Tre tidpunkter, inte en deadline
Den som söker på nis2 anmälningsplikt 24 timmar stöter oftast på uppfattningen att en organisation inom en dag måste veta och anmäla allt. Det stämmer inte. Artikel 23 i NIS2-direktivet skiljer mellan tre separata tidpunkter efter en betydande incident: en tidig varning inom 24 timmar, en mer omfattande anmälan inom 72 timmar och en slutlig rapport inom en månad. Varje tidpunkt kräver något olika, och klockan börjar ticka först när organisationen blir medveten om incidenten — inte från det ögonblick då incidenten faktiskt inträffade.
Viktigt att veta i förväg: denna anmälningsplikt gäller organisationer som själva klassificeras som väsentliga eller viktiga enligt NIS2, alltså enheter från sektorerna i bilaga I och II. Företag som påverkas via leverantörskedjan — SME-leverantören som får en säkerhetsfråga från en stor köpare — faller inte under denna anmälningsplikt själva. De kan märka att en köpare frågar hur de hanterar incidenter, men det är något annat än en lagstadgad anmälningsplikt till en tillsynsmyndighet. Är du osäker på vilken kategori din organisation tillhör, ger kontrollen med några frågor dig en första indikation.
Den första tidpunkten: en varning, inte en analys
De första 24 timmarna är avsedda för en tidig signal, inte för en fullständig analys. Direktivet talar här om en tidig varning: ett kort meddelande om att det möjligen föreligger en betydande incident, och om det finns misstanke om att incidenten orsakats av olaglig verksamhet eller kan få gränsöverskridande följder. Vad som fortfarande saknas vid denna tidpunkt — den exakta orsaken, omfattningen, de berörda systemen — behöver inte finnas. Det är här missuppfattningen ligger: 24 timmar är ingen tidsfrist för att lösa eller förstå incidenten, det är en tidsfrist för att anmäla att något är fel.
Den andra tidpunkten: en första bedömning
Inom 72 timmar följer en anmälan som går längre än den första varningen. Här förväntas en första bedömning av incidenten, med allvarlighetsgrad och konsekvenser, och i den utsträckning det är tillgängligt de indikatorer som pekar på incidenten. Även detta är uttryckligen ett mellansteg: direktivet erkänner att en organisation ofta inte har den fullständiga bilden 72 timmar efter att ha blivit medveten om incidenten. Vad som förväntas är att organisationen vid denna tidpunkt kan visa vad den hittills har fastställt och vilka åtgärder den har vidtagit eller överväger.
Den tredje tidpunkten: slutrapporten
Slutrapporten, senast en månad efter anmälan, är där där den fullständiga händelseförloppet dokumenteras: en detaljerad beskrivning av incidenten, allvarlighetsgrad och konsekvenser, typ av hot eller underliggande orsak som ledde till incidenten, vidtagna och pågående kontrolländringar, och där relevant gränsöverskridande följder. Om incidenten fortfarande pågår vid denna tidpunkt tillhandahåller direktivet möjlighet till en delrapport och senare en slutlig rapport när incidenten är avslutad.
Vad organisationen själv måste göra, och vad den inte måste göra
Dessa tre tidpunkter handlar om VÅD som anmäls och NÄR, inte om HUR en organisation tekniskt hanterar incidenten. Att identifiera orsaken, isolera system, forensisk undersökning — det är arbete för specialiserade parter och faller utanför vad en förberedande plattform som secria.eu gör. Vi förbereder de texter som behövs vid var och en av de tre tidpunkterna, baserat på vad som redan är dokumenterat i organisationens cyber-register om kontrolländringar och ansvariga; inlämning görs alltid av organisationen själv till den behöriga tillsynsmyndighetens portal.
Det exakta arbetssättet och portalen skiljer sig åt mellan länder, eftersom varje medlemsstat implementerar direktivet i egen lagstiftning — i Nederländerna genom cybersäkerhetslag. Detaljer som den exakta anmälningsprocessen till tillsynsmyndigheten bör därför kontrolleras bäst hos tillsynsmyndigheten själv eller i den slutliga nationella texten. En översikt över hur secria.eu upprätthåller källor och med vilket datum läser du på sidan om var vår information kommer ifrån.
Varför detta är mer än att komma ihåg en tidsfrist
De tre tidpunkterna är endast genomförbara om en organisation i förväg vet vem som identifierar en incident, vem som rapporterar den och vilken information som redan är tillgänglig för det. Det är exakt där riskhanteringsmåtten och rapporteringsprocessen sammanfaller: en organisation som upprätthåller sina åtgärder som ett levande register, med en ansvarig för varje åtgärd, behöver inte börja från början med att ta reda på vem som är ansvarig för vad vid en incident. Mer om hur dessa åtgärder hänger samman med rapporteringsplikten och andra skyldigheter hittar du på översikten över ämnen per situation.
Har du frågor om vad exakt som faller under en betydande incident eller hur rapporteringsplikten förhåller sig till din sektor, då är sidan med vanliga frågor ett logiskt nästa steg, tillsammans med rådfrågning av din tillsynsmyndighet eller en jurist för din specifika situation.
Vill du först veta om din organisation alls är underkastad rapporteringsplikten, gör då den kostnadsfria NIS2-kontrollen. Den ger på ett par frågor en indikation av din position, med förklaring och ett nästa steg — utan att du behöver ett konto för det.