cum răspund la întrebarea despre procedura noastră de raportare în cazul unei încălcări de date

Procedura de raportare în sine, nu încălcarea de date

Întrebarea se referă la procesul vostru intern, nu la faptul că s-a produs deja o încălcare. Clientul dorește să știe dacă există o procedură documentată pentru gestionarea incidentelor de securitate: cine raportează o suspiciune, cui, în cât timp se escaladează, și cine decide dacă o autoritate de supraveghere sau persoanele vizate sunt informate. Aceasta este aceeași procedură la care se face referire în cazul procedurii pentru incidente de securitate — o încălcare de date este în practică un tip specific de incident în cadrul acestui proces, nu un document separat.

Dacă aveți această procedură, "da" poate fi susținut cu documentul în sine: un plan de acțiuni, o funcție responsabilă (adesea ofițer de securitate sau DPO), și o înregistrare a raportărilor anterioare ca dovadă că procesul funcționează și în practică. Dacă lipsește o procedură documentată, dar există o linie informală ("sună proprietarului"), atunci de obicei nu este suficient pentru un "da" — dosarul nu are o sursă pe care să se bazeze, și sistemul nu propune un răspuns în acest caz. Unii clienți întreabă, de asemenea, în aceeași listă dacă ei înșiși sunt supuși unei obligații de raportare; aceasta este o altă întrebare decât procedura în sine, și poate fi urmărită prin statutul de entitate NIS2.

De ce aceasta se încadrează în articolul 21 alineatul 2

Articolul 21 alineatul 2 din directiva NIS2 menționează "incident handling" ca una dintre cele zece măsuri obligatorii, iar o procedură de notificare pentru încălcări de date este implementarea acesteia în direcția datelor cu caracter personal. ISO/IEC 27001 Annex A o dezvoltă mai departe în măsurile de control privind gestionarea incidentelor, ceea ce explică de ce clienții cu o întrebare ISO acceptă adesea aceeași procedură ca dovadă. Legea Securității Cibernetice, transpunerea neerlandeză, intră în vigoare pe 15 august 2026 și stabilește această obligație și la nivel național pentru entitățile care o respectă.