Povinnost hlášení: 24 hodin, 72 hodin a jeden měsíc
Tři momenty, a žádný z nich není povinnost hlášení do 24 hodin, na kterou se obvykle odkazuje.
Tři kroky, ne jeden
Při významné bezpečnostní příhodě hlásíte třikrát. Do 24 hodin včasné varování: stalo se něco vážného, možná škodlivého, případně s důsledky přesahujícími hranice. V tu chvíli nemusí být více informací, protože často ani vy sami ještě nevíte, co se děje.
Do 72 hodin následuje vlastní hlášení: závažnost, důsledky a poznatky, které máte o tom, jak k incidentu došlo. A do měsíce závěrečná zpráva: co se stalo, jaká byla příčina, co jste udělali a jaké byly důsledky přesahující hranice.
Kdy je bezpečnostní příhoda významná?
Pokud způsobí vážné narušení vaší služby nebo finanční ztráty, nebo pokud může způsobit značnou škodu u jiných. Je to úmyslně široko formulováno. V praxi platí jednoduché pravidlo: pokud to uvnitř organizace nazýváte krizí, je to významné.
Lhůta začíná okamžikem, kdy si příhodu uvědomíte, ne okamžikem, kdy se stala. Tento rozdíl může činit dny, a proto je důležité zaznamenat, kdy jste si věci všimli.
Komu hlásíte
CSIRT nebo příslušnému orgánu vaší země. Každá země má svůj vlastní portál a vlastní přihlašovací prostředek.
Přihlašovací prostředek je přesně důvod, proč za vás nikdy nehlásíme. Připravujeme text s údaji z vašího souboru vyplněnými, a vy jej sami podáváte. Není to omezení, ale volba: váš přístup k dohledu nepatří k dodavateli.
Často kladené otázky
Co když hlásím pozdě?
Pozdní hlášení je samo o sobě porušením. Při pochybnostech je včasné varování, které se později ukáže jako zbytečné, levnější než hlášení, které přichází pozdě: první krok zabere deset minut.
Musím také informovat své zákazníky?
Pokud bezpečnostní příhoda ovlivní jejich poskytování služeb, může vás dohledový orgán k tomu zavázat. Kromě toho platí GDPR samostatně: jedná-li se o osobní údaje, platí také povinnost hlášení Úřadu na ochranu osobních údajů.
Vztahuje se to také na mě, pokud jsem zasažen prostřednictvím řetězce?
Ne. Povinnost hlášení se vztahuje pouze na organizace, které jsou samy právně vázány. Vaše smlouva s povinným zákazníkem však může obsahovat vlastní dohodu o hlášení.
Jedná se o vysvětlení, nikoli o radu ohledně vaší konkrétní situace. secria.eu vaši organizaci neposuzuje a neposkytuje ujištění.