Kolm momenti, mitte üks tähtaeg
Kes otsib "nis2 teatamistoimetus 24 tundi", satub tavaliselt ideele, et organisatsioon peab ühe päeva jooksul kõik teada saama ja teatama. See pole õige. NIS2-direktiivi artikkel 23 eristab kolme erinevat momenti pärast olulist intsidenti: varajane hoiatus 24 tunni jooksul, põhjalikum teatamine 72 tunni jooksul ja lõpparuanne ühe kuu jooksul. Igal hetkel on erinevad nõudmised ja kell hakkab käima alles siis, kui organisatsioon muutub intsidendist teadlikuks — mitte intsidendi tegelikust toimumise hetkest.
Oluline teada eelnevalt: see teatamistoimetus kehtib organisatsioonidele, mida on NIS2 alusel ise märgistatud kui olenulisi või olulisi, seega I ja II lisa sektoritest pärit üksustele. Ettevõtted, keda ketis mõjutatakse — väike- ja keskmise suurusega ettevõte, kes saab suurelt ostjalt turvalisuse küsimustiku — ei kuulu selle teatamistoimetus alla. Nemad võivad märkata, et ostja küsib, kuidas nad intsidendiga käituvad, kuid see on teistsugune kui seaduslik teatamistoimetus järelevalveasutusele. Kui teil on kahtlusi, millisesse kategooriasse teie organisatsioon kuulub, siis kontrollimine paari küsimusega annab sellest esimese näitaja.
Esimene moment: hoiatus, mitte analüüs
Esimesed 24 tundi on mõeldud varajaseks signaaliks, mitte täielikuks analüüsiks. Direktiiv räägib siin varajasest hoiatusest: lühike teade, et tegemist võib olla olulise insidendiga, ja kas on kahtlus, et intsidenti on põhjustanud seadusevastane tegevus või sellel võivad olla piiride ülese mõju. Mis sel hetkel veel puudub — täpne põhjus, ulatus, kaasatud süsteemid — ei pea olema. Just siin peitub vale ettekujutus: 24 tundi pole tähtaeg, et intsidenti lahendada või mõista, vaid tähtaeg sellest teatada, et midagi on lahti.
Teine moment: esimene hindamine
72 tunni jooksul järgneb teatamine, mis läheb esimesest hoiatusest edasi. Siin oodatakse intsidendi esimest hindamist, raskusastmega ja tagajärgedega, ning niivõrd, kui see on saadaval, näitajaid, mis intsidendile osutavad. Ka see on selgelt vahetapeline: direktiiv tunnistab, et organisatsioonil on teadmisest 72 tunni möödudes sageli veel mittetäielik pilt. Mida siiski oodatakse, on see, et organisatsioon saab sel hetkel näidata, mida ta seni on kindlaks teinud ja milliseid meetmeid ta on võtnud või kaalub.
Kolmas moment: lõpparuanne
Lõpparuanne hiljemalt üks kuu pärast teatamist on koht, kus täielik tekkimus fikseeritakse: intsidendi üksikasjalik kirjeldus, raskusaste ja tagajärjed, ohuotus või intsidendini viinud aluseks olev põhjus, võetud ja pooleli olevad juhtimismeetmed ning vajadusel piiride ülese mõju. Kui intsident on sel hetkel jätkumisel, siis direktiiv ette näeb vahetipealse aruande ja hiljem lõpparuande, kui intsident on lahendatud.
Mida organisatsioon ise peab tegema ja mida mitte
Need kolm momenti käsitlevad seda, KES teatakse ja MILLAL, mitte kuidas organisatsioon intsidenti tehniliselt lahendab. Põhjuse otsimine, süsteemide eraldamine, forensiline uuring — see on spetsialisti töö ja jääb väljaspoole seda, mida ettevalmistusplatvorm nagu secria.eu teeb. Iga kolme hetke jaoks vajalikud tekstid valmistatakse ette organisatsiooni kuberkaitse-dossiee alusel, kuhu on juba märgitud meetmed ja vastutavad isikud; esitamine toimub alati organisatsiooni enda poolt pädevate järelevalveasutuste portaalis.
Täpne töötamisviis ja portaal erinevad riigiti, kuna iga liikmesriik rakendab direktiivi oma seadusandlusega — Hollandis küberturvalisuse seaduse kaudu. Üksikasjad nagu täpne teatamismenetlus järelevalveasutusele on seetõttu parim kontrollida otse järelevalveasutuse juures või lõpliku rahvusliku tekstiga. Ülevaate secria.eu allikatest ja kuidas me neid päevakuupäevadega jälgime, leiate lehelt, kus meie teave pärineb.
Miks see on rohkem kui tähtaeg meeles pidada
Kolm ajahetke on saavutatavad ainult siis, kui organisatsioon teab ette, kes intsidenti tunnistab, kes selle teatab ja milline teave on selleks juba ette valmistatud. See on täpselt koht, kus tegevuskohustuse meetmed ja teatamiskohustus kokku puutuvad: organisatsioon, kes jälgib oma meetmeid elava registrina, igal meetmel omaja, ei pea intsidendi puhul algusest peale välja selgitama, kes millise eest vastutab. Lisateavet selle kohta, kuidas need meetmed teatamiskohustusega ja muude kohustustega seotud on, leiate iga olukorra teemade ülevaates.
Kui teil on küsimusi selle kohta, mis täpselt olulise intsidendi alla kuulub või kuidas teatamiskohustus teie sektoriga seostub, siis on lehekülg korduma kippuvate küsimustega loogiline järgmine samm, samuti konsultatsiooni kõrval oma järelevalveasutuse või juristiga oma konkreetse olukorra jaoks.
Kui soovite kõigepealt teada, kas teie organisatsioon on üldse teatamiskohustuse alla, tehke siis tasuta NIS2-kontroll. See annab paari küsimuse järel ülevaate teie positsioonist, selgitusega ja järgmise sammuga — ilma et peaksite selleks kontot looma.