Kontrakten bør definere, hvilke hændelser leverandøren skal reagere på, hvordan kunden får besked, og hvem der leder indsatsen. Aftalte frister skal give kunden tid til at opfylde eventuelle egne rapporteringspligter.

Beskriv kontaktveje, minimumsoplysninger, løbende opdateringer, bevaring af beviser, afhjælpning og efteranalyse. Adskil leverandørens meddelelse til kunden fra kundens eventuelle myndighedsunderretning. Test forløbet gennem en øvelse med deltagelse fra drift, ledelse og databeskyttelse. NIS 2- og GDPR-forpligtelser kan være forskellige, så en enkelt standardfrist bør ikke bruges som universel løsning.

Kilder og faglig baggrund: SAMSIK: Hændelsesunderretning · Datatilsynet: Cloud