O dever de notificação: 24 horas, 72 horas e um mês
Três momentos, e nenhum deles é o dever de notificação dentro de 24 horas a que normalmente se faz referência.
Três passos, nenhum
Perante um incidente significativo, notifica três vezes. Dentro de 24 horas um aviso prévio: algo grave aconteceu, possivelmente malicioso, possivelmente com consequências para além das fronteiras. Mais não é necessário constar nessa altura, porque muitas vezes ainda não sabe o que se passa.
Dentro de 72 horas segue-se a notificação propriamente dita: a gravidade, as consequências e os indícios que tem sobre como aconteceu. E dentro de um mês o relatório final: o que foi, qual foi a causa, o que fez a respeito e quais foram as consequências para além das fronteiras.
Quando é que um incidente é significativo?
Se causar uma interrupção grave do seu serviço ou perdas financeiras, ou se puder causar danos consideráveis a terceiros. Isto é formulado deliberadamente de forma abrangente. Na prática, a regra de ouro é: se internamente o chamar uma crise, é significativo.
O prazo começa no momento em que fica ciente do incidente, não no momento em que este começou. Essa diferença pode chegar a dias, e é a razão pela qual é importante registar quando notou algo.
Junto de quem notificar
Junto da CSIRT ou da autoridade competente do seu país. Cada país tem o seu próprio portal e o seu próprio meio de autenticação.
Esse meio de autenticação é precisamente a razão pela qual nunca notificamos em seu lugar. Mantemos o texto pronto, com os dados do seu dossiê preenchidos, e você apresenta-o pessoalmente. Isto não é uma limitação mas uma escolha: o seu acesso à sua autoridade supervisora não deve estar na posse de um fornecedor.
Perguntas frequentes
E se notificar demasiado tarde?
Notificar demasiado tarde é em si mesmo uma infração. Em caso de dúvida, um aviso prévio que se revele desnecessário é mais económico do que uma notificação que chega tarde: o primeiro passo leva dez minutos.
Tenho também de informar os meus clientes?
Se o incidente afetar o serviço prestado a eles, a autoridade supervisora pode obrigá-lo. Para além disso, o RGPD aplica-se separadamente: se se tratar de dados pessoais, existe também um dever de notificação para a Autoridade de Proteção de Dados.
Isto aplica-se também se for afetado pela cadeia?
Não. O dever de notificação só se aplica a organizações que estejam elas próprias sujeitas à lei. O seu contrato com um cliente sujeito à obrigação pode conter, no entanto, um acordo de notificação próprio.
Esta é uma explicação, não um parecer sobre a sua situação. secria.eu não avalia a sua organização nem presta garantia.