Meldeplikten: 24 timer, 72 timer og en måned
Tre tidspunkter, og ingen av dem er meldeplikten innen 24 timer som vanligvis nevnes.
Tre trinn, ingen ett
Ved et betydelig hendelse melder du tre ganger. Innen 24 timer en tidlig advarsel: noe alvorlig har skjedd, mulig ondsinnet, mulig med konsekvenser over grensen. Mer trenger ikke å være med på det tidspunktet, fordi du ofte ikke vet selv hva som foregår.
Innen 72 timer følger den faktiske meldingen: alvorlighetsgraden, konsekvensene og indiciene du har på hvordan det skjedde. Og innen en måned sluttmeldingen: hva det var, hva årsaken var, hva du har gjort med det og hvilke konsekvenser det hadde over grensen.
Når er en hendelse betydelig?
Hvis det forårsaker alvorlig forstyrrelser i tjenesten din eller økonomiske tap, eller hvis det kan forårsake betydelig skade hos andre. Det er bevisst formulert vidt. I praksis er tommelfingerregelen: hvis du kaller det en krise internt, er det betydelig.
Tidsfristen løper fra det tidspunktet du blir klar over hendelsen, ikke fra når den startet. Den forskjellen kan være flere dager, og det er grunnen til at det er viktig å dokumentere når du la merke til noe.
Hvem melder du til
Til CSIRT eller den kompetente myndigheten i ditt land. Hvert land har sitt eget portal og sitt eget påloggingsmiddel.
Det påloggingsmiddelet er nøyaktig grunnen til at vi aldri melder på dine vegne. Vi holder teksten klar, med dataene fra dossieren din fylt inn, og du sender den inn selv. Det er ikke en begrensning men et valg: tilgangen din til tilsynsmyndigheten din skal ikke ligge hos en leverandør.
Ofte stilte spørsmål
Hva hvis jeg melder for sent?
Å melde for sent er selv et brudd. Ved tvil er en tidlig advarsel som senere viser seg unødvendig billigere enn en melding som kommer for sent: det første trinnet tar ti minutter.
Må jeg også informere kundene mine?
Hvis hendelsen påvirker tjenesten deres kan tilsynsmyndigheten pålegge deg det. Bortsett fra det gjelder personvernforordningen separat: gjelder det personopplysninger har du også en meldeplikt til Datatilsynet.
Gjelder dette også hvis jeg blir rammet gjennom verdikjeden?
Nei. Meldeplikten gjelder bare organisasjoner som selv er underlagt loven. Kontrakten din med en pliktig kunde kan imidlertid inneholde en egen meldeavtale.
Dette er informasjon, ikke råd om din egen situasjon. secria.eu vurderer ikke organisasjonen din og gir ingen sikkerhet.