kada turiu pranešti apie kibernetinį incidentą priežiūros organui

Pranešimas seka laiko skalę su keliais momentais

Pranešamasis incident nėra pranešamas vienu metu, o etapais: pirmiausia—greita įspėjimas, tada—išsamesnė praneša, o vėliau—galutinė ataskaita. Tai atitinka incidento pobūdį—iš karto po nustatymo dažnai dar neaišku, kas tiksliai įvyko, tačiau reguliavimo institucija nori greitai sužinoti, kad vyksta kažkas problemiško. Tikslūs momentai ir turinio, kuris tikimasi kiekvienu metu, yra aprašyti NCSC svetainėje ir Kibernetinio saugumo įstatyme; šaltiniai taip pat nurodo, kada incident laikomas pakankamai "reikšmingu", kad jis patektų į pranešimo pareigybę.

Tiems, kurie savę klausia, ar tai juos paliečia: pranešimo pareiga galioja esminėms ir svarbiosioms subjektams, ir tai yra kitoks klausimas nei kaip žinau, ar mano įmonė patenka į nis2. Priklausomai nuo sektoriaus skiriasi, kurioje institucijoje paskelbiamas pranešimas — tai išplaukia iš kuris priežiūros organas kontroliuoja mano sektorių pagal nis2. Kas per užsakovą sužino apie pranešimo pareigą, bet pats nėra pareigų turintis subjektas, paprastai tiesiogiai gauna šį klausimą ne iš priežiūros institucijos, bet netiesiogiai — per užsakovo saugos klausimyną.

Iš kur tai seka: 21 straipsnis ir nacionalinis įstatymas

Pranešimo pareiga yra susijusi su saugos pareiga, nustatyta NIS2 direktyvos 21 straipsnio 2 dalyje: tas, kas privalo kontroliuoti rizikos, taip pat privalo pranešti apie incidentus, kurie pralenda per šią kontrolę. Pati direktyva aprašo principą; tikslūs pranešimo laikai, terminai ir formatas yra išdėstyti Kibernetinio saugumo įstatyme ir NCSC informacijoje, kuri įstatymo tekstą vertina į praktinį procesą. Pranešimo turinys yra naudingas žinoti, kokios priemonės buvo jau imtos incidento metu — tokio peržvalgos apžvalga turi būti pateikta kurias dešimt priemonių turiu imtis pagal nis2.