Anmälningsplikten: 24 timmar, 72 timmar och en månad
Tre tillfällen, och inget av dem är anmälningsplikten inom 24 timmar som ofta refereras till.
Tre steg, inte ett enda
Vid en signifikant incident anmäler du tre gånger. Inom 24 timmar en tidig varning: något allvarligt har hänt, möjligen illvilligt, möjligen med konsekvenser över gränsen. Mer behöver inte finnas med då, för ofta vet du själv ännu inte vad som är på gång.
Inom 72 timmar följer den faktiska anmälan: allvarlighetsgraden, konsekvenserna och de iakttagelser du har om hur det hände. Och inom en månad slutrapporten: vad det var, vad orsaken var, vad du gjort åt det och vilka konsekvenser det hade över gränsen.
När är en incident signifikant?
Om den orsakar allvarlig störning av din tjänst eller ekonomiska förluster, eller om den kan orsaka betydande skada hos andra. Det är medvetet allmänt formulerat. I praktiken är tumregeln: om du kallas det en kris internt, är det signifikant.
Tidsperioden räknas från det ögonblick du blir medveten om incidenten, inte från när den började. Den skillnaden kan vara dagar, och det är anledningen till att det spelar roll att dokumentera när du märkte något.
Vem du anmäler till
Till ditt lands CSIRT eller behörig myndighet. Varje land har sin egen portal och sitt eget inloggningsmedel.
Det inloggningsmedlet är exakt anledningen till att vi aldrig anmäler för din räkning. Vi håller texten redo, med uppgifterna från ditt register ifyllda, och du lämnar in den själv. Det är ingen begränsning utan ett val: din åtkomst till din tillsynsmyndighet bör inte ligga hos en leverantör.
Vanliga frågor
Vad händer om jag anmäler för sent?
Att anmäla för sent är själv ett brott. I fall av tvivel är en tidig varning som senare visar sig onödig billigare än en anmälan som kommer för sent: det första steget tar tio minuter.
Måste jag även informera mina kunder?
Om incidenten påverkar deras tjänsteleverans kan tillsynsmyndigheten förplikta dig att göra det. Separat gäller GDPR: avser det personuppgifter, finns även en anmälningsplikt till Dataskyddsmyndigheten.
Gäller detta även om jag påverkas via värdekedjan?
Nej. Anmälningsplikten gäller endast organisationer som själva omfattas av lagen. Ditt avtal med en pliktbunden kund kan dock innehålla en egen anmälningsöverenskommelse.
Detta är förklaring, ingen rådgivning om er egen situation. secria.eu bedömer er organisation inte och ger ingen försäkran.