Moeten we onze eigen klanten informeren over een NIS2-incident?
Soms. Volgens artikel 23, lid 1, stellen entiteiten die eronder vallen, waar passend, de afnemers van hun diensten onverwijld in kennis van significante incidenten die de verlening van die diensten waarschijnlijk nadelig beïnvloeden. Volgens artikel 23, lid 2, delen entiteiten, waar van toepassing, afnemers die mogelijk door een significante cyberdreiging worden getroffen ook mee welke maatregelen zij kunnen nemen, en waar passend de dreiging zelf. Toezichthouders kunnen zulke informatie ook bevelen. Het nationale recht regelt de details: in Duitsland kan het BSI bevelen afnemers te informeren (§ 35 lid 1 BSIG), en entiteiten in sectoren als financiën, digitale infrastructuur en beheer van ICT-diensten moeten hen over significante cyberdreigingen informeren (§ 35 lid 2). Contracten en de AVGAVG: Algemene verordening gegevensbescherming. De Europese privacywet (Verordening (EU) 2016/679). kunnen eigen plichten toevoegen. Bereid een klantbericht voor als sjabloon in het incidentplan.
Algemene informatie, geen juridisch advies. Nationale wetten kunnen de hier aangehaalde EU-teksten aanvullen, bijvoorbeeld met termijnen, formulieren of meldkanalen: controleer de regels van uw eigen land.
Lees verder
Gerelateerde vragen
- Moeten we een ransomware-aanval melden volgens de AVG?
- Als de gestolen gegevens versleuteld waren, moeten we dan toch melden?
- We halen de AVG-melding niet binnen 72 uur. Mogen we in fasen of te laat melden?
- Wanneer begint de AVG-termijn van 72 uur te lopen?
- Eén incident, meerdere meldingen: hoe verhouden NIS2, de AVG en DORA zich?
Begrippen op deze pagina
- AVG (Algemene verordening gegevensbescherming)
- De Europese privacywet (Verordening (EU) 2016/679).