Obowiązek zgłoszenia: 24 godziny, 72 godziny i miesiąc
Trzy momenty, a żaden z nich nie jest obowiązkiem zawiadomienia w ciągu 24 godzin, do którego zwykle się odwołuje.
Trzy kroki, żaden z nich nie
W przypadku poważnego incydentu zawiadamia się trzy razy. W ciągu 24 godzin wczesne ostrzeżenie: coś poważnego się stało, możliwe że złośliwe, możliwe że z konsekwencjami poza granicami. Więcej nie musi być zawarte w tym momencie, ponieważ często sam nie wiadomo jeszcze, co się dzieje.
W ciągu 72 godzin następuje właściwe zawiadomienie: powaga, konsekwencje i wskazówki dotyczące sposobu, w jaki do tego doszło. A w ciągu miesiąca raport końcowy: co to było, jaka była przyczyna, co się z tym zrobiło i jakie były konsekwencje poza granicami.
Kiedy incydent jest poważny?
Jeśli powoduje poważne zakłócenia w świadczeniu usługi lub straty finansowe, lub jeśli może spowodować znaczące szkody u innych. To jest celowo szeroko sformułowane. W praktyce główna reguła to: jeśli wewnętrznie nazwiesz to kryzysem, to jest poważne.
Termin liczy się od momentu, w którym się uświadomisz incydent, a nie od momentu, w którym się zaczął. Ta różnica może wynieść kilka dni i jest powodem, dla którego zanotowanie, kiedy coś zauważyłeś, jest ważne.
Do kogo się zawiadamia
Do CSIRT lub właściwego organu kraju. Każdy kraj ma swój własny portal i swój własny sposób logowania.
Ten sposób logowania jest dokładnie powodem, dla którego nigdy się za ciebie nie zawiadamiamy. Przygotowujemy tekst, z danymi z twojego dossier wypełnionymi, a ty go sam składasz. To nie jest ograniczenie, ale wybór: twój dostęp do twojego nadzorcy nie powinien leżeć u dostawcy.
Często zadawane pytania
Co jeśli zawiadomimy zbyt późno?
Zawiadomienie zbyt późne jest samo w sobie naruszeniem. W razie wątpliwości wczesne ostrzeżenie, które okazuje się niepotrzebne, jest tańsze niż zawiadomienie, które przychodzi zbyt późno: pierwszy krok zajmuje dziesięć minut.
Czy muszę również poinformować moich klientów?
Jeśli incydent dotyczy ich świadczenia usług, nadzorca może cię do tego zobowiązać. Poza tym RODO stosuje się osobno: jeśli chodzi o dane osobowe, istnieje również obowiązek zawiadomienia Urzędu ds. Ochrony Danych Osobowych.
Czy ma to zastosowanie również wtedy, gdy jestem dotknięty przez łańcuch?
Nie. Obowiązek zawiadomienia dotyczy tylko organizacji, które same podlegają ustawie. Umowa z klientem podlegającym przepisom może zawierać własne ustalenia dotyczące zawiadomienia.
To wyjaśnienie, nie rada dotycząca waszej konkretnej sytuacji. secria.eu nie ocenia waszej organizacji i nie udziela żadnych zapewnień.