Prawo UE: RODO, DORA, CRA i AI Act

Ogólne rozporządzenie o ochronie danych (RODO), czyli rozporządzenie (UE) 2016/679, to unijne prawo o postępowaniu z informacjami o ludziach. Obowiązuje bezpośrednio w każdym państwie członkowskim i obejmuje każde przetwarzanie danych osobowych, czyli informacji pozwalających bezpośrednio lub pośrednio zidentyfikować osobę, przez organizacje w UE oraz przez organizacje spoza niej, które oferują towary lub usługi osobom w UE albo monitorują ich zachowanie. Jego główne zasady są proste: miej podstawę prawną dla każdego użycia danych, korzystaj tylko z tego, czego potrzebujesz, dbaj o ich prawidłowość i nie trzymaj dłużej, niż trzeba, chroń je, informuj osoby, których dotyczą, i umiej to wszystko wykazać. Ludzie mają prawa takie jak dostęp, sprostowanie i usunięcie danych. Dla zespołu bezpieczeństwa RODO ma znaczenie podwójne: logi bezpieczeństwa same są danymi osobowymi, a incydent może być naruszeniem ochrony danych osobowych z osobnym obowiązkiem zgłoszenia. Prawo krajowe dodaje własne zasady, na przykład dotyczące danych pracowników, więc sprawdź swoje.

Często tak, a w kontekście bezpieczeństwa warto to zakładać. Dane osobowe to wszelkie informacje o osobie, którą można zidentyfikować bezpośrednio lub pośrednio, a RODO wśród przykładów wymienia identyfikatory internetowe. Adres IP nie zawiera nazwiska, ale zwykle da się go z nim powiązać: w firmie adres laptopa wskazuje osobę, która z niego korzysta, a dostawca internetu potrafi przypisać adres publiczny abonentowi. Trybunał Sprawiedliwości UE uznał, że dynamiczny adres IP może być daną osobową dla operatora strony, który ma prawne środki, by ustalić osobę za nim stojącą. W praktyce traktuj logi sieciowe, nazwy urządzeń i zapisy połączeń jako dane osobowe: miej podstawę prawną, ogranicz krąg osób z dostępem, przechowuj je tylko tak długo, jak trzeba, i uwzględnij je w rejestrze czynności przetwarzania. NetSenX traktuje je jako dane osobowe zgodnie ze swoją umową powierzenia i przechowuje je w UE.

Naruszenie bezpieczeństwa prowadzące do zniszczenia, utraty, zmiany, ujawnienia lub nieuprawnionego dostępu do danych osobowych, przypadkowe lub umyślne. To pojęcie szersze niż wyciek: ransomware szyfrujący bazę klientów jest naruszeniem, nawet jeśli nic nie skopiowano, bo dane stały się niedostępne; jest nim też e-mail wysłany do złych odbiorców albo zgubiony niezaszyfrowany laptop. Nie każdy incydent bezpieczeństwa jest naruszeniem ochrony danych, bo niektóre nie dotyczą danych osobowych, i nie każde naruszenie trzeba zgłaszać. Zgodnie z art. 33 RODO administrator zgłasza je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób; każde naruszenie trzeba w każdym razie udokumentować. Decyzję podejmij z inspektorem ochrony danych. Od planu Starter NetSenX przygotowuje dla inspektora projekt zgłoszenia z art. 33 na podstawie danych o incydencie; ocena ryzyka i wysłanie zgłoszenia pozostają po Twojej stronie.

Administrator decyduje, po co i jak dane osobowe są przetwarzane; podmiot przetwarzający przetwarza je w jego imieniu i na jego polecenie. Gdy Twoja firma korzysta z usługi bezpieczeństwa do monitorowania sieci, zwykle to ona jest administratorem danych sieciowych, a dostawca podmiotem przetwarzającym. Na administratorze spoczywają główne obowiązki: podstawa prawna, przejrzystość wobec osób, których dane dotyczą, odpowiadanie na ich żądania, decyzje o zgłoszeniu naruszenia. Podmiot przetwarzający musi wykonywać Twoje udokumentowane polecenia, zachować poufność i bezpieczeństwo danych, korzystać z podprocesorów tylko za Twoją zgodą, pomagać przy naruszeniach i żądaniach oraz zwrócić lub usunąć dane na koniec. Określa to umowa, zwykle nazywana umową powierzenia przetwarzania danych. O rolach decydują fakty, nie nazwy: dostawca, który wykorzystuje Twoje dane do własnych celów, staje się w tym zakresie administratorem. W przypadku NetSenX TriStiX S.L. jest podmiotem przetwarzającym, a Twoja organizacja administratorem, jak stanowi opublikowana umowa powierzenia.

