Trije trenutki, ne en rok
Kdor išče na nis2 obveznost prijave 24 ur, naletí na predstavo, da mora organizacija v enem dnevu vse vedeti in prijaviti. To ni točno. Člen 23 direktive NIS2 loči tri ločene trenutke po pomembnem incidentu: zgodnjo obvestilo v 24 urah, podrobnejšo prijavo v 72 urah in končno poročilo v enem mesecu. Vsak trenutek zahteva kaj drugega, in ura se začne šteti šele, ko se organizacija zaveda incidenta — ne od trenutka, ko se je incident dejansko zgodil.
Pomembno je vedeti vnaprej: ta obveznost prijave velja za organizacije, ki so sami razvrščene kot ključne ali pomembne po NIS2, torej za subjekte iz sektorjev v prilogah I in II. Podjetja, ki so v verigi prizadeta — majhni in srednje veliki dobavitelj, ki dobi seznam vprašanj o varnosti od velikega naročnika — niso sama pod to obveznostjo prijave. Lahko opazijo, da naročnik sprašuje, kako ravnajo z incidenti, vendar je to nekaj drugega kot zakonska obveznost prijave pri nadzorniku. Če ste negotovi, v katero skupino spada vaša organizacija, vam preverjanje s nekaj vprašanji da prvo oznako.
Prvi trenutek: obvestilo, ne analiza
Prvih 24 ur so namenjene zgodnemu signalu, ne celoviti analizi. Direktiva tu govori o zgodni obvestilu: kratka sporočila, da je mogoče govora o pomembnem incidentu in ali obstaja sum, da je incident povzročen s kršitvijo ali ima lahko mejne posledice. Kaj na tej točki še manjka — natančen vzrok, obseg, vključeni sistemi — ni treba biti. Točno tam je napačna predstava: 24 ur ni rok za rešitev ali razumevanje incidenta, je rok za prijavo, da se nekaj dogaja.
Drugi trenutek: prvo oceno
V 72 urah sledi prijava, ki presega prvo obvestilo. Tu se pričakuje prva ocena incidenta, z resnostjo in posledicami ter kolikor je na voljo, kazalniki, ki kažejo na incident. Tudi to je izrecno vmesni korak: direktiva priznava, da organizacija 72 ur po spoznanju pogosto še nima celotne slike. Kaj se pričakuje, je, da lahko organizacija v tem trenutku pokaže, kaj je do tedaj ugotovila in kakšne ukrepe je sprejela ali razmatra.
Tretji trenutek: končno poročilo
Končno poročilo, najkasneje mesec dni po prijavi, je mesto, kjer se zabeleži celotna zgodba: podroben opis incidenta, resnost in posledice, vrsta grožnje ali osnovni vzrok, ki je privedel do incidenta, sprejeti in potekajočih ukrepov za upravljanje, in kjer je relevantno, mejne posledice. Če se incident v tem trenutku še dogaja, direktiva predvideva vmesno poročilo in poznejše končno poročilo, ko je incident razrešen.
Kaj mora sama storiti organizacija in kaj ne
Ti trije trenutki se nanašajo na to, kaj se prijavi in kdaj, ne na to, kako organizacija tehnično obravnava incident. Odkrivannje vzroka, izolacija sistemov, forenzična preiskava — to je delo specialističnih strani in sodi izven tega, kar počne pripravilni platformi kot secria.eu. Pripravljamo besedila, ki so potrebna v vsakem od treh trenutkov, glede na to, kar je že zavedeno v cyber-dosjeju organizacije o ukrepih in odgovornih osebah; vedno ga predloži sama organizacija pri portalu pristojnega nadzornika.
Natančna postopka in portal se razlikujeta po državah, ker vsaka državna članica direktivo pretvori v svojo zakonodajo — v Nizozemski prek Zakona o kibernetski varnosti. Podrobnosti, kot je natančen postopek prijave pri nadzornem organu, je zato najbolje preveriti neposredno pri nadzornem organu ali v končnem nacionalnem besedilu. Pregled tega, kako secria.eu vzdržuje vire in s katero datumom, si lahko preberete na strani o tem, od kje prihajajo naši podatki.
Zakaj je to več kot samo zapomniti si roka
Tri roki so izvedljivi samo, če organizacija vnaprej ve, kdo prepozna incident, kdo ga prijavi in katere informacije so že pripravljene. Ravno tam se srečajo ukrepi za zmanjšanje tveganja in postopek prijave: organizacija, ki svoje ukrepe vzdržuje kot živajoči register z odgovornim osebom za vsak ukrep, ne mora v primeru incidenta niti začeti od nič z ugotavljanjem, kdo je odgovoren za kaj. Več o tem, kako se ukrepi nanašajo na dolžnost prijave in druge obveznosti, najdete na pregledu vsebin po situaciji.
Če imate vprašanja o tem, kaj natančno spada pod pomenljiv incident ali kako se dolžnost prijave nanaša na vašo panogo, je stran s pogosto zastavljenimi vprašanji logičen naslednji korak, skupaj s posvetovanjem z nadzornim organom ali pravnikom za vašo specifično situacijo.
Če želite najprej vedeti, ali vaša organizacija sploh spada pod dolžnost prijave, opravite brezplačno preverjanje NIS2. To vam na podlagi nekaj vprašanj da naznako vašega položaja z razlago in naslednjim korakom — brez da bi zato potrebovali račun.