Paziņošanas pienākums: 24 stundas, 72 stundas un viens mēnesis
Trīs momenti, un neviens no tiem nav paziņošanas pienākums 24 stundu laikā, uz ko parasti tiek atsaukts.
Trīs soļi, neviens no tiem
Nozīmīga incidenta gadījumā jūs paziņojat trīs reizes. 24 stundu laikā — agrīns brīdinājums: notikusi kaut kas nopietns, iespējams kaitējīgs, iespējams ar sekas pāri robežai. Vairāk tajā brīdī nav jāietver, jo bieži vien jūs paši vēl nezināt, kas notiek.
72 stundu laikā seko faktiskais paziņojums: smagums, sekas un norādes, kuras jums ir par to, kā tas notika. Un viena mēneša laikā — gala pārskats: kas tas bija, kāds bija cēlonis, ko jūs darījāt un kādas bija sekas pāri robežai.
Kad incidents ir nozīmīgs?
Ja tas izraisa jūsu pakalpojuma nopietnu traucējumu vai finansiālo zaudējumu, vai ja tas var izraisīt ievērojamus zaudējumus citiem. Tas ir apzināti plaši formulēts. Praksē vurstīņa ir šāda: ja jūs to iekšēji saucat par krīzi, tas ir nozīmīgs.
Termiņš sākas no brīža, kad jūs apzinājāties incidentu, nevis no brīža, kad tas sākās. Šī atšķirība var nozīmēt dienas atšķirību, un tas ir iemesls, kāpēc ir svarīgi pierakstīt, kad jūs kaut ko pamanījāt.
Kam jūs paziņojat
Sava valsts CSIRT vai kompetentajai iestādei. Katrai valstij ir savs portāls un savs pieslēgšanās līdzeklis.
Šis pieslēgšanās līdzeklis ir tieši iemesls, kāpēc mēs nekad paziņojam jūsu vārdā. Mēs sagatavojam tekstu ar jūsu dossiera datiem aizpildītiem, un jūs to iesniedzat pats. Tas nav ierobežojums, bet izvēle: jūsu piekļuve savam uzraudzītājam nedrīkst atrasties pie piegādātāja.
Bieži uzdotie jautājumi
Kas, ja es paziņoju par novēlošanu?
Novēlota paziņošana pati par sevi ir pārkāpums. Neskaidru gadījumu agrs brīdinājums, kas vēlāk izrādās nevajadzīgs, ir lētāks nekā paziņojums, kas ierodas par novēlošanu: pirmais solis aizņem desmit minūtes.
Vai es arī ticu informēt savus klientus?
Ja incidents skar viņu pakalpojumu sniegšanu, uzraudzītājs jums to var pārkārtot. Neatkarīgi no tā GDPR darbojas atsevišķi: ja runa ir par personiskajiem datiem, pastāv arī paziņošanas pienākums Personīgo datu aizsardzības iestādei.
Vai tas attiecas arī tad, ja es esmu skarts caur piegādes ķēdi?
Nē. Paziņošanas pienākums attiecas tikai uz organizācijām, kuras pašas pakļaujas likumam. Jūsu līgums ar atbildīgu klientu tomēr var saturēt savu paziņošanas vienošanos.
Šis ir skaidrojums, nevis padoms par jūsu situāciju. secria.eu nenovērtē jūsu organizāciju un nedod jokus.