Wymaga środków odpowiednich do ryzyka, a nie zamkniętej listy. Administrator i podmiot przetwarzający muszą wdrożyć środki techniczne i organizacyjne dopasowane do stanu wiedzy technicznej, kosztów wdrożenia, charakteru i celu przetwarzania oraz prawdopodobieństwa i wagi szkody dla osób. RODO podaje przykłady: pseudonimizację i szyfrowanie, zdolność do zapewnienia poufności, integralności, dostępności i odporności systemów, zdolność do przywrócenia danych po incydencie oraz proces regularnego testowania i oceny skuteczności środków. Firma musi więc sama zdecydować, co jest odpowiednie dla jej danych, udokumentować to, przeglądać i umieć uzasadnić. Częścią tego jest zdolność do zauważenia naruszenia, bo nie da się zgłosić ani powstrzymać czegoś, czego się nie widzi, a naruszenia często wychodzą na jaw przez nietypową aktywność w sieci. NetSenX może być jednym z tych środków: w każdym planie wykrywa beaconing, skanowanie, ruch lateralny i nietypowo duże wysyłanie danych. Czy cały zestaw środków jest odpowiedni, pozostaje Twoją oceną.

Według RODO tylko w określonych przypadkach: organy publiczne oraz organizacje, których główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę szczególnych kategorii danych, na przykład danych o zdrowiu. Wiele średnich firm nie mieści się w tych przypadkach, ale prawo krajowe może dodać kolejne. W Niemczech § 38 BDSG wymaga inspektora, gdy co do zasady co najmniej 20 osób stale zajmuje się zautomatyzowanym przetwarzaniem danych osobowych, a także w kilku innych sytuacjach. Sprawdź prawo swojego kraju. Nawet bez obowiązku ktoś musi odpowiadać za ochronę danych, a wskazana osoba kontaktowa pomaga, gdy biegnie termin zgłoszenia naruszenia. Jeśli powołasz inspektora, musi on być włączany w sprawy ochrony danych odpowiednio wcześnie, działać niezależnie i podlegać najwyższemu kierownictwu. Narzędzie bezpieczeństwa nie zmienia tego, czy inspektor jest potrzebny, choć monitoring sieci to temat, który powinien on przejrzeć. Od planu Starter NetSenX przygotowuje projekt zgłoszenia naruszenia z RODO dla osoby pełniącej tę rolę.

Zwykle tak, o ile monitoring jest niezbędny dla bezpieczeństwa i proporcjonalny, a wyważenie interesów jest udokumentowane. RODO dopuszcza przetwarzanie niezbędne do celów wynikających z prawnie uzasadnionych interesów administratora, chyba że nadrzędne są prawa osób, których dane dotyczą, a jego motywy wymieniają bezpieczeństwo sieci i informacji jako taki interes, w zakresie ściśle niezbędnym i proporcjonalnym. Oznacza to spisanie krótkiego testu równowagi: co i po co monitorujesz, dlaczego mniej inwazyjne środki nie wystarczą, jakie stosujesz zabezpieczenia i jak długo przechowujesz dane. Monitorowanie metadanych pod kątem oznak ataku waży inaczej niż czytanie treści wiadomości czy obserwowanie zachowania konkretnych osób. Poinformuj pracowników w klauzuli informacyjnej i sprawdź krajowe prawo pracy, które może wymagać konsultacji lub porozumienia z przedstawicielami pracowników. NetSenX jest zaprojektowany tak, by trzymać tę równowagę po bezpieczniejszej stronie: zapisuje metadane, nigdy nie odszyfrowuje ruchu i raportuje korzystanie z AI per urządzenie i program, a nie per osoba. Ocena prawna pozostaje po Twojej stronie.

