millal pean ma küberohtude juhtumi toimetajale teatama

Teatamine järgib mitme hetke ajajoont

Teatamiskohustuslikku intsidenti ei teatata korraga, vaid etapiviisiliselt: esmalt varajane hoiatus, seejärel põhjalikum teatamine ja hiljem lõppuaruanne. See vastab intsidendi olemusele — otsese avastamise järel pole sageli veel selge, mis täpselt juhtus, kuid järelevalveasutus soovib kiiresti teada, et midagi toimub. Täpsed hetked ja sisu, mis igal hetkel oodatakse, on kirjeldatud NCSC veebisaidil ja küberturvalisuse seaduses; need allikad näitavad ka, millal on intsident piisavalt "märkimisväärne", et teatamiskohustuse alla kuuluda.

Kellele, kes endalt küsib, kas see teda puudutab: teatamiskohustus kehtib kriitilise tähtsusega ja oluliste üksuste suhtes, ja see on erinev küsimus kui kuidas teada saada, kas minu ettevõte kuulub NIS2 regulatsiooni alla. Millise asutuseni teatamine jõuab, erineb sektori kaupa — see tuleneb milline toimetaja kontrollib minu sektorit NIS2 regulatsiooni alusel. Kes tellijalt saab teada, et teatamiskohustus on olemas, kuid ise pole kohustuslik, ei saa seda küsimust tavaliselt otse järelevalveasutuselt, vaid kaudsel teel tagasi selle tellijale esitatavas küberturvalisuse küsimustikus.

Kus see pärineb: artikkel 21 ja rahvuslik seadus

Teatamiskohustus on seotud artikli 21 lõike 2 riskijuhtimiskohustusega NIS2 direktiivis: kes on kohustatud riske juhtima, on kohustatud teatama ka intsidente, mis selle kaudu ilmnevad. Direktiiv ise kirjeldab põhimõtet; teatamise täpsed hetked, tähtajad ja vorming on välja töötatud Kyberturvalisuse seaduses ja NCSC teabes, mis muudavad seaduseteksti praktiliseks protsessiks. Teatamise sisu seisukohast on kasulik teada, milliseid meetmeid oli intsidendi ajal juba võetud — selle ülevaade kuulub juurde millised kümme abinõu pean ma NIS2 järgi võtma.