Tri trenutka, ne jedan rok
Tko pretražuje "NIS2 obavijest 24 sata", obično naiđe na ideju da organizacija mora sve saznati i prijaviti u roku od jednog dana. To nije točno. Članak 23. Direktive (EU) 2022/2555 razlikuje tri odvojena trenutka nakon značajnog incidenta: ranu upozorenje u roku od 24 sata, detaljniju obavijest u roku od 72 sata i završni izvještaj u roku od mjesec dana. Svaki trenutak zahtijeva nešto drugačije, a sat počinje tekati tek kada organizacija postane svjesna incidenta — ne od trenutka kada je do incidenta zaista došlo.
Važno je znati unaprijed: ova obavijestna dužnost primjenjuje se na organizacije koje su same određene kao kritične ili važne prema Direktivi (EU) 2022/2555, dakle na subjekte iz sektora navedenih u prilozima I i II. Poduzeća koja su pogođena preko lanca — MKB-dobavljač koji od velikog kupca dobije sigurnosni upitnik — ne podliježu sami ovoj obavijestnoj dužnosti. Mogu primijetiti da kupac pita kako postupaju s incidentima, ali to je nešto drugačije od zakonske dužnosti prijavljivanja nadzornom tijelu. Ako niste sigurni u koju kategoriju spada vaša organizacija, provjera s nekoliko pitanja daje prvi pokazatelj.
Prvi trenutak: upozorenje, ne analiza
Prvih 24 sata namijenjeni su ranom signalu, ne potpunoj analizi. Direktiva ovdje govori o ranoj upozorenju: kratkој poruci da vjerojatno postoji značajan incident, te postoji li sumnja da je incident uzrokovan nezakonitim djelovanjem ili može imati prekograničnih posljedica. Ono što sada nedostaje — točan uzrok, opseg, zahvaćeni sustavi — ne mora biti prisutno. Upravo tu leži zablude: 24 sata nisu rok za rješavanje ili razumijevanje incidenta, to je rok za prijavu da nešto nije u redu.
Drugi trenutak: prva procjena
U roku od 72 sata slijedi obavijest koja ide dalje od prve upozorenja. Ovdje se očekuje prva procjena incidenta sa težinom i posljedicama te, u mjeri u kojoj su dostupni, pokazatelji koji na incident upućuju. I ovo je posebno međukorak: Direktiva priznaje da organizacija obično još nema potpunu sliku 72 sata nakon saznanja. Ono što se očekuje jest da organizacija može u tom trenutku pokazati što je do tada utvrdila i koje mjere je poduzela ili razmatra.
Treći trenutak: završni izvještaj
Završni izvještaj, najkasnije mjesec dana nakon obavijesti, mjesto je gdje se bilježi cijela tijek: detaljni opis incidenta, težina i posljedice, vrsta prijetnje ili temeljni uzrok koji je doveo do incidenta, poduzete i tekuće mjere upravljanja rizicima, te gdje je relevantno, prekograničnih posljedica. Ako incident u tom trenutku još nije završen, Direktiva predviđa privremeni izvještaj i kasnije završni izvještaj kada je incident u potpunosti otvoren.
Što sama organizacija mora učiniti, a što ne
Ova tri trenutka odnose se na ŠTO se prijavljuje i KADA, a ne na to KAKO organizacija tehnički rukuje incidentom. Pronalaženje uzroka, izolacija sustava, forenzička istraživanja — to je posao specijaliziranih strana i izvan je onoga što čini pripremna platforma kao secria.eu. Припремамо tekste koji su potrebni u svakom od tri trenutka, na temelju onoga što je u cyber-dosijeu organizacije već zabilježeno o mjerama i odgovornima; uvijek je organizacija sama ta koja podnosi zahtjev na portalu nadležnog nadzornog tijela.
Točan postupak i portal razlikuju se od zemlje do zemlje, jer svaka država članica direktivu prenosi u vlastito zakonodavstvo — u Nizozemskoj kroz Zakon o kibernetskoj sigurnosti. Pojedinosti poput točnog postupka prijave nadzornom tijelu najbolje je provjeriti izravno kod nadzornog tijela ili u konačnom nacionalnom tekstu. Pregled kako secria.eu prati izvore i s kojim datumom čitajte na stranici o izvoru naših informacija.
Zašto je to više od samo pamćenja roka
Tri trenutka su ostvarivi samo ako organizacija unaprijed zna tko prepoznaje incident, tko ga prijavljuje i koji su podaci za to već dostupni. To je upravo gdje se mjere zaštite i postupak prijave susreću: organizacija koja svoje mjere održava kao živi register, s vlasnikom za svaku mjeru, pri incidentu ne mora početi od nule s istraživanjem tko je za što odgovoran. Više o tome kako se te mjere odnose na obvezu prijave i ostale obveze pronalazit ćete na pregledu tema po situaciji.
Ako imate pitanja o tome što točno spada pod značajan incident ili kako se obaveza prijave odnosi na vašu granu djelatnosti, tada je stranica s često postavljanih pitanja logičan sljedeći korak, zajedno s savjetovanjem s vašim nadzornim tijelom ili pravnikom za vašu specifičnu situaciju.
Ako prvo želite saznati je li vaša organizacija uopće podložna obavezi prijave, izvedite besplatnu NIS2-provjeru. Ta provjera daje odgovor na nekoliko pitanja u vidu indicije vaše pozicije, s objašnjenjem i sljedećim korakom — bez potrebe za računom.