Ako si mám odpovedať na otázku o našom postupe pri nahlasovaní porušenia údajov

Samotný postup nahlasovania, nie narušenie údajov

Otázka sa týka vášho interného procesu, nie toho, či sa už niekedy uskutočnilo narušenie. Zákazník chce vedieť, či existuje stanovený postup na spracovanie incidentov bezpečnosti: kto nahlási podozrenie, komu, v akom čase sa incident eskaluje, a kto rozhoduje o tom, či budú informovaní dohľadný orgán alebo dotknuté osoby. To je rovnaký postup ako ten, o ktorý sa pýta v prípade postupu spracúvania incidentov bezpečnosti — narušenie údajov je v praxi špecifický typ incidentu v rámci tohto procesu, nie samostatný dokument.

Ak máte tento postup, je "áno" možné podložiť samotným dokumentom: akčný plán, zodpovedná funkcia (často bezpečnostný špecialista alebo DPO), a záznamy o predchádzajúcich hláseniach ako dôkaz, že proces funguje. Ak chýba stanovený postup, ale existuje neformálny postup ("zavolajte vlastníkovi"), zvyčajne to na "áno" nestačí — dossier nemá zdroj, na ktorý by sa mohol oprieť, a systém v takom prípade nevie návrh odpovede. Niektorí zákazníci sa v rovnakom zozname pýtajú aj na to, či vy sami podliehate povinnosti hlásenia; to je iná otázka ako samotný postup a možno ju vysledovať pomocou statusu NIS2 entity.

Prečo to spadá pod článok 21 odsek 2

Článok 21 odsek 2 smernice NIS2 uvedomuje "incident handling" ako jedno z desiatich povinných opatrení, a postup nahlasovania narušení údajov je jeho realizáciou vzhľadom na osobné údaje. ISO/IEC 27001 príloha A to ďalej rozpracúva v kontrolných opatreniach týkajúcich sa riadenia incidentov, čo vysvetľuje, prečo zákazníci s otázkou na ISO často akceptujú rovnaký postup ako dokazný materiál. Zákon o kybernetickej bezpečnosti, nizozemská implementácia, nadobúda účinnosť 15. augusta 2026 a vkladá túto povinnosť potom aj národne pre entity, na ktoré sa vzťahuje.