kada moram prijaviti cyberincident nadzornom tijelu

Prijava slijedi vremensku liniju s više momenata

Prijavno obavezno incident nije prijavljen odjednom, već u koracima: prvo rano upozorenje, zatim detaljnija prijava, a kasnije završno izvješće. To se poklapa sa prirodom incidenta — odmah nakon otkrivanja često nije jasno što se točno dogodilo, dok nadzorni organ želi biti brzo obaviješten da se nešto događa. Točni momenti i sadržaj koji se očekuje u svakom trenutku opisani su na web-mjestu NCSC-a i u Zakonu o kibernetskoj sigurnosti; ti izvori također pokazuju kada se incident smatra dovoljno "značajan" da bi podlegao obavezi prijave.

Za one koji se pitaju jesu li zahvaćeni: obaveza prijave odnosi se na kritične i važne entitete, a to je drugačije pitanje od kako znam pada li moje poduzeće pod NIS2. Koje će institucije primiti prijavu razlikuje se ovisno o sektoru — to slijedi iz koji nadzor organ nadzire moj sektor prema NIS2. Ako netko preko naručitelja sazna da obaveza prijave postoji, ali sam nije plichtig, obično ne dobiva ovo pitanje izravno od nadzornog organa, već neizravno kroz listu pitanja o sigurnosti tog naručitelja.

Gdje to proizlazi: članak 21 i nacionalni zakon

Obaveza prijave povezana je s obvezom upravljanja rizikom iz članka 21 stavak 2 NIS2 Direktive: onaj tko je obavezan upravljati rizicima, također je obavezan prijaviti incidente koji probiju tu zaštitu. Direktiva sama opisuje princip; točni momenti, rokovi i format prijave razrađeni su u Zakonu o kibernetskoj sigurnosti i u informacijama NCSC-a, koji tekst zakona prevode u praktičan proces. Za sadržaj prijave korisno je znati koje su mjere već poduzete u trenutku incidenta — pregled toga spada u koja deset mjera moram poduzeti prema NIS2.