Τρεις στιγμές, όχι μία προθεσμία
Όποιος αναζητά nis2 υποχρέωση ειδοποίησης 24 ώρες, συναντά συνήθως την ιδέα ότι ένας οργανισμός πρέπει να γνωρίζει και να ειδοποιήσει τα πάντα εντός μιας ημέρας. Αυτό δεν είναι σωστό. Το άρθρο 23 της Οδηγίας NIS2 διακρίνει τρεις ξεχωριστές στιγμές μετά από ένα σημαντικό περιστατικό: μια πρόωρη ειδοποίηση εντός 24 ωρών, μια πιο αναλυτική ειδοποίηση εντός 72 ωρών και μια τελική έκθεση εντός ενός μήνα. Κάθε στιγμή απαιτεί κάτι διαφορετικό, και το χρονόμετρο ξεκινά μόνο όταν ο οργανισμός συνειδητοποιήσει το περιστατικό — όχι από τη στιγμή που το περιστατικό πραγματικά συνέβη.
Σημαντικό να γνωρίζετε εκ των προτέρων: αυτή η υποχρέωση ειδοποίησης ισχύει για οργανισμούς που έχουν ταξινομηθεί ως ουσιώδεις ή σημαντικοί δυνάμει της NIS2, δηλαδή για φορείς από τους τομείς του παραρτήματος I και II. Επιχειρήσεις που επηρεάζονται μέσω της αλυσίδας παραγωγής — ο προμηθευτής ΜΜΕ που λαμβάνει ερωτηματολόγιο κυβερνοασφάλειας από έναν μεγάλο πελάτη — δεν υπόκεινται σε αυτήν την υποχρέωση ειδοποίησης. Μπορούν να παρατηρήσουν ότι ένας πελάτης τους ρωτά πώς αντιμετωπίζουν τα περιστατικά, αλλά αυτό διαφέρει από μια νομική υποχρέωση ειδοποίησης σε έναν ρυθμιστικό φορέα. Εάν αμφιβάλλετε σε ποια κατηγορία ανήκει ο οργανισμός σας, ο έλεγχος με μερικές ερωτήσεις σας δίνει μια πρώτη ένδειξη.
Η πρώτη στιγμή: μια προειδοποίηση, όχι ανάλυση
Οι πρώτες 24 ώρες προορίζονται για ένα πρόωρο σήμα, όχι για πλήρη ανάλυση. Η Οδηγία αναφέρεται εδώ σε μια πρόωρη ειδοποίηση: ένα σύντομο μήνυμα ότι πιθανώς υπάρχει σημαντικό περιστατικό και εάν υπάρχει υπόνοια ότι το περιστατικό προκλήθηκε από παράνομη δραστηριότητα ή μπορεί να έχει διασυνοριακές συνέπειες. Αυτό που λείπει σε αυτήν τη στιγμή — η ακριβής αιτία, το εύρος, τα εμπλεκόμενα συστήματα — δεν χρειάζεται να είναι διαθέσιμο. Εδώ βρίσκεται ακριβώς η παρανόηση: 24 ώρες δεν είναι προθεσμία για επίλυση ή κατανόηση του περιστατικού, αλλά προθεσμία για ειδοποίηση ότι κάτι συμβαίνει.
Η δεύτερη στιγμή: μια πρώτη αξιολόγηση
Εντός 72 ωρών ακολουθεί ειδοποίηση που υπερβαίνει την πρώτη προειδοποίηση. Εδώ αναμένεται μια πρώτη αξιολόγηση του περιστατικού, με τη σοβαρότητα και τις συνέπειες, και στο βαθμό που είναι διαθέσιμες, τους δείκτες που υποδεικνύουν το περιστατικό. Και αυτή είναι σαφώς ένα ενδιάμεσο στάδιο: η Οδηγία αναγνωρίζει ότι ένας οργανισμός 72 ώρες μετά τη γνώση συχνά δεν έχει ακόμη το πλήρες εικόνα. Αυτό που αναμένεται είναι ότι ο οργανισμός μπορεί τότε να δείξει τι έχει καθορίσει έως τότε και ποια μέτρα έχει λάβει ή σχεδιάζει.
