Meldepligten: 24 timer, 72 timer og en måned
Tre tidspunkter, og ingen af dem er meldepligten inden 24 timer, som normalt bliver henvist til.
Tre trin, ikke et
Ved en betydelig hændelse melder du tre gange. Inden 24 timer en tidlig advarsel: der er noget alvorligt, muligvis ondsindet, muligvis med konsekvenser på tværs af grænserne. Der behøves ikke mere på det tidspunkt, fordi du ofte selv ikke ved, hvad der foregår.
Inden 72 timer følger den egentlige melding: alvorsgraden, konsekvenserne og de tegn, du har på, hvordan det skete. Og inden en måned slutrapporten: hvad det var, hvad årsagen var, hvad du gjorde ved det, og hvilke konsekvenser det havde på tværs af grænserne.
Hvornår er en hændelse betydelig?
Hvis den forårsager alvorlig afbrydelse af din tjeneste eller økonomiske tab, eller hvis den kan forårsage betydelig skade hos andre. Det er bevidst bredt formuleret. I praksis er tommelfingerreglen: hvis du internt kalder det en krise, er det betydeligt.
Tidsfristen løber fra det øjeblik, du bliver klar over hændelsen, ikke fra det øjeblik, det begyndte. Denne forskel kan være flere dage værd, og det er grunden til, at det betyder noget at notere, hvornår du bemærkede noget.
Hvem melder du til
Til CSIRT eller den kompetente myndighed i dit land. Hvert land har sin egen portal og sit eget login.
Denne login er præcis grunden til, at vi aldrig melder på dine vegne. Vi holder teksten klar, med dataene fra dossier udfyldt, og du indsender den selv. Det er ikke en begrænsning, men et valg: din adgang til din tilsynsmyndighed bør ikke ligge hos en leverandør.
Ofte stillede spørgsmål
Hvad hvis jeg melder for sent?
At melde for sent er selv en overtrædelse. I tilfælde af tvivl er en tidlig advarsel, der senere viser sig unødvendig, billigere end en melding, der kommer for sent: det første trin tager ti minutter.
Skal jeg også informere mine kunder?
Hvis hændelsen påvirker deres tjenesteydelses kan tilsynsmyndigheden pålægge dig det. Derudover gælder GDPR separat: handler det om personoplysninger, er der også en meldepligt til Datatilsynet.
Gælder dette også, hvis jeg påvirkes gennem værdikæden?
Nej. Meldepligten gælder kun for organisationer, der selv falder under loven. Din kontrakt med en pligtig kunde kan dog indeholde en egen meldningsaftale.
Dette er forklaring, ikke råd om jeres egen situation. secria.eu vurderer ikke jeres organisation og yder ingen dokumentation.