Dužnost prijave: 24 sata, 72 sata i mjesec dana
Tri trenutka, i nijedan od njih nije dužnost obavijesti u roku od 24 sata na koju se obično misli.
Tri koraka, nijedan od njih
Kod značajnog incidenta obavijestite tri puta. U roku od 24 sata rano upozorenje: nešto je ozbiljno, moguće zlonamjerno, moguće s posljedicama preko granice. Više ne mora biti uključeno tada, jer često ni sami još ne znate što se zbiva.
U roku od 72 sata slijedi stvarna obavijest: ozbiljnost, posljedice i indikacije koje imate o tome kako se dogodilo. U roku od mjesec dana završni izvještaj: što je bilo, koja je bila uzrok, što ste poduzeli i koje su bile posljedice preko granice.
Kada je incident značajan?
Ako uzrokuje ozbiljnu smetnju vašoj usluzi ili financijske gubitke, ili ako može uzrokovati znatnu štetu drugima. To je namjerno široko formulirano. U praksi je pratilo: ako to interno nazivate krizom, značajno je.
Rok počinje od trenutka kada postanete svjesni incidenta, a ne od trenutka kada je počeo. Ta razlika može biti od nekoliko dana, i to je razlog zašto je važno zabilježiti kada ste nešto primijetili.
Kod koga obavijestite
Kod CSIRT-a ili nadležnog organa vaše zemlje. Svaka zemlja ima svoj portal i svoju metodu prijave.
Ta metoda prijave je upravo razlog zašto nikada ne obavijestimo umjesto vas. Održavamo tekst spreman, sa podacima iz vašeg dosijea uključenim, i vi ga sami podnesete. To nije ograničenje već izbor: vaš pristup vašem nadzornom tijelu ne treba biti kod dobavljača.
Često postavljana pitanja
Što ako obavijestim prekasno?
Prekasna obavijest je sama po sebi kršenje. Ako sumnjate, rano upozorenje koje se nakon toga pokaže nepotrebno jeftinije je nego obavijest koja dolazi prekasno: prvi korak traje deset minuta.
Moram li također obavijestiti svoje klijente?
Ako incident utječe na pružanje njihovih usluga, nadzorno tijelo vas može na to obvezati. Osim toga, GDPR se primjenjuje odvojeno: ako se radi o osobnim podacima, primjenjuje se i dužnost obavijesti Povjerenici za zaštitu podataka.
Primjenjuje li se i ako sam pogođen kroz lanac?
Ne. Dužnost obavijesti primjenjuje se samo na organizacije koje su same podložne zakonu. Vaš ugovor s klijentom koji je podložan zakonu može sadržavati vlastitu dogovorenu obavijest.
Ovo je objašnjenje, a ne savjet o vašoj osobnoj situaciji. secria.eu ne procjenjuje vašu organizaciju i ne daje jamstva.