Η τρίτη στιγμή: η τελική έκθεση
Η τελική έκθεση, το αργότερο έναν μήνα μετά την ειδοποίηση, είναι το σημείο όπου καταγράφεται η πλήρης ιστορία: μια λεπτομερής περιγραφή του περιστατικού, η σοβαρότητα και οι συνέπειες, ο τύπος απειλής ή η υποκείμενη αιτία που οδήγησε στο περιστατικό, τα ληφθέντα και τρέχοντα μέτρα ελέγχου και, όπου συναφές, οι διασυνοριακές συνέπειες. Εάν το περιστατικό εξακολουθεί να εξελίσσεται τη συγκεκριμένη στιγμή, η Οδηγία προβλέπει ενδιάμεση έκθεση και τελική έκθεση μόλις το περιστατικό αποτελειωθεί.
Αυτό που πρέπει να κάνει ο ίδιος ο οργανισμός και αυτό που όχι
Αυτές οι τρεις στιγμές αφορούν ΤΙ ειδοποιείται και ΠΟΤΕ, όχι ΠΩΣ ένας οργανισμός χειρίζεται τεχνικά το περιστατικό. Η ανακάλυψη της αιτίας, η απομόνωση συστημάτων, η ιστορική έρευνα — αυτό είναι έργο ειδικευμένων κατόχων και βρίσκεται εκτός αυτού που κάνει μια προπαρασκευαστική πλατφόρμα όπως η secria.eu. Προετοιμάζουμε τα κείμενα που χρειάζονται σε κάθε μία από τις τρεις στιγμές, με βάση αυτό που έχει ήδη καταγραφεί στο κυβερνοδοσιέ του οργανισμού σχετικά με μέτρα και υπεύθυνους· η υποβολή πραγματοποιείται πάντα από τον ίδιο τον οργανισμό, μέσω της πύλης του αρμόδιου ρυθμιστικού φορέα.
Η ακριβής διαδικασία και η πύλη διαφέρουν ανά χώρα, επειδή κάθε κράτος μέλος μεταφέρει την οδηγία στη δική του νομοθεσία — στην Ολλανδία μέσω του Κανόνα Κυβερνοασφάλειας. Λεπτομέρειες όπως η ακριβής διαδικασία δήλωσης στην αρχή εποπτείας είναι επομένως καλύτερο να ελεγχθούν απευθείας με την αρχή εποπτείας ή στο οριστικό κείμενο της εθνικής νομοθεσίας. Μια επισκόπηση του τρόπου με τον οποίο το secria.eu διατηρεί τις πηγές και με ποια ημερομηνία μπορείτε να διαβάσετε στο η σελίδα σχετικά με το πού προέρχονται οι πληροφορίες μας.
Γιατί αυτό είναι περισσότερο από μια προθεσμία που πρέπει να θυμάστε
Οι τρεις στιγμές είναι εφικτές μόνο εάν ένας οργανισμός γνωρίζει εκ των προτέρων ποιος αναγνωρίζει ένα περιστατικό, ποιος το δηλώνει και ποιες πληροφορίες είναι ήδη διαθέσιμες γι' αυτό. Αυτό είναι ακριβώς το σημείο όπου τα μέτρα προσέγγισης κινδύνου και η διαδικασία δήλωσης συναντώνται: ένας οργανισμός που διατηρεί τα μέτρα του ως ένα ζωντανό μητρώο, με ένα υπεύθυνο ανά μέτρο, δεν χρειάζεται κατά την εκδήλωση περιστατικού να ξεκινήσει από το μηδέν για να εξιχνιάσει ποιος είναι υπεύθυνος για τι. Περισσότερα σχετικά με το πώς αυτά τα μέτρα σχετίζονται με την υποχρέωση δήλωσης και άλλες υποχρεώσεις μπορείτε να βρείτε στο την επισκόπηση των θεμάτων ανά περίσταση.
Εάν έχετε ερωτήσεις σχετικά με το τι ακριβώς εμπίπτει σε ένα σημαντικό περιστατικό ή πώς η υποχρέωση δήλωσης σχετίζεται με τον τομέα σας, τότε το σελίδα με συχνές ερωτήσεις είναι ένα λογικό επόμενο βήμα, εκτός από τη συμβουλή με την αρχή εποπτείας σας ή έναν δικηγόρο για την ειδική κατάστασή σας.
Εάν πρώτα θέλετε να μάθετε εάν ο οργανισμός σας υπόκειται καθόλου στην υποχρέωση δήλωσης, κάνετε τον δωρεάν έλεγχο NIS2. Αυτό δίνει σε μερικές ερωτήσεις μια ένδειξη της θέσης σας, με επεξήγηση και ένα επόμενο βήμα — χωρίς να χρειάζεστε ένα λογαριασμό γι' αυτό.