Za najpoważniejsze naruszenia do 20 milionów euro albo 4 % całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa, zgodnie z art. 83 ust. 5 RODO. Ten najwyższy próg obejmuje naruszenia podstawowych zasad, podstawy prawnej, praw osób i przekazywania danych za granicę. Niższy próg dotyczy innych obowiązków, takich jak bezpieczeństwo przetwarzania i zgłaszanie naruszeń, z niższymi maksymalnymi kwotami określonymi w tym samym artykule. To górne granice, a nie taryfikator: organ decyduje indywidualnie, biorąc pod uwagę charakter, wagę i czas trwania naruszenia, umyślność lub niedbalstwo, działania ograniczające szkodę, wcześniejsze naruszenia i współpracę. Kara to tylko jedna konsekwencja; organ może też nakazać wstrzymanie przetwarzania, a osoby mogą dochodzić odszkodowania. Ryzyko zmniejsza zwykła, możliwa do wykazania staranność: znajomość własnych procesów przetwarzania, udokumentowane zabezpieczenia, działająca procedura obsługi naruszeń i terminowe zgłoszenia. NetSenX pomaga w jednej części: we wczesnym zauważeniu naruszenia i, od planu Starter, w przygotowaniu projektu zgłoszenia; nie usuwa ryzyka kary.

Akt o operacyjnej odporności cyfrowej (DORA), czyli rozporządzenie (UE) 2022/2554, to unijne prawo, które ma sprawić, by banki, ubezpieczyciele, firmy inwestycyjne, instytucje płatnicze i inne podmioty finansowe potrafiły wytrzymać awarie technologii i cyberataki oraz się po nich podnieść. Obowiązuje bezpośrednio w każdym państwie członkowskim i opiera się na kilku filarach: ramach zarządzania ryzykiem ICT, za które odpowiada organ zarządzający; klasyfikacji i zgłaszaniu poważnych incydentów związanych z ICT właściwemu organowi; regularnym testowaniu operacyjnej odporności cyfrowej, w tym zaawansowanych testach penetracyjnych opartych na analizie zagrożeń dla części podmiotów; zarządzaniu ryzykiem dostawców usług ICT, z wymogami umownymi i strategią wyjścia; oraz dobrowolnej wymianie informacji o zagrożeniach. Dla dostawców, których europejskie organy nadzoru uznają za kluczowych, DORA wprowadza bezpośredni nadzór. Dla podmiotu finansowego DORA jest przepisem szczególnym i tam, gdzie zakresy się pokrywają, ma pierwszeństwo przed ogólnymi zasadami NIS2. Jeśli świadczysz usługi ICT dla podmiotów finansowych, spodziewaj się DORA w umowach i ankietach. NetSenX nie jest narzędziem do DORA jako takim; jego wykrywanie może wspierać część ram zarządzania ryzykiem ICT dotyczącą monitorowania.

Ostateczną odpowiedzialność za zarządzanie ryzykiem ICT nakłada na organ zarządzający, który nie może przerzucić jej na dział IT ani na dostawcę. Zgodnie z DORA organ zarządzający określa, zatwierdza i nadzoruje ramy zarządzania ryzykiem ICT i odpowiada za ich wdrożenie. W praktyce oznacza to zatwierdzanie strategii operacyjnej odporności cyfrowej i polityk, na których się opiera, ustalanie i przeglądanie budżetu, zatwierdzanie ustaleń z dostawcami usług ICT i polityki korzystania z nich, otrzymywanie informacji o poważnych incydentach i ich skutkach oraz aktualizowanie własnej wiedzy i umiejętności przez szkolenia. Dla członków zarządu to obowiązek z zakresu ładu korporacyjnego, który nadzorca może sprawdzić: protokoły, zatwierdzone dokumenty i dowody, że raporty przeczytano i wyciągnięto z nich wnioski. Zapytaj dział compliance, jak Twoja organizacja dokumentuje te decyzje, a szczegóły sprawdzaj w wytycznych krajowego nadzorcy. NetSenX nie bierze udziału w tym nadzorze, ale jego alerty i raporty zgodności w PDF, od planu Starter, mogą być jednym ze źródeł informacji dla organu zarządzającego.

