Tři okamžiky, ne jeden termín
Kdo hledá na internetu povinnost hlášení podle NIS2 za 24 hodin, obvykle se setká s představou, že musí organizace vše zjistit a ohlásit během jednoho dne. To není správné. Článek 23 směrnice NIS2 rozlišuje tři oddělené okamžiky po významném incidentu: včasné upozornění do 24 hodin, podrobnější hlášení do 72 hodin a závěrečná zpráva do jednoho měsíce. Každý okamžik vyžaduje něco jiného a lhůta začíná běžet teprve poté, co se organizace incident vědomě zjistí — ne od okamžiku, kdy se incident skutečně stal.
Důležité vědět předem: tato povinnost hlášení se vztahuje na organizace, které jsou samy klasifikovány jako nezbytné nebo důležité podle NIS2, tedy na subjekty ze sektorů uvedených v příloze I a II. Podniky, které jsou dotčeny prostřednictvím dodavatelského řetězce — malý a střední podnik dodavatel, který obdrží bezpečnostní dotazník od velkého odběratele — na tuto povinnost hlášení sami nepodléhají. Mohou si sice všimnout, že odběratel poptává, jak s incidenty nakládají, ale to je něco jiného než právní povinnost hlášení dozorujícímu orgánu. Pokud si nejste jistí, do které kategorie vaše organizace spadá, poslouží kontrola s několika otázkami jako první vodítko.
První okamžik: upozornění, nikoliv analýza
Prvních 24 hodin je určeno pro včasný signál, ne pro úplnou analýzu. Směrnice zde mluví o včasném upozornění: krátké zprávě, že se pravděpodobně jedná o významný incident, a zda existuje podezření, že incident způsobilo protiprávní jednání nebo může mít přeshraniční důsledky. To, co v tomto okamžiku ještě chybí — přesná příčina, rozsah, dotčené systémy — nemusí být k dispozici. Právě zde tkví mylná představa: 24 hodin není lhůta k vyřešení incidentu nebo jeho pochopení, je to lhůta k nahlášení, že se něco děje.
Druhý okamžik: prvotní posouzení
Do 72 hodin následuje hlášení, které jde dále než první upozornění. Očekává se zde prvotní posouzení incidentu, jeho závažnosti a důsledků, a pokud jsou k dispozici, indikátory poukazující na incident. I toto je důsledně mezisoučást: směrnice uznává, že organizace často 72 hodin po vědomí nemá ještě úplný obraz. Co se však očekává, je, že organizace může v daný момент prokázat, co dosud zjistila a jaká opatření přijala nebo zvažuje.
Třetí okamžik: závěrečná zpráva
Závěrečná zpráva, nejpozději jeden měsíc po hlášení, je místem, kde se zaznamenává úplné vysvětlení: podrobný popis incidentu, jeho závažnost a důsledky, typ hrozby nebo základní příčina vedoucí k incidentu, přijatá a probíhající opatření ke zmírnění, a kde je relevantní přeshraniční důsledky. Pokud incident v daný čas ještě probíhá, směrnice předpokládá zprostředkující zprávu a pozdější závěrečnou zprávu, jakmile je incident vyřešen.
Co musí organizace sama dělat a co ne
Tyto tři okamžiky se týkají toho, CO se hlásí a KDY, nikoli jak organizace incident technicky řeší. Odhalování příčiny, izolace systémů, forenzní analýza — to je práce pro specializované subjekty a spadá mimo rámec přípravné platformy, jako je secria.eu. Připravujeme texty potřebné v každém ze tří okamžiků na základě toho, co je již v kybernetickém dosseru organizace zaznamenáno o opatřeních a odpovědných osobách; podání probíhá vždy samotnou organizací prostřednictvím portálu příslušného dozorujícího orgánu.
Přesný postup a portál se liší podle země, protože každý členský stát směrnici transponuje do vlastní legislativy — v Nizozemsku prostřednictvím zákona o kybernetické bezpečnosti. Podrobnosti, jako je přesný proces hlášení nadřízené správě, se proto nejlépe ověří přímo u příslušného orgánu nebo v konečném textu národní legislativy. Přehled, jak secria.eu spravuje zdroje a s jakým datem, si přečtete na stránce o původu našich informací.
Proč je to více než jen zapamatování si termínu
Tyto tři momenty jsou dosažitelné pouze tehdy, pokud organizace předem ví, kdo incident rozpozná, kdo jej nahlásí a jaké informace pro to již máte připraveny. To je přesně místo, kde se opatření péče a proces hlášení potkávají: organizace, která vede svá opatření jako žijící registr se jmenovaným vlastníkem pro každé opatření, nemusí při incidentu začínat od nuly s tím, aby si ujasňovala, kdo za co odpovídá. Více o tom, jak se tato opatření vztahují k povinnosti hlášení a dalším povinnostem, najdete na přehledu témat podle situace.
Máte-li otázky o tom, co přesně spadá pod významný incident nebo jak se povinnost hlášení vztahuje k vaší sektoruÍ, pak je stránka s často kladenými otázkami logický další krok vedle konzultace se svým nadřízeným orgánem nebo právníkem pro vaši konkrétní situaci.
Chcete-li nejdříve zjistit, zda vaše organizace vůbec podléhá povinnosti hlášení, proveďte bezplatnou kontrolu NIS2. Ta vám v několika otázkách poskytne indikaci vaší pozice s vysvětlením a dalším krokem — bez nutnosti si pro to zakládat účet.