Jak długo trzeba przechowywać dokumentację incydentów bezpieczeństwa?

NIS2NIS2: druga unijna dyrektywa w sprawie bezpieczeństwa sieci i informacji. Unijne prawo o cyberbezpieczeństwie (dyrektywa (UE) 2022/2555), które nakłada na wiele firm obowiązki bezpieczeństwa i zgłaszania incydentów. nie określa jednego okresu przechowywania, więc trzeba ustalić go samemu i zapisać uzasadnienie. Kilka przepisów wskazuje ten sam kierunek. RODORODO: ogólne rozporządzenie o ochronie danych. Unijne prawo o ochronie danych osobowych (rozporządzenie (UE) 2016/679). wymaga od administratorów dokumentowania każdego naruszenia ochrony danych osobowych (art. 33 ust. 5), by organ mógł zweryfikować przestrzeganie przepisów, co oznacza przechowywanie zapisu tak długo, jak taka kontrola może rozsądnie nastąpić. Organy nadzoru NIS2 mogą żądać dowodów dawnych incydentów i zgłoszeń, ubezpieczyciele mogą badać szkodę długo po zdarzeniu, a terminy przedawnienia roszczeń umownych i odszkodowawczych w wielu krajach liczy się w latach. Przepisy sektorowe i krajowe mogą wyznaczać własne okresy. Częste podejście to przechowywanie rejestru incydentów i zgłoszeń przez kilka lat, a surowych logów krócej, z usuwaniem niepotrzebnych już danych osobowych. Okres historii alertów i dziennika audytu w NetSenX zależy od planu; to, co trzeba przechowywać dłużej, warto wyeksportować.

Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.

← Wszystkie pytania (35): Terminy zgłaszania incydentówWszystkie tematy