Kad man jāpaziņo par kiberndraudu incidentu pārraudzības iestādei

Paziņojums seko laika grafikam ar vairākiem brīžiem

Pienākums paziņot par negadījumu nenotiek vienā reizē, bet etapos: vispirms agrīns brīdinājums, pēc tam detalizētāks paziņojums un vēlāk gala ziņojums. Tas atbilst negadījuma būtībai — tūlīt pēc atklāšanas bieži vēl nav skaidrs, kas tieši ir noticis, bet regulators vēlas ātri uzzināt, ka kaut kas notiek. Precīzos brīžus un saturu, kas katram brīdim tiek sagaidīts, apraksta NCSC vietnē un Kiberdrošības likumā; šie avoti norāda arī to, kad negadījums ir pietiekami "nozīmīgs", lai ietilptu paziņošanas pienākumā.

Tiem, kuri jautā, vai viņi ir skārti: paziņošanas pienākums attiecas uz būtiskajām un svarīgajām struktūrām, un tas ir cits jautājums nekā Kā es zinu, vai mana uzņēmuma jāievēro NIS2. Tas, kurā sasniegs paziņojums, pēc tam atšķiras atkarībā no nozares — tas izriet no Kura pārraudzības iestāde kontrolē manu nozari saskaņā ar NIS2. Ja kāds, kurš tiek piesaistīts darba devējam, uzzina, ka pastāv paziņošanas pienākums, bet pats nav pienākuma subjekts, parasti šo jautājumu saņem ne tieši no uzraudzības iestādes, bet netieši atpakaļ drošības jautājumu anketas veidā no šī darba devēja.

No kur tas izriet: 21. panta un nacionālais likums

Paziņošanas pienākums ir saistīts ar riska pārvaldības pienākumu, kas noteikts NIS2 direktīvas 21. panta 2. punktā: kas ir spiests pārvaldīt riskus, tam ir arī pienākums paziņot par incidentiem, kas caur to iespējas. Direktīva pati apraksta principu; precīzie momenti, termiņi un paziņošanas formāts ir izstrādāti Kiberbezpecības likumā un NCSC informatīvos materiālos, kas likuma tekstu pārvērš praktiskā procesā. Lai saprastu paziņošanas saturu, ir noderīgi zināt, kādi pasākumi jau bija veikti incidenta brīdī — šāds pārskats ir jāiekļauj Kādus desmit pasākumus es jāņem saskaņā ar NIS2.