Tre tidspunkter, ikke én deadline
Enhver, der søger på nis2 indberetningspligt 24 timer, støder normalt på tanken om, at en organisation skal vide og indberette alt inden for én dag. Det er ikke rigtigt. Artikel 23 i NIS2-direktivet skelner mellem tre separate tidspunkter efter en væsentlig hændelse: en tidlig advarsel inden for 24 timer, en mere omfattende indberetning inden for 72 timer og en endelig rapport inden for en måned. Hvert tidspunkt kræver noget forskelligt, og uret begynder først at løbe, når organisationen bliver opmærksom på hændelsen — ikke fra det tidspunkt, hvor hændelsen faktisk fandt sted.
Det er vigtigt at vide på forhånd: denne indberetningspligt gælder for organisationer, der selv er klassificeret som væsentlige eller vigtige i henhold til NIS2, altså for enheder fra sektorerne i bilag I og II. Virksomheder, der rammes via leverandørkæden — den lille eller mellemstore leverandør, der modtager et cybersikkerhedsspørgeskema fra en stor køber — falder ikke selv under denne indberetningspligt. De kan dog bemærke, at en køber spørger, hvordan de håndterer hændelser, men det er noget anderledes end en lovpligtig indberetningspligt til en tilsynsmyndighed. Hvis du er usikker på, hvilken kategori din organisation falder under, giver testen med nogle få spørgsmål en første indikation af det.
Det første tidspunkt: en advarsel, ikke en analyse
De første 24 timer er beregnet til et tidligt signal, ikke til en fuldstændig analyse. Direktivet taler her om en tidlig advarsel: en kort meddelelse om, at der muligvis er tale om en væsentlig hændelse, og om der er mistanke om, at hændelsen er forårsaget af ulovligt handlende eller kan få grænsekrydsende konsekvenser. Det, der på dette tidspunkt stadig mangler — den præcise årsag, omfanget, de berørte systemer — behøver ikke at være der. Det er præcis, hvor misforståelsen ligger: 24 timer er ikke en tidsramme til at løse eller forstå hændelsen fuldt ud, det er en tidsramme til at indberette, at der er noget galt.
Det andet tidspunkt: en første vurdering
Inden for 72 timer følger en indberetning, der går længere end den første advarsel. Her forventes en første vurdering af hændelsen, med sværhedsgrad og konsekvenser, og for så vidt muligt de indikatorer, der peger på hændelsen. Også dette er udtrykkeligt et mellemtrin: direktivet anerkender, at en organisation 72 timer efter at være blevet opmærksom på det ofte stadig ikke har det fuldstændige billede. Det, der forventes, er, at organisationen på det tidspunkt kan påvise, hvad den hidtil har fastslået, og hvilke foranstaltninger den har truffet eller overvejer.
Det tredje tidspunkt: slutrapporten
Slutrapporten, senest en måned efter indberetningen, er stedet, hvor hele forløbet dokumenteres: en detaljeret beskrivelse af hændelsen, sværhedsgrad og konsekvenser, typen af trussel eller den underliggende årsag, der har ført til hændelsen, foranstaltninger, der er truffet og er igangværende, og hvor relevant grænsekrydsende konsekvenser. Hvis hændelsen på det tidspunkt stadig er i gang, bestemmer direktivet en delvis rapport og senere en slutrapport, når hændelsen er håndteret.
Det, organisationen selv skal gøre, og hvad den ikke skal
Disse tre tidspunkter handler om, HVA der indberettes og HVORNÅR, ikke om HVORDAN en organisation teknisk håndterer hændelsen. Identifikation af årsagen, isolering af systemer, retsmedicinsk undersøgelse — det er arbejde for specialiserede parter og falder uden for, hvad en forberedende platform som secria.eu udfører. Vi forbereder de tekster, der kræves ved hvert af de tre tidspunkter, på basis af det, der allerede er dokumenteret i organisationens cybersikkerhedsdossier om foranstaltninger og ansvarlige; indsendelses sker altid af organisationen selv til portalen hos den relevante tilsynsmyndighed.
Den nøjagtige arbejdsgang og portalen varierer fra land til land, fordi hver medlemsstat implementerer direktivet i sin egen lovgivning — i Danmark gennem implementeringsloven til NIS2-direktivet. Detaljer som den præcise anmeldelsesproces hos den nationale myndighed bør derfor bedst kontrolleres direkte hos den pågældende myndighed eller i den endelige nationale tekst. Et overblik over, hvordan secria.eu holder kilder opdateret, og hvilke datoer vi bruger, kan du læse på siden om hvor vores informationer kommer fra.
Hvorfor dette er mere end blot at huske en tidsgrænse
De tre tidsfrister er kun mulige, hvis en organisation på forhånd ved, hvem der genkendt et incident, hvem der indberetter det, og hvilke oplysninger der allerede er tilgængelige hertil. Det er netop hvor risikostyringsforanstaltningerne og indberetningspligten mødes: en organisation, der vedligeholder sine foranstaltninger som et løbende register med en ejer for hver foranstaltning, behøver ikke at starte fra nul ved et incident for at finde ud af, hvem der er ansvarlig for hvad. Mere om, hvordan disse foranstaltninger hænger sammen med indberetningspligten og øvrige forpligtelser, finder du på oversigten over emner pr. situation.
Hvis du har spørgsmål om, hvad der præcist falder ind under et alvorligt incident, eller hvordan indberetningspligten forholder sig til din sektor, er siden med hyppigt stillede spørgsmål et logisk næste skridt, sammen med drøftelse med din myndighed eller en jurist vedr. din specifikke situation.
Vil du først vide, om din organisation overhovedet falder under indberetningspligten, skal du lave den gratis NIS2-check. Den giver på få spørgsmål en indikation af din situation med forklaring og næste skridt — uden at du har brug for en konto.