Задължението за докладване: 24 часа, 72 часа и един месец
Три момента, и нито един от тях не е задължението за докладване в рамките на 24 часа, на което обикновено се посочва.
Три стъпки, нито една
При значително инцидент докладвате три пъти. В рамките на 24 часа — ранна информация: нещо е сериозно, възможно е със злонамерение, възможно е да има последствия извън границите. Повече не е необходимо в този момент, тъй като често сами не знаете какво се случва.
В рамките на 72 часа следва действителното докладване: тежестта, последствията и указанията, които имате за това как е случилось. И в рамките на един месец — окончателния доклад: какво беше, каква беше причината, какво направихте по въпроса и какви бяха последствията извън границите.
Кога един инцидент е значителен?
Ако причини сериозно прекъсване на вашата услуга или финансови загуби, или ако може да причини значителна вреда на други. Това е умишлено широко формулирано. На практика емпиричното правило е: ако го наричате криза в организацията, то е значително.
Периодът започва от момента, когато се осъзнаете на инцидента, а не от момента, когато е започнал. Тази разлика може да бъде дни, и то е причината, че регистрирането на кога сте забелязали нещо е важно.
При кого докладвате
При CSIRT или надлежния орган на вашата страна. Всяка страна има свой портал и свой способ за идентификация.
Този способ за идентификация е точно причината, че никога не докладваме вместо вас. Подготвяме текста, попълнен с данни от вашия досие, и вие го подавате сами. Това не е ограничение, а избор: вашият достъп до надзорния орган не трябва да бъде у един доставчик.
Често задавани въпроси
Какво ако докладам твърде късно?
Докладване твърде късно е само по себе си нарушение. При съмнение ранна информация, която впоследствие се окаже ненужна, е по-евтина от докладване, което е твърде късно: първата стъпка отнема десет минути.
Трябва ли да информирам и моите клиенти?
Ако инцидентът засяга тяхното обслужване, надзорният орган може да ви задължи да го направите. Отделно от това GDPR се прилага поотделно: ако е въпрос за лични данни, има и задължение за докладване към органа по защита на личните данни.
Отнася ли се и на мене, ако съм засегнат чрез веригата?
Не. Задължението за докладване се отнася само за организации, които сами подлежат на закона. Вашият договор с задължена клиента може да съдържа собствено споразумение за докладване.
Това е обяснение, а не съвет за вашата конкретна ситуация. secria.eu не оценява вашата организация и не предоставя гаранция.