πότε πρέπει να αναφέρω ένα περιστατικό κυβερνοασφάλειας στην αρχή εποπτείας

Η δήλωση ακολουθεί ένα χρονοδιάγραμμα με πολλές στιγμές

Ένα περιστατικό που υπόκειται σε υποχρέωση δήλωσης δεν δηλώνεται σε μία κίνηση, αλλά σε στάδια: πρώτα μια έγκαιρη προειδοποίηση, στη συνέχεια μια πιο λεπτομερής δήλωση και αργότερα μια τελική αναφορά. Αυτό ανταποκρίνεται στη φύση ενός περιστατικού — αμέσως μετά την ανακάλυψη, συχνά δεν είναι ακόμη σαφές τι ακριβώς συνέβη, ενώ η αρχή εποπτείας θέλει να ενημερωθεί γρήγορα ότι υπάρχει κάτι. Τα ακριβή χρονικά σημεία και το περιεχόμενο που αναμένεται σε κάθε στιγμή περιγράφονται στο δικτυακό τόπο του NCSC και στον Κώδικα Κυβερνοασφάλειας· αυτές οι πηγές δείχνουν επίσης πότε ένα περιστατικό θεωρείται αρκετά "σημαντικό" για να εμπίπτει στην υποχρέωση δήλωσης.

Για όσους αναρωτιούνται αν αυτό τους αφορά: η υποχρέωση δήλωσης ισχύει για οντότητες κρίσιμης και σημαντικής σημασίας, και αυτό είναι ένα διαφορετικό ζήτημα από πώς ξέρω αν η επιχείρησή μου υπάγεται στο NIS2. Το όργανο στο οποίο υποβάλλεται μια γνωστοποίηση διαφέρει επιπλέον ανά τομέα — αυτό προκύπτει από ποια αρχή εποπτείας ελέγχει τον τομέα μου σύμφωνα με το NIS2. Όποιος λαμβάνει μέσω ενός πελάτη ότι υπάρχει υποχρέωση γνωστοποίησης αλλά δεν είναι αυτός υποκείμενος στην υποχρέωση, συνήθως δεν λαμβάνει αυτήν την ερώτηση άμεσα από μια αρχή εποπτείας, αλλά την λαμβάνει έμμεσα σε μια λίστα ερωτήσεων κυβερνοασφάλειας από αυτόν τον πελάτη.

Πού προκύπτει αυτό: άρθρο 21 και η εθνική νομοθεσία

Η υποχρέωση αναφοράς συνδέεται με την υποχρέωση διαχείρισης κινδύνων από το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2: όποιος υποχρεούται να διαχειρίζεται κινδύνους, υποχρεούται επίσης να αναφέρει περιστατικά που διεισδύουν σε αυτούς. Η ίδια η Οδηγία περιγράφει την αρχή· οι ακριβείς χρόνοι, οι προθεσμίες και η μορφή της αναφοράς περιγράφονται στο Νόμο Κυβερνοασφάλειας και στην ενημέρωση του NCSC, η οποία μεταφράζει το κείμενο του νόμου σε μια πρακτική διαδικασία. Για το περιεχόμενο μιας αναφοράς, είναι χρήσιμο να γνωρίζετε ποια μέτρα είχαν ήδη ληφθεί τη στιγμή του περιστατικού — μια επισκόπηση αυτών θα πρέπει να περιλαμβάνεται στο ποιες είναι οι δέκα μέτρα που πρέπει να λάβω σύμφωνα με το NIS2.