Kort fortalt
Alle hændelser skal registreres med forløb, konsekvenser og afhjælpning, også dem, der ikke anmeldes. GDPR art. 33, stk. 5, kræver udtrykkeligt, at ethvert brud dokumenteres, så tilsynet kan efterprøve vurderingen, herunder beslutningen om ikke at anmelde. Registret er samtidig beviset for, at fravalg af anmeldelse var en vurdering, ikke en forglemmelse.
Kontrollen
Hvad dækker den
Kontrollen dækker en samlet hændelseslog med tidslinje pr. hændelse, vurderingen af alvor og anmeldelsespligt med begrundelse, og de gennemførte afhjælpninger.
Evidens
Det, der tæller
Selve loggen. Det oversete krav er ikke-anmeldte brud: vurderingen skal stå der, ellers ligner et fravalg en forglemmelse.
Måling
Sådan i FAKTIVE
Automatisk understøttet: databrudsmodulet fører registret med tidslinje, vurdering og 72-timersnedtælling, og hændelser fra overvågningen kan registreres direkte.
I samme gruppe
Hændelseshåndtering
- KK-21Hændelsesresponsplan (måles automatisk)Hvem beslutter, hvem undersøger, hvem kommunikerer, i hvilken rækkefølge, fra det øjeblik noget opdages
- KK-23Brudnotifikation (måles automatisk)Anmeldelsesveje og skabeloner skal ligge klar, før uret starter
- KK-24Læring efter hændelser (måles automatisk)Det, der gør hændelseshåndtering til en forbedringsmotor frem for ren brandslukning