Trys momentai, ne vienas terminas
Tie, kurie ieško NIS2 pranešimo pareigos 24 valandų, dažniausiai susiduria su nuomone, kad organizacija per vieną dieną turi viską žinoti ir pranešti. Tai neteisinga. NIS2 direktyvos 23 straipsnis skiria tris atskirus momentus po reikšmingo incidento: ankstyvąjį perspėjimą per 24 valandas, išsamesnį pranešimą per 72 valandas ir baigiamąjį ataskaitą per mėnesį. Kiekvienas momentas reikalauja ko nors kitokio, o laikas pradeda bėgti tik tada, kai organizacija sužino apie incidentą — ne nuo momento, kai incidentas iš tikrųjų įvyko.
Svarbu žinoti iš anksto: ši pranešimo pareiga taikoma organizacijoms, kurios pačios yra pripažintos esminėmis arba svarbiosiomis pagal NIS2, todėl subjektams iš I ir II priedo sektorių. Įmonės, kurias paliečia tiekimo grandinė — MVĮ tiekėjas, kuris iš didelio pirkėjo gauna saugumo klausimyną — nepriklausytinai nepatenkina šios pranešimo pareigos. Jie gali pastebėti, kad pirkėjas paklaus, kaip jie elgiasi su incidentais, bet tai yra kas nors kita nei teisinė pranešimo pareiga priežiūros institucijai. Jei abejojate, kokiai kategorijai priklauso jūsų organizacija, patikrinimas su keliais klausimais duoda pirminį rodiklį.
Pirmasis momentas: perspėjimas, ne analizė
Pirmosios 24 valandos skirtos ankstyvam signalui, o ne pilnai analizei. Direktyva čia kalba apie ankstyvąjį perspėjimą: trumpą pranešimą, kad gali būti reikšmingas incidentas, ir ar yra sumejimas, kad incidentą sukėlė neteisėtas veiksmas arba jis gali turėti tarpvalstybines pasekmes. Ko šiuo momentu dar trūksta — tikslus incidento šaltinis, apimtis, paliestos sistemos — neturi būti. Būtent čia slypi klaidinga nuomonė: 24 valandos nėra incidento sprendimo ar supratimo terminas, tai terminas jam pranešti, kad atsitiko kažkas.
Antrasis momentas: pirmasis vertinimas
Per 72 valandas seka pranešimas, kuris eina toliau nei pirmasis perspėjimas. Čia tikimasi pirmo incidento vertinimo, nurodant rimtumą ir pasekmes, ir jei yra, to atlikto incidento rodiklius. Ir tai aiškiai tarpinis žingsnis: direktyva pripažįsta, kad organizacija per 72 valandas nuo žinojimo dažnai dar neturi viso vaizdo. Tai, ko tikimasi, yra tai, kad organizacija tuo metu gali parodyti, ką ji iki tol nustatė ir kokias priemones ėmėsi ar svarsto.
Trečiasis momentas: baigiamoji ataskaita
Baigiamoji ataskaita, ne vėliau nei mėnesį po pranešimo, yra vieta, kurioje nustatoma pilna incidento apimtis: detalus incidento aprašymas, rimtumas ir pasekmės, grėsmės tipas ar pagrindinė priežastis, vedusi prie incidento, taikomos ir atliekamos kontrolės priemonės, ir jei taikytina, tarpvalstybinės pasekmės. Jei incidentas tokiu metu dar tebevyksta, direktyva numato laikinąją ataskaitą ir vėlesnę baigiamąją ataskaitą, kai incidentas yra išspręstas.
Ką pati organizacija turi daryti ir ko ne
Šie trys momentai susijęs su tuo, KAS pranešama ir KADA, o ne su tuo, KAIP organizacija techniškai tvarkosi su incidentu. Šaltinio nustatymas, sistemų izoliavimas, kriminalistinis tyrimas — tai gerai organizuotų šalių darbas ir nepatenka į tai, ką daro parengiamoji platforma, tokia kaip secria.eu. Parengame tekstus, reikalingus kiekvienu iš trijų momentų, remiantis tuo, kas jau yra užregistruota organizacijos kibernetinio saugumo byloje apie priemones ir atsakingus asmenis; pateikimas visada atliekamas pačios organizacijos, per atitinkamo priežiūros instituto portalą.
Tikslus darbų būdas ir portalas skiriasi priklausomai nuo šalies, nes kiekviena valstybė narė direktyvą perkeičia į savo teisės aktus — Nyderlanduose per Kibernetinio saugumo įstatymą. Smulkmenos, pavyzdžiui, tikslus pranešimo procedūra priežiūros institucijai, geriausiai patikrinti tiesiogiai su priežiūros institucija arba galutiname nacionaliniame tekste. Apžvalgą, kaip secria.eu palaiko šaltinius ir kokią datą, skaitykite puslapyje apie tai, iš kur mūsų informacija gaunama.
Kodėl tai yra daugiau nei laikotarpio atsiminimas
Trys momentai yra įmanomi tik tada, kai organizacija iš anksto žino, kas atpažįsta incidentą, kas jį praneša ir kokia informacija tam jau yra paruošta. Tai yra lygiai tas, kur priežiūros pareigos priemonės ir pranešimo procedūra susitinka: organizacija, kuri palaiko savo priemonės kaip gyvu registru, turėdama kiekvienos priemonės savininką, incidento atveju neturi iš nulio pradėti ieškauti, kas už ką atsakingas. Daugiau apie tai, kaip šios priemonės susijusios su pranešimo pareiga ir kitomis pareigomis, rasite temų apžvalgą pagal situaciją.
Jei turite klausimų, kas tiksliai patenka į reikšmingą incidentą arba kaip pranešimo pareiga susijusi su jūsų sektoriumi, tai dažnai užduodamų klausimų puslapis yra logiškas kitas žingsnis, be to, galite pasitarti su savo priežiūros institucija arba teisininku dėl jūsų konkrečios situacijos.
Jei pirmiausia norite sužinoti, ar jūsų organizacija iš viso patenka į pranešimo pareigos taikymo sritį, atlikite nemokamą NIS2 patikrą. Ji keliais klausimais nurodo jūsų padėtį su paaiškinimais ir tolesniu žingsniu — be jokios sąskaitos.