Akt o cyberodporności (CRA), czyli rozporządzenie (UE) 2024/2847, to unijne prawo o bezpieczeństwie produktów z elementami cyfrowymi: sprzętu i oprogramowania, które łączą się z urządzeniem lub siecią, od routerów i kamer po aplikacje i systemy operacyjne sprzedawane w UE. Nakłada obowiązki na producentów, a lżejsze na importerów i dystrybutorów. Produkty muszą być projektowane z myślą o bezpieczeństwie, trafiać na rynek bez znanych podatności, które da się wykorzystać, z bezpiecznymi ustawieniami domyślnymi i otrzymywać aktualizacje bezpieczeństwa przez okres wsparcia określony przez producenta. Producenci muszą w uporządkowany sposób obsługiwać podatności, dokumentować używane komponenty i zgłaszać aktywnie wykorzystywane podatności oraz poważne incydenty, jak stanowi art. 14. Niektóre kategorie produktów, takie jak produkty bezpieczeństwa i sprzęt sieciowy, podlegają surowszej ocenie zgodności, a produkty spełniające wymagania noszą oznakowanie CE. Daty stosowania poszczególnych części określają przepisy końcowe. Jeśli tylko kupujesz i używasz produktów, CRA głównie Ci pomaga: spodziewaj się od dostawców jaśniejszych okresów wsparcia i zobowiązań dotyczących aktualizacji.

Tak, jeśli wprowadzają oprogramowanie na rynek UE jako produkt: instalowane aplikacje, oprogramowanie układowe, systemy operacyjne, biblioteki sprzedawane komercyjnie i aplikacje mobilne to produkty z elementami cyfrowymi, a firma, która udostępnia je pod własną nazwą, jest producentem. Obowiązki obejmują ocenę ryzyka, bezpieczeństwo już na etapie projektowania i domyślnie, obsługę i usuwanie podatności przez okres wsparcia, dokumentowanie komponentów, przekazywanie użytkownikom informacji i instrukcji dotyczących bezpieczeństwa oraz zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentów zgodnie z art. 14. Wolne i otwarte oprogramowanie rozwijane lub dostarczane poza działalnością komercyjną w dużej mierze nie podlega aktowi, a organizacje wspierające projekty open source przeznaczone do użytku komercyjnego, tzw. opiekunowie oprogramowania open source, mają lżejszy zestaw obowiązków. Oprogramowanie tworzone wyłącznie na własny użytek wewnętrzny nie jest wprowadzane na rynek. Jeśli sprzedajesz oprogramowanie, zacznij od spisania produktów, ich okresów wsparcia i procesu obsługi podatności, a szczegóły sprawdź w samym rozporządzeniu. NetSenX nie ocenia, czy Twoje oprogramowanie spełnia wymagania.

Zasadniczo nie dotyczy czystej usługi online, ale może objąć chmurową część produktu. CRA obejmuje produkty z elementami cyfrowymi wprowadzane do obrotu. Oprogramowanie świadczone wyłącznie jako usługa przez internet, bez produktu instalowanego przez klienta, co do zasady jest poza jego zakresem; bezpieczeństwo takich usług to głównie sprawa NIS2, jeśli dostawca jest nią objęty. CRA obejmuje jednak także zdalne przetwarzanie danych, które producent projektuje jako część produktu, gdy bez niego produkt nie mógłby wykonywać jednej ze swoich funkcji: typowym przykładem jest chmurowe zaplecze inteligentnej kamery albo czujnika sieciowego dostarczanego z agentem. Firma sprzedająca zarówno instalowany komponent, jak i usługę w chmurze może więc mieć obowiązki z CRA dla całości. Rozpisz, które części Twojej oferty instalują klienci, a które działają tylko po Twojej stronie, i uważnie przeczytaj definicje w rozporządzeniu. NetSenX, który dostarcza agentów razem z usługą w chmurze, zadaje to samo pytanie sobie.

Wykaz komponentów oprogramowania (SBOM) to czytelna maszynowo lista składników programu, takich jak biblioteki i ich wersje, podobna do listy składników produktu spożywczego. Pozwala producentowi, a także każdemu, komu ją udostępni, szybko sprawdzić, czy nowo opublikowana podatność dotyczy danego produktu. CRA wymaga od producentów identyfikowania i dokumentowania komponentów ich produktów, w tym przez sporządzenie SBOM w powszechnie stosowanym formacie czytelnym maszynowo, obejmującym co najmniej zależności najwyższego poziomu. Stanowi on część dokumentacji technicznej; akt nie wymaga od producenta jego publikowania, choć organy mogą o niego poprosić. Jeśli kupujesz oprogramowanie, zapytaj dostawców, czy prowadzą SBOM i jak wykorzystują go do śledzenia podatności, zamiast domagać się samego pliku. Popularne formaty to CycloneDX i SPDX. NetSenX nie tworzy SBOM dla Twoich produktów, a czujnik sieciowy nie widzi, jakie biblioteki są wewnątrz aplikacji.

