en rapporteringsskyldighet; detta är en annan fråga än proceduren själv, och kan spåras via statusen som NIS2-entitet.

Varför detta faller under artikel 21 punkt 2

Artikel 21 punkt 2 i NIS2-direktivet nämner "hantering av incidenter" som en av tio obligatoriska åtgärder, och en rapporteringsprocedur för dataintrång är genomförandet av detta mot personuppgifter. ISO/IEC 27001 Annex A utvecklar detta vidare med kontrollåtgärder kring incidenthantering, vilket förklarar varför kunder med en ISO-fråga ofta accepterar samma procedurdokument som bevis. Cyberlagstiftningen, den nederländska genomförandet, träder i kraft den 15 augusti 2026 och fastställer denna skyldighet då också nationellt för de enheter som omfattas.