milloin minun on ilmoitettava kyberuhasta valvontaviranomaiselle

Ilmoitus noudattaa aikajänää, jolla on useita ajankohtia

Ilmoitusvelvoitteeseen kuuluva tapaturma ilmoitetaan ei kerralla, vaan portaittain: ensin varhainen varoitus, sitten laajempi ilmoitus ja myöhemmin loppuraportti. Tämä vastaa tapaturman luonnetta — heti havaitsemisen jälkeen ei usein ole vielä selvää, mitä tarkalleen tapahtui, mutta valvontaviranomainen haluaa kuitenkin saada tietää nopeasti, että jokin on käynnissä. Tarkat ajankohdat ja kunkin ajankohdan vaatima sisältö on kuvattu NCSC:n verkkosivuilla ja Kyberturvallisuuslaissa; nämä lähteet ilmoittavat myös, milloin tapaturma on riittävän "merkittävä" ilmoitusvelvoitteen piiriin kuulumiseksi.

Niille, jotka ihmettelevät, koskeeko tämä heitä: ilmoitusvelvoite koskee välttämättömiä ja tärkeitä kokonaisuuksia, mikä on eri kysymys kuin kuinka tiedän, vaatiiko yritykselleni NIS2:n. Valvontaviranomainen vaihtelee toimialasta riippuen — se seuraa kohdasta mikä valvontaviranomainen valvoo sektoriani NIS2:n alaisena. Jos kenen tahansa, joka saa toimeksiantajaltaan tiedon ilmoitusvelvoitteen olemassaolosta, mutta joka ei ole itse velvoitettu, tämä kysymys ei yleensä tule suoraan valvontaviranomaiselta, vaan epäsuorasti takaisin toimeksiantajan turvallisuuskyselylomakkeessa.

Mistä tämä johtuu: artikla 21 ja kansallinen laki

Ilmoitusvelvoite liittyy varovaisuusvelvoitteeseen NIS2-direktiivin artiklan 21 kohdan 2 mukaisesti: joka on velvoitettu hallitsemaan riskejä, on myös velvoitettu ilmoittamaan tapaturmista, jotka murtautuvat sen läpi. Direktiivi itse kuvailee periaatteen; ilmoituksen tarkat ajankohdat, määräajat ja muoto on avattu Kyberturvallisuuslaissa ja NCSC:n tiedotteissa, jotka kääntävät lain tekstin käytännön prosessiksi. Ilmoituksen sisältöä varten on hyödyllistä tietää, mitä toimenpiteitä oli jo tehty tapaturman sattuessa — yleiskatsaus näistä kuuluu mitkä kymmenen toimenpidettä minun on toteutettava NIS2:n mukaan.