kund frågar hur snabbt vi skulle rapportera ett dataintrång till dem

Tre rapporteringstillfällen inom 72 timmar, inte ett

Kunden frågar efter en rapporteringstid, men artikel 21 punkt 2 i NIS2 föreskriver ingen enkel tidsfrist — det är en serie av tre tillfällen. Inom 24 timmar efter upptäckten av en betydande incident skickas en tidig varning till den behöriga myndigheten eller CSIRT. Inom 72 timmar följer en mer omfattande rapport med en första bedömning av allvarlighetsgrad och påverkan. Och inom en månad efter avslutningen följer en slutlig rapport med orsak, vidtagna åtgärder och gränsöverskridande effekter. Om frågeformuläret helt enkelt frågar "inom hur många timmar rapporterar ni ett datakränkning", är svaret alltså egentligen trelikt, och det får du också fylla i på så sätt: inte ett nummer, utan de tre stegen med sina egna tidsfrister.

Viktigt detalj: dessa tidsfrister gäller för enheter som själva omfattas av direktivet, och rapporteringsplikten är gentemot den egna tillsynsmyndigheten — inte automatiskt gentemot kunden som skickar frågeformuläret. Huruvida företaget själv är en sådan rapporteringsskyldig enhet beror på sektor och storlek; det beskrivs i omfattas organisationen av NIS2-direktivet eller dess nationella genomförande. Det kunden vanligtvis vill veta är om det finns en intern procedur som klarar av sådana här tidsfrister — det är en annan fråga än den lagstiftade rapporteringsplikten gentemot staten, och behandlas separat vid finns det ett förfarande för hantering av säkerhetshändelser.

Där det finns i direktivet: artikel 21 punkt 2, under b

De tre rapporteringstillfällena — 24 timmar, 72 timmar, en månad — följer direkt från artikel 21 punkt 2 under b i direktiv (EU) 2022/2555. Den nederländska cybersäkerhetslagen (Cyberbeveiligingswet) genomför denna förpliktelse i nationell rätt och träder i kraft den 15 augusti 2026; fram till dess är direktivet själv källan, därefter lagstexten enligt publicering på wetten.overheid.nl.