Devons-nous informer nos propres clients d'un incident NIS2 ?

Parfois. Selon l'article 23, paragraphe 1, le cas échéant, les entités concernées informent sans retard injustifié les destinataires de leurs services des incidents importants susceptibles de nuire à la fourniture de ces services. Selon l'article 23, paragraphe 2, s'il y a lieu, elles communiquent aussi aux destinataires potentiellement touchés par une cybermenace importante les mesures qu'ils peuvent prendre, et le cas échéant la menace elle-même. Les autorités peuvent aussi ordonner cette information. Le droit national précise les détails : en Allemagne, le BSI peut ordonner d'informer les destinataires (article 35, paragraphe 1, du BSIG), et les entités de secteurs comme la finance, les infrastructures numériques et la gestion des services TIC doivent les informer des cybermenaces importantes (article 35, paragraphe 2). Les contrats et le RGPDRGPD: règlement général sur la protection des données. La loi européenne sur la protection des données (règlement (UE) 2016/679). peuvent ajouter leurs propres obligations. Préparez un modèle de message aux clients dans le plan de réponse.

Information générale, pas un conseil juridique. Les lois nationales peuvent compléter les textes européens cités ici, par exemple sur les délais, les formulaires ou les canaux de déclaration : vérifiez les règles de votre pays.

← Les 35 questions sur Délais de notificationTous les thèmes