Udfyldning er gratis. Betaling sker først når du henter dokumentet.
Det juridiske navn som registreret i CVR — ikke binavn eller varemærke.
Otte cifre. Bruges til at forudfylde navn og adresse.
Databeskyttelsesrådgiveren, hvis I har en — ellers et andet kontaktpunkt. Oplysningen skal med i selve anmeldelsen.
Man venter på fuldt overblik. Det er den hyppigste årsag til at 72-timersfristen overskrides — og stk. 4 tillader udtrykkeligt at melde trinvist.
Fortegnelsen dækker kun de anmeldte brud. Ordet i stk. 5 er »alle«. De ikke-anmeldte er netop dem, hvor tilsynet har noget at kontrollere: var vurderingen rigtig?
De to tærskler blandes sammen. Anmeldelse skal ske medmindre risiko er usandsynlig; underretning af de registrerede kræver sandsynlig høj risiko. Et brud kan skulle anmeldes uden at nogen skal underrettes.
Man tror tvivl trækker væk fra anmeldelse. Formuleringen er vendt om. Udgangspunktet er anmeldelse.
Medarbejderne ved ikke hvor de melder hen. Uret starter når virksomheden er blevet bekendt med bruddet. En melding der ligger i en indbakke til mandag, tæller med i de 72 timer.
Man regner med at leverandøren anmelder. Databehandleren underretter jer; det er jer der anmelder. Og fristen løber fra I fik besked.
Krypteringsundtagelsen påberåbes for bredt. Litra a kræver at foranstaltningerne er blevet anvendt på netop de berørte oplysninger — ikke at virksomheden bruger kryptering i almindelighed.
Man tror en overskredet frist lukker sagen. Anmeldes der senere, ledsages anmeldelsen af en begrundelse. At lade være med at anmelde er værre end at anmelde for sent.
Hvad er et brud på persondatasikkerheden? Forordningens definition står i artikel 4, som vi ikke har gengivet her. I praksis dækker det både tab, ændring, uautoriseret videregivelse og uautoriseret adgang — også ved uheld. En mail sendt til den forkerte er et brud.
Tæller weekender og helligdage med i de 72 timer? Bestemmelsen siger 72 timer uden at undtage noget. Derfor er beredskabet uden for arbejdstid en del af proceduren.
Skal vi anmelde en enkelt fejlsendt mail? Det afhænger af vurderingen: skal der anmeldes, medmindre det er usandsynligt at bruddet indebærer en risiko. Vi kan ikke afgøre det for jer — men bemærk at tærsklen er vendt om.
Hvad hvis vi opdager bruddet flere måneder efter? Fristen løber fra I er blevet bekendt med det. Anmeldelsen skal så ske inden for 72 timer fra da — og fortegnelsen bør vise hvornår bruddet skete, og hvornår I fik kendskab til det.
Skal vi have en fortegnelse, selvom vi aldrig har haft et brud? Pligten er at dokumentere de brud der sker. Har der ingen været, er fortegnelsen tom — men modulet beder jer markere det udtrykkeligt, så en tom fortegnelse ikke kan forveksles med en manglende.
Er det her det samme som fortegnelsen efter artikel 30? Nej. Artikel 30-fortegnelsen beskriver jeres behandlinger. Denne fortegnelse beskriver hændelser. To forskellige dokumenter med hver sit formål.
Vi er omfattet af NIS2. Gælder begge dele? Sandsynligvis ja, med hver sine frister. Samspillet mellem NIS2's indberetningspligter og artikel 33 har vi ikke gennemgået — det står åbent i myndighed.md.