Tri momenty, nie jedna lehota
Kto sa vyhľadáva na nis2 povinnosť nahlasovať 24 hodín, zvyčajne natrafí na predstavu, že organizácia musí všetko vedieť a nahlásať do jedného dňa. To nie je správne. Článok 23 Smernice NIS2 rozlišuje tri samostatné momenty po významnom incidente: včasné upozornenie do 24 hodín, podrobnejšie nahlásenie do 72 hodín a záverečná správa do jedného mesiaca. Každý moment vyžaduje niečo iné a hodiny sa začínajú počítať len v momente, keď si organizácia uvedomí incident — nie od momentu, keď sa incident skutočne stal.
Dôležité vedieť vopred: táto povinnosť nahlasovať sa vzťahuje na organizácie, ktoré sú samy označené ako základné alebo dôležité podľa NIS2, teda na subjekty zo sektorov uvedených v prílohe I a II. Podniky, ktoré sú zasiahnuté cez reťazec — dodávateľ z MKB, ktorý dostane bezpečnostný zoznam otázok od veľkého odberateľa — nezapadajú sami pod túto povinnosť nahlasovať. Môžu si všimnúť, že odberateľ sa pýta, ako zaobchádajú s incidentmi, ale to je niečo iné ako zákonná povinnosť nahlasovať dozorovateľskému orgánu. Ak si nie ste istí, do ktorej kategórie vaša organizácia patrí, kontrola s niekoľkými otázkami vám dá prvú indikáciu.
Prvý moment: upozornenie, nie analýza
Prvých 24 hodín je určených na skorý signál, nie na úplnú analýzu. Smernica tu hovorí o včasnom upozornení: krátka správa o tom, že pravdepodobne ide o významný incident, a či existuje podozrenie, že incident spôsobil nelegálny čin alebo môže mať cezhraničné dôsledky. Čo v tomto momente chýba — presná príčina, rozsah, dotknuté systémy — nemusí byť. Práve tu je chyba: 24 hodín nie je lehota na vyriešenie incidentu alebo na jeho pochopenie, je to lehota na nahlásenie, že sa deje niečo neobvyklé.
Druhý moment: prvé hodnotenie
Do 72 hodín nasleduje nahlásenie, ktoré presahuje prvé upozornenie. Tu sa očakáva prvé zhodnotenie incidentu s jeho závažnosťou a dôsledkami, a ak sú dostupné, aj ukazovatele, ktoré na incident poukazujú. Aj toto je výslovne medziľahlý stupeň: smernica uznáva, že organizácia 72 hodín po vedomí často ešte nemá úplný obraz. Čo sa však očakáva, je, že organizácia v danom momente môže preukázať, čo dovtedy zistila a aké opatrenia prijala alebo zvažuje.
Tretí moment: záverečná správa
Záverečná správa, najneskôr mesiac po nahlásení, je miestom, kde sa zaznamenáva úplný priebeh: podrobný opis incidentu, jeho závažnosť a dôsledky, typ hrozby alebo základná príčina, ktorá viedla k incidentu, prijatá a prebiehajúca kontrolná opatrenia, a v prípade potreby cezhraničné dôsledky. Ak incident v tom čase stále pretrváva, smernica umožňuje priebežnú správu a neskoršiu záverečnú správu, akonáhle je incident uzavretý.
Čo musí robiť samotná organizácia a čo nie
Tieto tri momenty sa týkajú toho, ČO sa hlási a KDY, nie toho, AKO organizácia incident technicky zvláda. Zisťovanie príčiny, izolácia systémov, forenzná analýza — to je práca špecializovaných subjektov a presahuje to, čo robí prípravná platforma ako secria.eu. Pripravujeme texty potrebné v každom z troch momentov na základe toho, čo je v cyber-dossieri organizácie už zaznamenané o opatreniach a zodpovedných osobách; podané sa vždy robí samotnou organizáciou prostredníctvom portálu príslušného dozorovacieho orgánu.
Presný postup a portál sa líšia podľa krajiny, pretože každý členský štát transponuje smernicu do svojej vlastnej legislatívy — v Holandsku prostredníctvom zákona o kybernetickej bezpečnosti. Podrobnosti, ako je presný postup nahlasovania tomu dozornému orgánu, je preto najlepšie skontrolovať priamo u dozorného orgánu alebo v definitívnom národnom texte. Prehľad o tom, ako secria.eu udržiava zdroje a s akým dátumom, nájdete na stránke o pôvode našich informácií.
Prečo je to viac ako len zapamätať si lehotu
Tri momenty sú splniteľné len vtedy, ak si organizácia vopred vedomá, kto incident odhalí, kto ho nahlási a aké informácie sú na to už pripravené. Práve tu sa stretávajú opatrenia na znižovanie rizika a postup ohlasovania: organizácia, ktorá udržiava svoje opatrenia ako živý register s vlastníkom pre každé opatrenie, nemusí pri incidente začínať od nuly s vyjasňovaním, kto za čo zodpovedá. Viac o tom, ako tieto opatrenia súvisia s povinnosťou ohlasovania a ďalšími povinnosťami, nájdete na prehľade tém podľa situácie.
ak máte otázky o tom, čo presne spadá pod závažný incident alebo ako sa povinnosť ohlasovania vzťahuje na vašu oblasť, potom je stránka s často kladanými otázkami logickým ďalším krokom, spolu s konzultáciou s vašim dozorným orgánom alebo právnikom pre vašu konkrétnu situáciu.
Ak chcete najskôr zistiť, či vaša organizácia spadá pod povinnosť ohlasovania, urobte bezplatnú NIS2-kontrolu. Tá vám v niekoľkých otázkach poskytne indikáciu vašej pozície, s vysvetlením a ďalším krokom — bez potreby mať na to účet.