jak odpovím na otázku o našem postupu hlášení při úniku dat

Samotný postup hlášení, ne narušení údajů

Otázka se týká vašeho interního procesu, ne toho, zda již někdy k úniku došlo. Zákazník chce vědět, zda existuje stanoveným postupem pro řešení bezpečnostních incidentů: kdo podezření hlásí, komu, v jaké lhůtě se situace eskaluje, a kdo rozhoduje o tom, zda bude informován regulátor nebo osoby, kterých se to týká. Jedná se o stejný postup, na který se ptají také u postupu pro bezpečnostní incidenty — narušení údajů je v praxi specifickým typem incidentu v rámci tohoto procesu, ne samostatným dokumentem.

Máte-li tento postup, lze odpověď "ano" podepřít samotným dokumentem: acích plán, funkce odpovědné osoby (často bezpečnostní pracovník nebo DPO), a zaznamenávání předchozích hlášení jako důkaz, že proces funguje. Chybí-li stanovený postup, ale existuje neformální linka ("zavolej majiteli"), obvykle to na "ano" nestačí — dossier pak nemá žádný zdroj, na kterém by se mohlo opřít, a systém v tomto případě nenabídne žádný návrh odpovědi. Někteří zákazníci se v téže seznamu ptají také, zda sami podléhají oznamovací povinnosti; jedná se o jinou otázku než samotný postup a lze ji vysledovat přes status jako subjekt NIS2.

Proč to spadá pod článek 21 odst. 2

Článek 21 odst. 2 směrnice NIS2 uvádí "řešení incidentů" jako jedno z deseti povinných opatření a postup hlášení narušení údajů je jeho implementací vůči osobním údajům. ISO/IEC 27001 Annex A to dále rozpracovává v řídicích opatřeních týkajících se řízení incidentů, což vysvětluje, proč zákazníci s otázkou ISO často přijímají stejný postup jako důkazní materiál. Zákon o kybernetické bezpečnosti, nizozemská transpozice, vstupuje v platnost 15. srpna 2026 a zavádí tuto povinnost na národní úrovni také pro subjekty, které pod ni spadají.