kedy musím nahlásiť kybernetický incident dohľadnému orgánu

Hlásenie sa riadi časovou osou s viacerými momentmi

Hlásenie incidentu v oblasti kybernetickej bezpečnosti sa neuskutočňuje naraz, ale v krokoch: najskôr včasné upozornenie, potom podrobnejšie hlásenie a neskôr záverečná správa. To korešponduje s povahou incidentu — hneď po objavení často nie je jasné, čo presne sa stalo, zatiaľ čo dozorný orgán chce byť rýchlo informovaný o tom, že sa niečo deje. Presné momenty a obsah, ktorý sa v každom momente očakáva, sú opísané na stránke NCSC a v zákone o kybernetickej bezpečnosti; tieto zdroje tiež naznačujú, kedy sa incident považuje za dostatočne "významný" na to, aby podliehal povinnosti hlásenia.

Pre tých, ktorí si kladú otázku, či sa ich to týka: povinnosť hlásenia sa vzťahuje na subjekty uvedené v prílohe I a II, čo je iná otázka ako ako zistím, či moje podnikanie podlieha NIS2. Inštitúcia, ktorej hlásenie prichádza, sa rozlišuje podľa sektora — to vyplýva z ktorý dohľadný orgán kontroluje môj sektor podľa NIS2. Ak niekto prostredníctvom svojho objednávateľa dostane informáciu, že existuje povinnosť hlásenia, ale sám nie je povinný ju plniť, zvyčajne túto otázku nedostane priamo od dozorného orgánu, ale nepriamo ju dostane späť v dotazníku kybernetickej bezpečnosti od tohto objednávateľa.

Kde to vyplýva: články 21 a národný zákon

Povinnosť hlásenia súvisí s povinnosťou správy rizík z článku 21 ods. 2 smernice NIS2: kto je povinný riadiť riziká, je povinný hlásovať aj incidenty, ktoré cez ne prenikajú. Samotná smernica opisuje princíp; presné momenty, lehoty a formát hlásenia sú rozpracované v zákone o kybernetickej bezpečnosti a v informačnom materiáli NCSC, ktorý prekladá právny text na praktický proces. Pre obsah hlásenia je užitočné vedieť, aké opatrenia už boli prijaté v čase incidentu — prehľad o tom patrí k ktorých desať opatrení musím podľa NIS2 prijať.