enkäten frågar om vi rapporterat incidenter till en tillsynsmyndighet

Anmälningsplikten gäller endast om du själv omfattas av NIS2

Denna fråga är endast relevant om ditt företag själv är en NIS2-enhet — kritisk eller viktig. Om du inte omfattas av det är svaret vanligtvis "inte tillämpligt" och du kan också notera det på det sättet, med en kort förklaring till varför. Om du är osäker på denna status måste det först utredas via eller om verksamheten omfattas av NIS2-direktivet — svaret på denna fråga beror direkt på det.

Om du omfattas av NIS2 handlar frågan om huruvida du faktiskt har anmält incidenter som uppfyller anmälningskriterierna till CSIRT eller den behörig tillsynsmyndigheten, inom de fastställda tidsfristerna (första anmälan, mellanrapport, slutrapport). Om du gjorde det kan "ja" stödjas med anmälningsbekräftelsen eller incidentregistret som bevis. Om du helt enkelt inte hade någon anmälningspliktig incident under den aktuella perioden är "nej" det faktiskt korrekta svaret — det är ingen brist, och du kan också förklara det på det sättet i textfältet. Det blir först problematiskt om det faktiskt fanns en incident som uppfyllde kriterierna och ingen anmälan gjordes; det är ett faktum som ditt dossier helt enkelt måste återspegla, inte något som ska omformuleras. Denna fråga är för övrigt relaterad till förfarandet för hantering av säkerhetstillbud: utan ett fungerande förfarande finns det vanligtvis inte heller någon sluten anmälningsprocess.

Där detta följer av: artikel 21 punkt 2 bokstav b och cybersäkerhetsliken

Anmälningsplikten i sig står inte i artikel 21 punkt 2 — denna artikel beskriver de tio åtgärderna, inklusive under b incidenthantering som en kontrollåtgärd. Den faktiska anmälningsplikten med tidsfrister är separat reglerad i direktivet och omvandlas för Nederländerna i cybersäkerhetsliken, som träder i kraft den 15 augusti 2026. Fram till det datumet finns det ingen nederländsk lagstiftad anmälningsplikt baserad på NIS2; vad en kund frågar om i en frågelista nu är ofta ett förespeglade på denna förpliktelse eller en ISO 27001-fråga om incidentregistrering i Annex A.