Три момента, не един крайния срок
Когато някой търси NIS2 задължение за докладване 24 часа, обикновено попада на представата, че организацията трябва да разпознае всичко и да докладва в рамките на един ден. Това не е вярно. Член 23 от Директива NIS2 разграничава три отделни момента след значително инцидентно събитие: ранно предупреждение в рамките на 24 часа, по-подробно докладване в рамките на 72 часа и окончателен доклад в рамките на един месец. Всеки момент изисква различното, и часовникът започва да тече в момента, в който организацията осъзнае инцидента — не от момента, в който инцидентът е имал място.
Важно е да се знае предварително: това задължение за докладване се отнася за организации, които са преклассифицирани сами като съществени или важни по NIS2, следователно за субекти от сектори на приложение I и II. Компании, които са засегнати чрез веригата доставки — МСП доставчик, който получава списък с въпроси за сигурност от голям купувач — не попадат сами под това задължение за докладване. Те могат да забележат, че купувач пита как управляват инцидентите, но това е различно от законното задължение за докладване пред орган за надзор. Ако сте несигурни в каква категория попада вашата организация, то проверката с няколко въпроса дава първо указание по въпроса.
Първият момент: предупреждение, не анализ
Първите 24 часа са предназначени за ранен сигнал, не за пълна анализ. Директивата говори тук за ранно предупреждение: кратко съобщение, че вероятно има значително инцидентно събитие, и дали съществува подозрение, че инцидентът е причинен от незаконни действия или може да има трансграничните последици. Това, което все още липсва в този момент — точната причина, мащабът, засегнатите системи — не е необходимо да присъства. Това е точно място, където е неправилното разбиране: 24 часа не е срок за разрешаване или разбиране на инцидента, това е срок за докладване, че има нещо нередно.
Вторият момент: първа оценка
В рамките на 72 часа следва докладване, което надвишава първото предупреждение. Тук се очаква първа оценка на инцидента, с тежестта и последствията, и доколкото е достъпна информацията индикаторите, които насочват към инцидента. И това е явно междинна стъпка: директивата признава, че организацията 72 часа след разбиране често все още не е получила пълната картина. Очаква се, че организацията в този момент е в състояние да покаже какво е установила до този момент и какви мерки е предприела или обмисля.
Третият момент: окончателния доклад
Окончателния доклад, най-късно един месец след докладването, е място, където цялостното положение се документира: подробно описание на инцидента, тежестта и последствията, типът заплаха или основната причина, която е довела до инцидента, предприетите и текущите мерки за управление, и където е уместно трансграничните последици. Ако инцидентът в този момент все още е в ход, директивата предвижда междинен доклад и по-късен окончателен доклад, когато инцидентът е разрешен.
Какво организацията трябва да направи, и какво не
Тези три момента са свързани с какво се докладва и кога, а не как организацията технически управлява инцидента. Откриването на причината, изолирането на системи, криминалистическо разследване — това е работа за специализирани партньори и остава извън това, което прави подготвящата платформа като secria.eu. Ние подготвяме текстовете, необходими при всеки от трите момента, въз основа на това, което е вече документирано в киберсигурностния дossier на организацията относно мерки и отговорни лица; докладването се извършва винаги от самата организация при портала на компетентния орган за надзор.
Точния начин на действие и портала се различават по страни, защото всяко държавно членство преобразува директивата в собственото си законодателство — в Нидерландия чрез Закона за кибербезопасност. Подробности като точния процес на регистрация при органа за надзор затова е най-добре да се проверят директно при органа за надзор или в окончателния национален текст. Преглед на това как secria.eu поддържа източниците и с каква дата можете да прочетете на страницата за местоположението на нашата информация.
Защо това е повече от просто запомняне на краен срок
Трите момента са осъществими само ако организацията предварително знае кой разпознава инцидент, кой го докладва и каква информация за това вече е налична. Това е точно където мерките за задължение за грижа и процесът на докладване се срещат: организация, която поддържа своите мерки като живо регистър с отговорник за всяка мярка, не трябва при инцидент да начина отначало с разбирането кой за какво е отговорен. Повече информация за това как тези мерки се свързват с докладване и други задължения можете да намерите на преглед на темите по ситуация.
Ако имате въпроси относно това точно какво се считат за значителен инцидент или как докладването се отнася към вашия сектор, тогава страницата с често задавани въпроси е логична следваща стъпка, наред с консултация с вашия орган за надзор или юрист за вашата конкретна ситуация.
Ако първо искате да знаете дали вашата организация изобщо попада под докладване, направете безплатната NIS2-проверка. Тя дава в няколко въпроса индикация за вашата позиция, с обяснение и следваща стъпка — без да е необходима регистрация.