Czy musimy informować własnych klientów o incydencie NIS2?

Czasem tak. Zgodnie z art. 23 ust. 1, w stosownych przypadkach, podmioty objęte dyrektywą bez zbędnej zwłoki informują odbiorców swoich usług o poważnych incydentach, które mogą niekorzystnie wpłynąć na świadczenie tych usług. Zgodnie z art. 23 ust. 2, tam gdzie ma to zastosowanie, podmioty informują też odbiorców, których może dotyczyć poważne cyberzagrożenie, o tym, co mogą zrobić w odpowiedzi, a w stosownych przypadkach także o samym zagrożeniu. Takie informowanie mogą też nakazać organy. Szczegóły określa prawo krajowe: w Niemczech BSI może nakazać poinformowanie odbiorców (§ 35 ust. 1 BSIG), a podmioty z sektorów takich jak finanse, infrastruktura cyfrowa i zarządzanie usługami ICT muszą informować ich o poważnych cyberzagrożeniach (§ 35 ust. 2). Umowy i RODORODO: ogólne rozporządzenie o ochronie danych. Unijne prawo o ochronie danych osobowych (rozporządzenie (UE) 2016/679). mogą dodawać własne obowiązki. Szablon komunikatu dla klientów warto przygotować w ramach planu reagowania.

Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.

← Wszystkie pytania (35): Terminy zgłaszania incydentówWszystkie tematy