Kolme ajankohtaa, ei yksi määräaika
Joka etsii nis2-ilmoitusvelvollisuutta hakusanalla 24 tuntia, törmää yleensä ideaan, että organisaation on tiedettävä ja ilmoitettava kaikesta yhden päivän sisällä. Se ei ole oikein. NIS2-direktiivin 23 artiklassa erotetaan kolme erillistä ajankohtaa merkittävän vaaratapahtuman jälkeen: varhainen hälytys 24 tunnin kuluessa, laajempi ilmoitus 72 tunnin kuluessa ja loppuraportti kuukauden kuluessa. Kukin ajankohdalta vaaditaan jotain erilaista, ja kellon laskeminen alkaa vasta kun organisaatio tulee tietoiseksi vaaratapahtumasta — ei siitä hetkestä, kun vaaratapahtuma todella tapahtui.
Tärkeää etukäteen tietää: tämä ilmoitusvelvollisuus koskee organisaatioita, joita on itse merkitty olennaisiksi tai tärkeiksi NIS2:n nojalla, eli liitteen I ja II sektoreiden entiteettejä. Yritykset, joita ketju koskettaa — pk-toimittaja, joka saa suuremmalta asiakkaalta tietoturvakyselylomakkeen — eivät kuulu tämän ilmoitusvelvollisuuden piiriin. Ne voivat kyllä huomata, että asiakas kysyy kuinka ne käsittelevät vaaratapahtumia, mutta se on jotain muuta kuin lakisääteinen ilmoitusvelvollisuus valvontaviranomaiselle. Jos epäröitte mihin luokkaan organisaationne kuuluu, tarkistus muutaman kysymyksen avulla antaa siitä alustavan viitteen.
Ensimmäinen ajankohdaksi: hälytys, ei analyysi
Ensimmäiset 24 tuntia on tarkoitettu varhaiselle signaalille, eivät täydelliselle analyysille. Direktiivi puhuu tässä varhaisesta hälytyksestä: lyhyestä viestistä siitä, että kyseessä on mahdollisesti merkittävä vaaratapahtuma, ja onko epäilyä että vaaratapahtuman on aiheuttanut laiton toiminta tai sillä voisi olla rajat ylittäviä seurauksia. Mitä tällä hetkellä puuttuu — tarkka syy, laajuus, asiaan liittyvät järjestelmät — ei tarvitse olla. Se on juuri siinä väärinkäsityksessä: 24 tuntia ei ole määräaika vaaratapahtuman ratkaisemiseen tai ymmärtämiseen, se on määräaika ilmoittaa että jotain on tapahtumassa.
Toinen ajankohdaksi: ensimmäinen arviointi
72 tunnin kuluessa seuraa ilmoitus, joka menee pidemmälle kuin ensimmäinen hälytys. Tässä odotetaan vaaratapahtuman ensimmäistä arviointia, jonka mukaan vakavuus ja seuraukset, ja mikäli saatavissa olevat indikaattorit jotka viittaavat vaaratapahtumaan. Myös tämä on selvästi välivaihe: direktiivi tunnustaa, että organisaatiolla ei usein ole täyttä kuvaa 72 tuntia sen jälkeen, kun siitä tuli tietoinen. Mitä kuitenkin odotetaan, on että organisaatio voi siihen mennessä näyttää mitä se on toistaiseksi vahvistanut ja mitä toimenpiteitä se on ryhtynyt tai harkitsee.
Kolmas ajankohdaksi: loppuraportti
Loppuraportti, viimeistään kuukauden kuluttua ilmoituksesta, on paikka missä koko asiaintila dokumentoidaan: yksityiskohtainen kuvaus vaaratapahtumasta, vakavuus ja seuraukset, uhkan tyyppi tai vaaratapahtumaan johtanut taustalla oleva syy, käytetyt ja käynnissä olevat hallintotoimenpiteet, ja soveltavin osin rajat ylittävät seuraukset. Jos vaaratapahtuma on vielä käynnissä silloin, direktiivi sallii väliaikaisen raportin ja myöhemmän loppuraportin kun vaaratapahtuma on selvitetty.
Mitä organisaation on itse tehtävä ja mitä ei
Nämä kolme ajankohtaa koskevat sitä MITÄ ilmoitetaan ja MILLOIN, eivät sitä KUINKA organisaatio teknisesti käsittelee vaaratapahtumaa. Syyn tunnistaminen, järjestelmien eristäminen, oikeustekninen tutkinta — se on erikoistuneiden osapuolten työtä ja jää sen ulkopuolelle mitä valmisteleva alusta kuten secria.eu tekee. Valmistelemme tekstit, jotka tarvitaan kunkin kolmen ajankohdaksi, sen perusteella mitä organisaation kybertietoturva-asiakirjassa on jo dokumentoitu toimenpiteistä ja vastuuhenkilöistä; jätettävät asiakirjat toimittaa aina organisaatio itse asianomaisen valvontaviranomaisen portaaliin.
Tarkka menettelytapa ja portaali vaihtelevat maittain, koska jokainen jäsenvaltio muuttaa direktiivin omaksi lainsäädännöksi — Alankomaissa Kyberturvallisuuslain kautta. Tarkemmat tiedot, kuten ilmoitusprosessin yksityiskohdat viranomaiselle, on parasta tarkistaa suoraan viranomaiselta tai lopullisesta kansallisesta säädöstekstistä. Katsaus siitä, miten secria.eu pitää lähteitä ajan tasalla ja millä päivämäärillä, löytyy sivulta, jossa kerromme tietojemme lähteistä.
Miksi tämä on enemmän kuin määräajan muistaminen
Nämä kolme ajankohtaa ovat mahdollisia vain, jos organisaatio tietää etukäteen, kuka tunnistaa poikkeaman, kuka ilmoittaa siitä ja mitä tietoja siihen tarvitaan. Näin zorgplicht-toimenpiteet ja ilmoitusprosessi kohtaavat tarkasti: organisaatio, joka ylläpitää toimenpiteitään elävänä rekisterinä ja määrittää omistajan kullekin toimenpiteelle, ei tarvitse poikkeaman sattuessa aloittaa alusta selvittääkseen, kuka on vastuussa mistä. Lisätietoja siitä, miten nämä toimenpiteet liittyvät ilmoitusvelvollisuuteen ja muihin velvoitteisiin, löytyy tilanteittain olevia aiheita käsittelevästä yleiskatsauksesta.
Jos sinulla on kysymyksiä siitä, mikä tarkalleen ottaen katsotaan merkittäväksi poikkeamaksi tai miten ilmoitusvelvollisuus liittyy sektoriisi, usein kysyttyjen kysymysten sivu on looginen seuraava askel toisen muassa viranomaisen tai juristin kanssa käydyn neuvottelun lisäksi omaa tilannettasi varten.
Jos haluat ensin tietää, koskeeko ilmoitusvelvollisuus organisaatiotasi, tee ilmainen NIS2-tarkistus. Se antaa muutamalla kysymyksellä käsityksen asemastasi, selityksineen ja seuraavaksi suoritettavalla askeleella — ilman että tarvitset siihen käyttäjätiliä.