Akt o sztucznej inteligencji, czyli rozporządzenie (UE) 2024/1689, to unijne prawo regulujące systemy AI według ryzyka, jakie stwarzają. Kilka praktyk jest całkowicie zakazanych, na przykład scoring społeczny i niektóre zastosowania rozpoznawania emocji w miejscu pracy. Systemy wysokiego ryzyka, wymienione według obszarów, takie jak AI w rekrutacji, zarządzaniu pracownikami, decyzjach kredytowych albo jako element bezpieczeństwa infrastruktury krytycznej, muszą spełniać wymagania dotyczące zarządzania ryzykiem, jakości danych, dokumentacji, nadzoru człowieka, dokładności i bezpieczeństwa przed wprowadzeniem do obrotu i później. Niektóre systemy mają obowiązki przejrzystości, na przykład informowania, że rozmawia się z chatbotem. Większość pozostałych systemów AI, jak filtry spamu, nie ma szczególnych obowiązków. Osobne przepisy dotyczą modeli AI ogólnego przeznaczenia. Obowiązki spoczywają na dostawcach, którzy tworzą systemy i wprowadzają je do obrotu, oraz na podmiotach stosujących, które używają ich zawodowo. Od 2 lutego 2025 r. art. 4 wymaga od obu grup działań dotyczących kompetencji personelu w zakresie AI, a od zmiany z lipca 2026 r. oznacza to wspieranie tych kompetencji, a nie gwarantowanie określonego poziomu u każdej osoby; pozostałe części stosuje się etapami. Sprawdź u dostawcy, do jakiej klasy należy jego system.

Zwykle nie, ale zależy to od tego, o czym i o kim narzędzie decyduje. Kategorie wysokiego ryzyka określa zastosowanie, a nie technologia: AI wykorzystywana m.in. do rekrutacji, awansów, monitorowania lub oceny pracowników, oceny zdolności kredytowej albo jako element bezpieczeństwa w zarządzaniu infrastrukturą krytyczną. Narzędzie wykrywające ruch złośliwego oprogramowania między urządzeniami samo w sobie nie jest takim zastosowaniem. Zbliża się do niego, gdy jego wyniki służą do oceny zachowania lub wydajności konkretnych pracowników albo gdy działa jako element bezpieczeństwa, na przykład sieci energetycznej. Zadaj więc każdemu narzędziu bezpieczeństwa dwa pytania: czy ocenia ludzi, czy maszyny, i co dzieje się automatycznie na podstawie jego wyników? Poproś dostawcę o jego własną klasyfikację wraz z uzasadnieniem. NetSenX jest zaprojektowany do obserwowania urządzeń i połączeń, a nie oceniania ludzi, i raportuje korzystanie z AI per urządzenie i program, a nie per osoba. Jego strona o przejrzystości AI opisuje, gdzie używa AI i co pozostaje pod Twoją kontrolą; wykorzystanie alertów do oceny pracowników byłoby Twoją decyzją i wymagałoby osobnej oceny.

Kilka, i obowiązują one niezależnie od klasy ryzyka. Ludzi trzeba informować, że mają do czynienia z systemem AI, na przykład chatbotem obsługi klienta, chyba że jest to oczywiste. Dostawcy systemów generujących syntetyczny dźwięk, obrazy, wideo lub tekst muszą oznaczać wyniki w sposób czytelny maszynowo, tak aby dało się wykryć, że zostały wygenerowane sztucznie. Podmioty stosujące, które publikują deepfake’i, muszą ujawniać, że treść jest sztuczna, a te, które publikują generowany przez AI tekst w sprawach interesu publicznego, również muszą to ujawniać, chyba że człowiek go przejrzał i przyjął odpowiedzialność redakcyjną. Podmioty stosujące systemy rozpoznawania emocji lub kategoryzacji biometrycznej muszą informować osoby, których to dotyczy. Dla firmy praktyczne kroki to spis miejsc, w których AI rozmawia z klientami lub tworzy publikowane treści, jasna informacja w tych miejscach i sprawdzenie, czy dostawcy oznaczają swoje wyniki. Obowiązki te stosuje się od daty określonej w przepisach końcowych aktu. NetSenX publikuje własną stronę o przejrzystości AI dla funkcji AI w swojej usłudze.

