Trei momente, nu o singură scadență
Cine caută notificare NIS2 24 de ore se întâlnește de obicei cu ideea că o organizație trebuie să știe și să notifice totul într-o singură zi. Aceasta nu este corectă. Articolul 23 al Directivei NIS2 prevede trei momente distincte după un incident semnificativ: o avertizare timpurie în termen de 24 de ore, o notificare mai detaliată în termen de 72 de ore și un raport final în termen de o lună. Fiecare moment necesită ceva diferit, iar termenul începe să curgă numai din momentul în care organizația ia teștiaj de incident — nu din momentul în care incidentul s-a produs efectiv.
Important de știut în prealabil: această obligație de notificare se aplică organizațiilor care au fost ele însele desemnate ca esențiale sau importante în conformitate cu NIS2, adică entităților din sectoarele din anexele I și II. Companiile care sunt afectate prin lanț — furnizorul din sectorul IMM care primește un chestionar de securitate de la un mare cumpărător — nu se încadrează singure în această obligație de notificare. Acestea pot observa că un cumpărător îi întreabă cum gestionează incidentele, dar aceasta este altceva decât o obligație legală de notificare la o autoritate de supraveghere. Dacă nu sunteți siguri în ce categorie se încadrează organizația dumneavoastră, verificarea cu câteva întrebări oferă o primă indicație.
Primul moment: o avertizare, nu o analiză
Primele 24 de ore sunt destinate unui semnal timpuriu, nu unei analize complete. Directiva vorbește aici despre o avertizare timpurie: un mesaj scurt că este posibil să existe un incident semnificativ și dacă există suspiciunea că incidentul a fost cauzat de o activitate ilegală sau ar putea avea consecințe transfrontaliere. Ceea ce lipsește în acest moment — cauza precisă, amploarea, sistemele implicate — nu trebuie să fie prezent. Aceasta este exact locul unde stă neînțelegerea: 24 de ore nu este o perioadă pentru a rezolva sau a înțelege incidentul, ci o perioadă pentru a notifica că se întâmplă ceva.
Al doilea moment: o primă evaluare
În termen de 72 de ore urmează o notificare care merge mai departe decât prima avertizare. Aici se așteaptă o primă evaluare a incidentului, cu severitatea și consecințele sale, și în măsura disponibilității informațiilor indicatorii care indică incidentul. Și aceasta este în mod explicit o etapă intermediară: directiva recunoaște că o organizație, la 72 de ore după luarea la cunoștință, adesea nu are încă tabloul complet. Ceea ce se așteaptă, totuși, este ca organizația să poată arăta în acel moment ceea ce a stabilit până atunci și ce măsuri a luat sau plănuiește.
Al treilea moment: raportul final
Raportul final, cel mai târziu o lună după notificare, este locul în care se stabilește toată contextul: o descriere detaliată a incidentului, severitatea și consecințele sale, tipul de amenință sau cauza subiacentă care a dus la incident, măsurile de control luate și în curs, și unde este relevant consecințele transfrontaliere. Dacă incidentul continuă în acel moment, directiva prevede un raport intermediar și un raport final ulterior odată ce incidentul este tratat.
Ceea ce organizația trebuie să facă și ce nu
Aceste trei momente se referă la CĚ se notifică și CÂT, nu la CUM o organizație tratează incidentul din punct de vedere tehnic. Identificarea cauzei, izolarea sistemelor, investigația forensică — aceasta este lucru pentru părți specializate și nu intră în ceea ce face o platformă pregătitoare cum este secria.eu. Pregătim textele necesare la fiecare din cele trei momente, pe baza a ceea ce este deja stabilit în dosarul cibernetic al organizației privind măsurile și responsabilii; depunerea se face întotdeauna de organizația însăși, la portalul autorității competente de supraveghere.
Modul exact de operare și portalul diferă de la o țară la alta, deoarece fiecare stat membru transpune directiva în legislația sa proprie — în Țările de Jos prin Legea de securitate cibernetică. Detalii precum procesul exact de notificare la autoritatea de supraveghere sunt deci mai bine de verificat direct la autoritatea de supraveghere sau în textul național final. O prezentare a modului în care secria.eu urmărește sursele și cu ce dată o puteți citi pe pagina despre de unde provin informațiile noastre.
De ce aceasta este mai mult decât o simplă memorare a unei termene limită
Cele trei momente sunt realizabile doar dacă o organizație știe din timp cine recunoaște un incident, cine îl raportează și ce informații sunt deja pregatite pentru aceasta. Acesta este exact locul în care măsurile de diligență și procesul de raportare se întâlnesc: o organizație care menține măsurile sale ca registru viu, cu un proprietar pentru fiecare măsură, nu trebuie să înceapă de la zero cu investigarea cine este responsabil pentru ce atunci când apare un incident. Mai multe informații despre modul în care aceste măsuri se corelează cu obligația de raportare și alte obligații le puteți găsi pe prezentarea generală a subiectelor după situație.
Dacă aveți întrebări cu privire la ceea ce se încadrează exact într-un incident semnificativ sau cum obligația de raportare se raportează la sectorul dumneavoastră, pagina cu întrebări frecvente este o etapă logică următoare, alături de consultații cu autoritatea dumneavoastră de supraveghere sau un jurist pentru situația dumneavoastră specifică.
Dacă doriti mai întâi să aflați dacă organizația dumneavoastră se încadrează sub obligația de raportare, faceți verificarea gratuită NIS2. Aceasta vă oferă în câteva întrebări o indicație a poziției dumneavoastră, cu explicații și o etapă următoare — fără a fi nevoie de un cont.