L'obbligo di segnalazione: 24 ore, 72 ore e un mese
Tre momenti, e nessuno di essi è l'obbligo di segnalazione entro 24 ore a cui di solito ci si riferisce.
Tre fasi, nessuna
In caso di incidente significativo, comunicate tre volte. Entro 24 ore un avviso precoce: c'è qualcosa di grave, possibilmente doloso, possibilmente con conseguenze oltre i confini. Non è necessario aggiungere di più, perché spesso a quel momento voi stessi non sapete ancora cosa sta accadendo.
Entro 72 ore segue la segnalazione vera e propria: la gravità, le conseguenze e gli indizi che avete su come è accaduto. E entro un mese il rapporto finale: cosa era, quale era la causa, cosa avete fatto al riguardo e quali erano le conseguenze oltre i confini.
Quando un incidente è significativo?
Se provoca un grave disturbo del vostro servizio o perdite finanziarie, o se può causare danni considerevoli ad altri. È formulato deliberatamente in modo ampio. In pratica la regola pratica è: se lo chiamate internamente una crisi, è significativo.
Il termine decorre dal momento in cui vi rendete conto dell'incidente, non da quando è iniziato. Questa differenza può contare giorni, ed è il motivo per cui registrare quando avete notato qualcosa è importante.
A chi comunicate
Al CSIRT o all'autorità competente del vostro paese. Ogni paese ha il suo portale e il suo mezzo di autenticazione.
Questo mezzo di autenticazione è esattamente il motivo per cui non comunichiamo mai al vostro posto. Prepariamo il testo, con i dati del vostro fascicolo compilati, e voi lo comunicate voi stessi. Non è una limitazione ma una scelta: l'accesso alla vostra autorità di vigilanza non deve trovarsi presso un fornitore.
Domande frequenti
Che cosa succede se comunico troppo tardi?
Comunicare troppo tardi è di per sé un'infrazione. In caso di dubbio, un avviso precoce che in seguito si rivela superfluo è più economico di una segnalazione che arriva troppo tardi: il primo passo costa dieci minuti.
Devo anche informare i miei clienti?
Se l'incidente riguarda la loro fornitura di servizi, l'autorità competente potrebbe obbligarvi a farlo. A parte questo, il GDPR si applica separatamente: se si tratta di dati personali, c'è anche un obbligo di segnalazione all'Autorità per la protezione dei dati personali.
Vale anche se sono colpito attraverso la catena?
No. L'obbligo di segnalazione si applica solo alle organizzazioni soggette alla legge. Il vostro contratto con un cliente soggetto può contenere un accordo di segnalazione separato.
Questo è una spiegazione, non una consulenza sulla vostra situazione specifica. secria.eu non valuta la vostra organizzazione e non fornisce assurance.