kako odgovorim na pitanje o našem postupku obavijesti o procuri podataka

Sama procedura prijavljivanja, ne curenje podataka

Pitanje se odnosi na vaš interni proces, a ne na to je li već došlo do curenja. Klijent želi znati postoji li ustaljeni postupak za rukovanje sigurnosnim incidentima: tko prijavljuje sumnju, komu, u kojem vremenskom roku se eskalira, i tko odlučuje trebaju li biti obaviješteni nadzorni organi ili pogođene osobe. To je isti postupak kao onaj o kojem se pita kod postupka za sigurnosne incidente — curenje podataka je u praksi specifična vrsta incidenta unutar tog procesa, a ne odvojen dokument.

Ako imate taj postupak, "da" se može potkrijepiti samim dokumentom: plan radnji, odgovorna funkcija (često sigurnosni čelnik ili DPO), i evidencija prethodnih prijava kao dokaz da proces funkcionira. Ako nedostaje ustaljeni postupak, ali postoji neformalna linija ("nazovi vlasnika"), to obično nije dovoljno za "da" — dossier nema izvor na koji se može osloniti, i sustav u tom slučaju ne predlaže odgovor. Neki klijenti u istoj listi također pitaju trebaju li oni sami biti podložni obvezi prijavljivanja; to je drugačije pitanje od same procedure, i može se utvrditi preko statusa kao NIS2-entiteta.

Zašto ovo pada pod članak 21 stavak 2

Članak 21 stavak 2 Direktive NIS2 navodi "rukovanje incidentima" kao jednu od deset obaveznih mjera, a postupak prijavljivanja za curenja podataka je njegova implementacija u smislu osobnih podataka. ISO/IEC 27001 Dodatak A detaljnije razrađuje to kroz mjere upravljanja vezane uz upravljanje incidentima, što objašnjava zašto klijenti s ISO-pitanjem često prihvaćaju isti postupak kao dokazni materijal. Zakon o kibernetskoj sigurnosti, nizozemska transponacija, stupa na snagu 15. kolovoza 2026. godine i postavlja tu obvezu i na nacionalnoj razini za entitete koji joj podliježu.