Obveznost prijave: 24 ur, 72 ur in en mesec
Tri trenutki, in nobeden od njih ni obveznost prijave v 24 urah, na katero se navadno sklicuje.
Tri koraki, noben od njih
Pri resnem incidentu prijavite trikrat. V roku 24 ur zgodnje opozorilo: nekaj huje se je zgodilo, mogoče zlonamerno, mogoče s posledicami čez mejo. Več tam ne mora biti, saj v tem trenutku pogosto sami še ne veste, kaj se dogaja.
V roku 72 ur sledi dejanska prijava: resnost, posledice in navedke, ki jih imate o tem, kako se je zgodilo. V roku enega meseca pa končno poročilo: kaj je bilo, kaj je bil vzrok, kaj ste naredili in katere so bile posledice čez mejo.
Kdaj je incident resničen?
Če povzroči resno motnje v vašem storitvi ali finančne izgube, ali če lahko povzroči znatno škodo drugim. To je namerno široko oblikovano. V praksi je praktično pravilo: če vi interno imenujete krizo, je resničen.
Rok teče od trenutka, ko se zavedite incidenta, ne od trenutka, ko se je zgodil. Ta razlika je lahko razlika za dni, in to je razlog, da je beleženje, kdaj ste nekaj opazili, pomembno.
Komu prijavite
CSIRT ali pristojnemu organu vaše države. Vsaka država ima svoj portal in lastna sredstva za prijavo.
Ta sredstva za prijavo so natanko razlog, da nikoli ne poročamo v vašem imenu. Besedilo pustimo pripravljeno, s podatki iz vašega spisa izpolnjeno, in vi ga sami vložite. To ni omejitev, temveč izbira: vaš dostop do nadzornega organa ne sme biti pri dobavitelju.
Pogosta vprašanja
Kaj če pozno prijavim?
Pozna prijava je sama po sebi kršitev. V primeru dvoma je zgodnje opozorilo, ki se izkaže za nepotrebno, ceneje kot prijava, ki pride prepozno: prvi korak traja deset minut.
Ali moram obvestiti tudi svoje stranke?
Če incident vpliva na njihovo storitev, vas lahko nadzorni organ v to prisilit. Kot tak velja GDPR ločeno: če gre za osebne podatke, obstaja tudi obveznost prijave Uradu za varstvo podatkov.
Ali to velja tudi, če sem prizadet prek verige?
Ne. Obveznost prijave velja samo za organizacije, ki so same podvržene zakonu. Vaša pogodba s stranko, zavezano k zakonu, pa lahko vsebuje lastno dogovor o prijavi.
To je razlaga, ne nasvet o vaši lastni situaciji. secria.eu ne ocenjuje vaše organizacije in ne daje zagotovil.