To, że prywatność trzeba wbudować w sposób konfiguracji systemu i w jego ustawienia domyślne, a nie dodawać ją po skardze. W fazie projektowania oznacza, że wybierając i konfigurując narzędzie, wdrażasz środki takie jak pseudonimizacja, minimalizacja danych i kontrola dostępu, dopasowane do ryzyka. Domyślnie oznacza, że od razu po uruchomieniu przetwarzane są tylko dane osobowe niezbędne do każdego celu, przechowywane nie dłużej, niż trzeba, i niedostępne dla nieokreślonej liczby osób. W przypadku narzędzia bezpieczeństwa praktyczne pytania brzmią: czy zbiera treść, czy tylko metadane, czy możesz ograniczyć, kto co widzi, jak długo przechowuje zapisy i czy osoby spoza zespołu bezpieczeństwa widzą nazwy urządzeń pracowników? Obowiązek spoczywa na administratorze, więc przy wdrożeniu udokumentuj swoje wybory. Ustawienia domyślne NetSenX idą w tę samą stronę: zapisuje metadane, a nie treść, nigdy nie odszyfrowuje ruchu, przechowuje alerty przez okres historii alertów w planie i raportuje korzystanie z AI per urządzenie i program, a nie per osoba; role w zespole są dostępne od planu Starter.

Administratorzy i podmioty przetwarzające muszą prowadzić pisemny rejestr, także w formie elektronicznej, swoich czynności przetwarzania i udostępniać go organowi nadzorczemu na żądanie. U administratora każdy wpis opisuje cele, kategorie osób i danych osobowych, odbiorców, ewentualne przekazania poza UE wraz z zabezpieczeniami, w miarę możliwości planowane terminy usunięcia oraz ogólny opis środków bezpieczeństwa. Podmioty przetwarzające prowadzą krótszy rejestr przetwarzania wykonywanego dla każdego administratora. Mniejsze organizacje, poniżej progu zatrudnienia określonego w RODO, są w niektórych przypadkach zwolnione, ale zwolnienie nie działa, gdy przetwarzanie nie ma charakteru sporadycznego, co dotyczy niemal każdego ciągłego monitoringu sieci, albo gdy może powodować ryzyko lub obejmuje szczególne kategorie danych. Wpisz więc monitoring bezpieczeństwa jako osobną czynność przetwarzania: cel, zbierane dane, kto je widzi, dostawca jako podmiot przetwarzający, gdzie dane są przechowywane i jak długo. Umowa powierzenia NetSenX i jej lista podprocesorów dostarczają informacji o dostawcy do tego wpisu; sam rejestr prowadzisz Ty.

Każde z tych aktów dotyczy innego przedmiotu, więc jedna firma może podlegać kilku naraz. NIS2 dotyczy cyberbezpieczeństwa organizacji z wymienionych sektorów: środków zarządzania ryzykiem, odpowiedzialności kierownictwa i zgłaszania poważnych incydentów zgodnie z art. 23. RODO dotyczy danych osobowych, gdziekolwiek są przetwarzane, w tym obowiązku zgłaszania naruszeń ochrony danych osobowych zgodnie z art. 33. DORA to przepis szczególny dla podmiotów finansowych i tam, gdzie zakresy się pokrywają, ma pierwszeństwo przed NIS2. CRA dotyczy produktów z elementami cyfrowymi i nakłada obowiązki na firmy, które je wytwarzają i sprzedają. Akt o AI dotyczy systemów AI i nakłada obowiązki na ich dostawców i podmioty stosujące w zależności od ryzyka. Atak ransomware na dostawcę szpitala może więc tego samego dnia uruchomić zgłoszenie z NIS2 i zgłoszenie z RODO, a stojąca za nim wada produktu może być przedmiotem zgłoszenia producenta z CRA. Ustal, które przepisy Cię dotyczą, kto za każdy odpowiada i jak jeden zapis incydentu może zasilić kilka zgłoszeń. NetSenX śledzi terminy NIS2 dla każdego incydentu, a od planu Starter przygotowuje projekt zgłoszenia z RODO; niczego nie wysyła.