Ilmoitusvelvollisuus: 24 tuntia, 72 tuntia ja yksi kuukausi
Kolme ajankohtaa, eikä mikään niistä ole yleensä mainittu 24 tunnin ilmoitusvelvollisuus.
Kolme vaihetta, ei yhtään
Merkittävässä poikkeamatapauksessa ilmoitatte kolme kertaa. 24 tunnin kuluessa varhainen varoitus: jotakin vakavaa on tapahtunut, mahdollisesti tahallaan aiheutettu, mahdollisesti rajatylittyvin seurauksin. Sillä hetkellä tarvitsee olla vähemmän tietoja, koska ette usein tiedä itse vielä, mitä on tapahtunut.
72 tunnin kuluessa tulee varsinainen ilmoitus: vakavuus, seuraukset ja vihjeet siitä, miten se tapahtui. Ja kuukauden kuluessa loppuraportti: mikä se oli, mikä aiheutti sen, mitä sille teitte ja mitkä seuraukset ylittyivät rajan yli.
Milloin poikkeama on merkittävä?
Kun se aiheuttaa vakavan häiriön palveluunne tai taloudellista menetystä tai voi aiheuttaa huomattavaa vahinkoa muille. Se on tarkoituksella laajasti määritelty. Käytännössä nyrkkisääntö on: jos kutsitte sitä sisäisesti kriisiksi, se on merkittävä.
Ajanjakso alkaa siitä hetkestä, kun huomaatte poikkeaman, ei siitä, kun se alkoi. Ero voi olla päiviä, ja sen vuoksi on tärkeää dokumentoida, milloin jokin huomaatte.
Kelle ilmoitatte
Maan CSIRT-yksikkölle tai toimivaltaiselle viranomaiselle. Jokaisella maalla on oma portaalinsa ja oma kirjautumistapansa.
Kirjautumistapa on täsmälleen se syy, miksi emme koskaan ilmoita puolestanne. Pidämme tekstin valmiina, tietoinne täytettynä, ja te lähetätte sen itse. Tämä ei ole rajoitus vaan valinta: pääsy valvontaviranomaiseen ei kuulu toimittajalle.
Usein kysytyt kysymykset
Entä jos ilmoitan liian myöhään?
Liian myöhäinen ilmoitus on itsessään rikkomus. Epävarmuuden tapauksessa varhainen varoitus, joka jälkikäteen osoittautuu tarpeettomaksi, on halvempaa kuin myöhäinen ilmoitus: ensimmäinen vaihe vie kymmenen minuuttia.
Pitääkö minun informoida myös asiakkaitani?
Jos poikkeama vaikuttaa heidän palveluunsa, valvontaviranomainen voi velvoittaa teidät siihen. Muusta huolimatta GDPR pätee erikseen: jos kyseessä ovat henkilötiedot, sinulla on myös ilmoitusvelvollisuus Tietosuojaviranomaiselle.
Koskeeko tämä myös, jos kärsin vaikutuksia arvoketjun kautta?
Ei. Ilmoitusvelvollisuus koskee vain organisaatioita, jotka itse kuuluvat lain soveltamisalaan. Velvoitteisen asiakkaan sopimus voi kuitenkin sisältää oman ilmoitussopimuksen.
Tämä on selitystä, ei neuvontaa omaa tilannettanne varten. secria.eu ei arvioi organisaatiotanne eikä anna vakuutusta.