Trīs momenti, nevis viens termiņš
Tie, kuri meklē nis2 pārskatīšanas pienākums 24 stundas, parasti nonāk pie idejas, ka organizācijai 24 stundas laikā jāzina un jāziņo par visu. Tas nav pareizi. NIS2 direktīvas 23. pants izšķir trīs atsevišķus momentus pēc nozīmīga drošības incidenta: agrīnu brīdinājumu 24 stundu laikā, detalizētāku pārskatīšanu 72 stundu laikā un galīgo pārskatu viena mēneša laikā. Katrs moments prasa kaut ko citu, un laiks sāk skaitīties no brīža, kad organizācija kļūst par drošības incidenta informācijas turētāja — nevis no brīža, kad drošības incidents faktiski notika.
Svarīgi zināt iepriekš: šis pārskatīšanas pienākums attiecas uz organizācijām, kuras paš pēc NIS2 ir klasificētas kā būtiskas vai svarīgas, tādējādi attiecas uz subjektiem no I un II pielikuma nozarēm. Uzņēmumi, kurus pieskaņ caur piegādes ķēdi — mazais vai vidējais uzņēmums, kas saņem drošības jautājumiernesistu formu no lielā pircēja — paši neietilpst šajā pārskatīšanas pienākumā. Viņi var pamanīt, ka pircējs jautā, kā viņi rīkojas ar drošības incidentiem, bet tas ir kaut kas cits nekā likumā noteikts pārskatīšanas pienākums pret uzraudzības iestādi. Ja jūs šaubāties, kurai kategorijai jūsu organizācija pieder, pārbaude ar dažiem jautājumiem tam ir sākotnējā norāde.
Pirmais moments: brīdinājums, nevis analīze
Pirmās 24 stundas ir paredzētas agrīnam signālam, nevis pilnīgai analīzei. Direktīvā šeit minēts agrīns brīdinājums: īss paziņojums, ka iespējama nozīmīga drošības incidenta gadījuma iespējamība, un vai ir aizdomu, ka drošības incidents ir izraisīts nelikumīga darbības vai var izrādīt šķērsrobežu sekas. Tas, kas šajā momentā vēl trūkst — precīzs incidenta cēlonis, apjoms, iesaistītās sistēmas — nav obligāti. Tieši tur slēpjas nepareizā izpratne: 24 stundas nav termiņš incidenta risināšanai vai izpratnei, tas ir termiņš paziņot, ka kaut kas notiek.
Otrais moments: sākotnējais novērtējums
72 stundu laikā seko paziņojums, kas pārsniedz pirmo brīdinājumu. Šeit tiek sagaidīts sākotnējais drošības incidenta novērtējums, ar nopietnību un sekām, un ciktāl pieejams, rādītājus, kas norāda uz incidenta. Arī tas ir skaidri starpposms: direktīva atzīst, ka organizācija 72 stundas pēc informācijas iegūšanas bieži vēl nav saņēmusi pilnīgu ainu. Ko tomēr sagaida, ir tas, ka organizācija šajā brīdī var parādīt, ko viņa līdz šim ir noskaidrojusi un kādus pasākumus viņa ir veikusi vai apsvērusi.
Trešais moments: galīgais pārskats
Galīgais pārskats, ne vēlāk kā mēnesi pēc pārskatīšanas, ir vieta, kur tiek fiksēta pilnīga incidenta vēsture: detalizēts incidenta apraksts, nopietnība un sekas, draudu veids vai pamatā esošais cēlonis, kas izraisīja incidentu, veiktie un notiekošie kontroles pasākumi, un vajadzības gadījumā šķērsrobežu sekas. Ja incidents šajā brīdī joprojām notiek, direktīva paredz starpposma pārskatu un vēlāku galīgo pārskatu pēc incidenta nobeigšanas.
Kas pašai organizācijai jādara, un kas ne
Šie trīs momenti attiecas uz to, KO un KAD tiek pārskatīts, nevis uz to, KĀ organizācija tehniski apstrādā incidentu. Cēloņa noskaidrošana, sistēmu izolēšana, forenziska analīze — tas ir darbaspēks specializētajiem partneriem un neietilpst tam, ko priekšgatavošanas platforma secria.eu dara. Mēs gatavojam tekstus, kas nepieciešami katrā no trim momentiem, balstoties uz to, kas organizācijas kiberdrošības failā jau ir dokumentēts par pasākumiem un atbildīgajiem personām; iesūtīšanu vienmēr veic pati organizācija attiecīgās uzraudzības iestādes portālā.
Precīzā darba procedūra un portāls atšķiras atkarībā no valsts, jo katra dalībvalsts direktīvu pārvērš savā tiesību aktos — Nīderlandē to dara caur Kiberdrošības likumu. Detaļas, piemēram, precīzais paziņošanas process pie regulatora, labāk ir pārbaudīt tieši pie regulatora vai galīgajā nacionālajā tiesību akta tekstā. Apskatu par to, kā secria.eu pauž avotus un ar kādu datumu, varat izlasīt lapā par to, no kurienes nāk mūsu informācija.
Kāpēc tas ir vairāk nekā noteikuma atcerēšanās
Trīs momenti ir iespējami tikai tad, ja organizācija jau iepriekš zina, kas atpazīst negadījumu, kas to paziņo un kāda informācija tam jau ir gatava. Tas ir tieši tas, kur regulatora pienākumi un paziņošanas process satiekas: organizācija, kas savas maatregelen kā dzīvu reģistru uztur ar atbildīgo katram pasākumam, negadījuma gadījumā nav jāsāk no nulles ar noskaidrošanu, kas par ko atbild. Vairāk par to, kā šie pasākumi saistās ar paziņošanas pienākumu un citiem pienākumiem, varat atrast uz tēmu apskats pēc situācijas.
Vai jums ir jautājumi par to, kas tieši ietilpst nozīmīgā negadījuma jēdzienā vai kā paziņošanas pienākums attiecas uz jūsu nozari, tad bieži uzdoto jautājumu lapa ir loģisks nākošais solis, papildus konsultēšanai ar regulatoru vai jurista palīdzību jūsu konkrētajā situācijā.
Vispirms vēlaties uzzināt, vai jūsu organizācija vispār ietilpst paziņošanas pienākumā, veiciet bezmaksas NIS2-pārbaudi. Tā dod pāris jautājumos norādi uz jūsu pozīciju, ar paskaidrojumiem un nākošo soli — bez nepieciešamības pēc konta.