Povinnosť nahlásenia: 24 hodín, 72 hodín a jeden mesiac
Tri momenty, a žiadny z nich nie je povinnosť oznámenia do 24 hodín, na ktorú sa zvyčajne odkazuje.
Tri kroky, ani jeden
Pri významnom incidente oznámite trikrát. Do 24 hodín skoré varovanie: niečo sa stalo vážne, prípadne zlomyseľne, prípadne s dôsledkami cez hranice. Viac sa vtedy nemusí nachádzať, pretože v tom čase sami často neviete, čo sa deje.
Do 72 hodín nasleduje samotné oznámenie: závažnosť, dôsledky a indície, ktoré máte o tom, ako k tomu došlo. A do jedného mesiaca záverečný pokyn: čo to bolo, aká bola príčina, čo ste s tým urobili a aké to malo dôsledky cez hranice.
Kedy je incident významný?
Ak spôsobuje vážne narušenie vašej služby alebo finančné straty, alebo ak môže spôsobiť značnú škodu iným. Je to zámerne široko formulované. V praxi je pravidlom: ak to vnútorne nazývate krízou, je to významné.
Lehota počína v momente, keď si incidenta všimnete, nie od momentu, keď začal. Tento rozdiel môže byť o dni a je to dôvod, prečo je dôležité zaznamenať, kedy ste sa o incidente dozvedeli.
Komu oznámite
CSIRT alebo príslušnému orgánu svojej krajiny. Každá krajina má svoj vlastný portál a vlastný prihlasovací prostriedok.
Tento prihlasovací prostriedok je práve dôvodom, prečo nikdy nenahlasujeme za vás. Pripravujeme text s údajmi z vášho dossier vyplnené a vy ho sami podáte. To nie je obmedzenie, ale voľba: váš prístup k vášmu dozorovacímu orgánu nepatrí k dodávateľovi.
Často kladené otázky
Čo ak nahlásim neskoro?
Neskoro hlásenie je samo o sebe porušením. V prípade pochybností je skoré varovanie, ktoré sa neskôr ukáže ako zbytočné, lacnejšie ako hlásenie, ktoré príde neskoro: prvý krok trvá desať minút.
Musím tiež informovať mojich zákazníkov?
Ak incident ovplyvní poskytovanie ich služieb, môže vás dozorovací orgán na to povinný. Nezávisle na tom platí GDPR osobitne: ak ide o osobné údaje, existuje aj povinnosť oznámenia Úradu na ochranu osobných údajov.
Platí to aj vtedy, ak som dotknutý prostredníctvom reťazca?
Nie. Povinnosť oznámenia platí len pre organizácie, ktoré sú samy upravené zákonom. Vaša zmluva s klientom v povinnosti môže obsahovať vlastnú dohodu o oznámení.
Ide o vysvetlenie, nie o poradenstvo vzťahujúce sa na vašu konkrétnu situáciu. secria.eu vaši organizáciu neposúdila a neposkytuje záväzné vyjadrenie.