Trzy momenty, nie jeden termin
Kto szuka hasła nis2 obowiązek powiadomienia 24 godziny, zwykle trafia na przekonanie, że organizacja musi w ciągu jednego dnia wszystko wiedzieć i zgłosić. To nieprawda. Artykuł 23 dyrektywy NIS2 wyróżnia trzy odrębne momenty po znaczącym incydencie: wczesne ostrzeżenie w ciągu 24 godzin, bardziej szczegółowe powiadomienie w ciągu 72 godzin i raport końcowy w ciągu jednego miesiąca. Każdy moment wymaga czegoś innego, a licznik czasu zaczyna się od momentu, gdy organizacja zdaje sobie sprawę z incydentu — nie od momentu, w którym incydent faktycznie miał miejsce.
Ważne, aby wiedzieć z góry: ten obowiązek powiadomienia dotyczy organizacji, które zostały same zaklasyfikowane jako podmioty kluczowe lub ważne zgodnie z NIS2, czyli dla podmiotów z sektorów wymienionych w załączniku I i II. Firmy, na które wpływ ma łańcuch dostaw — dostawca z sektora MŚP, który otrzymuje kwestionariusz dotyczący bezpieczeństwa od dużego nabywcy — nie podlegają samodzielnie temu obowiązkowi powiadomienia. Mogą jednak zauważyć, że nabywca pyta, jak radzą sobie z incydentami, ale to coś innego niż ustawowy obowiązek powiadomienia władzy nadzorczej. Jeśli nie wiecie, do której kategorii należy wasza organizacja, kontrola z kilkoma pytaniami da pierwszą wskazówkę.
Pierwszy moment: ostrzeżenie, nie analiza
Pierwsze 24 godziny przeznaczone są na wczesny sygnał, a nie na pełną analizę. Dyrektywa mówi tu o wczesnym ostrzeżeniu: krótka wiadomość, że podejrzewa się znaczący incydent, i czy istnieje podejrzenie, że incydent spowodowany jest działaniem niezgodnym z prawem lub może mieć skutki transgraniczne. To, co w tym momencie jeszcze brakuje — dokładna przyczyna, skala, zaangażowane systemy — nie musi być obecne. Tu właśnie tkwi nieporozumienie: 24 godziny to nie termin na rozwiązanie incydentu lub jego zrozumienie, to termin na zgłoszenie, że coś się dzieje.
Drugi moment: początkowa ocena
W ciągu 72 godzin następuje powiadomienie idące dalej niż pierwsze ostrzeżenie. Oczekiwana jest tu początkowa ocena incydentu, wraz z jego powagą i skutkami, a jeśli są dostępne — wskaźniki wskazujące na incydent. To wyraźnie etap pośredni: dyrektywa uznaje, że organizacja 72 godziny po uzyskaniu wiedzy często nie ma jeszcze pełnego obrazu. To, co się oczekuje, to że w tym momencie organizacja może wykazać, co ustaliła do tego momentu i jakie środki podjęła lub rozważa.
Trzeci moment: raport końcowy
Raport końcowy, najpóźniej miesiąc po powiadomieniu, to miejsce, gdzie dokumentuje się pełne okoliczności: szczegółowy opis incydentu, jego powaga i skutki, typ zagrożenia lub przyczyna leżąca u podstaw incydentu, podjęte i trwające środki kontrolne, oraz w miarę potrzeby skutki transgraniczne. Jeśli incydent trwa w tym momencie, dyrektywa przewiduje raport tymczasowy i późniejszy raport końcowy po zakończeniu incydentu.
Co sama organizacja musi zrobić, a co nie
Te trzy momenty dotyczą tego, CO jest zgłaszane i KIEDY, a nie tego, JAK organizacja technicznie rozpatruje incydent. Ustalenie przyczyny, izolowanie systemów, badanie sądowo-techniczne — to praca dla wyspecjalizowanych stron i wykracza poza to, co robi wstępna platforma taka jak secria.eu. Przygotowujemy teksty, które są potrzebne w każdym z trzech momentów, na podstawie tego, co zostało już udokumentowane w cyber-dossier organizacji dotyczące środków i osób odpowiedzialnych; złożenie zawsze dokonywane jest przez samą organizację w portalu właściwej władzy nadzorczej.
Dokładne procedury i portal różnią się w zależności od kraju, ponieważ każde państwo członkowskie transpozycji dyrektywę do krajowego prawa — w Niderlandach poprzez ustawę o cyberbezpieczeństwie. Szczegóły, takie jak dokładny proces rejestracji u organu nadzorczego, najlepiej sprawdzić bezpośrednio u organu nadzorczego lub w ostatecznym tekście krajowym. Przegląd tego, jak secria.eu utrzymuje źródła i z jaką datą, znajdziesz na stronie o pochodzeniu naszych informacji.
Dlaczego to więcej niż zapamiętanie terminu
Te trzy momenty są realizowalne tylko wtedy, gdy organizacja z góry wie, kto rozpoznaje incydent, kto go zgłasza i jakie informacje są już dostępne. To właśnie punkt, w którym miary kontrolne i proces zgłaszania się spotykają: organizacja, która utrzymuje swoje miary jako żywy rejestr, z właścicielem dla każdej miary, nie musi zaczynać od zera podczas incydentu, aby ustalić, kto za co jest odpowiedzialny. Więcej na temat sposobu, w jaki te miary wiążą się z obowiązkiem zgłaszania i innymi obowiązkami, znajdziesz na przeglądzie tematów dla każdej sytuacji.
Jeśli masz pytania dotyczące tego, co dokładnie oznacza znaczący incydent lub jak obowiązek zgłaszania odnosi się do twojego sektora, strona z odpowiedziami na często zadawane pytania to logiczny następny krok, oprócz konsultacji z organem nadzorczym lub prawnikiem w sprawie konkretnej sytuacji.
Jeśli chcesz najpierw wiedzieć, czy twoja organizacja w ogóle podlega obowiązkowi zgłaszania, wykonaj bezpłatny test NIS2. Daje on w kilka pytań wskazanie twojej pozycji, wraz z wyjaśnieniami i następnym krokiem — bez konieczności posiadania konta.