Zgłaszanie incydentów NIS2: terminy 24 i 72 godzin wyjaśnione

Co liczy się jako „istotny” incydent

Nie każdy incydent podlega zgłoszeniu. Zgodnie z art. 23 incydent jest istotny, jeśli spowodował lub jest w stanie spowodować poważne zakłócenie operacyjne usług lub stratę finansową dla podmiotu, albo jeśli wpłynął lub jest w stanie wpłynąć na inne osoby fizyczne lub prawne, powodując znaczną szkodę materialną lub niematerialną.

Komisja ustaliła bardziej konkretne progi dla niektórych dostawców cyfrowych w rozporządzeniu wykonawczym, ale zasada obowiązuje we wszystkich sektorach: oceniaj według wagi i zasięgu skutków, nie według tego, jak nowatorski był atak. W razie wątpliwości udokumentuj ocenę: decyzja o niezgłaszaniu powinna być równie możliwa do obrony co decyzja o zgłoszeniu.

Harmonogram zgłaszania (artykuł 23)

Zgłaszanie jest etapowe: najpierw szybki sygnał, szczegóły później. Każdy termin biegnie od chwili, gdy dowiadujesz się o istotnym incydencie: nie od jego początku.

Gdy czyjś incydent staje się Twoim

Obowiązek zgłaszania nie kończy się na incydentach, które zaczynają się w Twoich własnych systemach. Jeśli dostawca lub usługodawca dozna incydentu, który znacząco zakłóca usługi, które świadczysz, obowiązek zgłoszenia może spaść na Ciebie: a zegar 24 godzin rusza, gdy się dowiadujesz, nie gdy dostawca w końcu Ci powie.

To jest ta trudna część: dostawcy nie zawsze ujawniają szybko, a zgłoszenie, które przychodzi tydzień za późno, już zjadło Twój termin. Gotowość opiera się więc na niezależnym wglądzie: wiedzy, kiedy krytyczny dostawca pojawia się na stronie wycieków ransomware, ma wyciekłe dane uwierzytelniające albo milknie, bez czekania na jego e-mail.

Jak być gotowym, zanim ruszy zegar

Dotrzymanie terminu liczonego w godzinach to ćwiczenie z przygotowania, nie z bohaterstwa. Zanim cokolwiek się wydarzy, upewnij się, że umiesz odpowiedzieć:

Jak pomaga norppa.io

Najtrudniejsza część harmonogramu to ta, której nie kontrolujesz: incydent dostawcy, o którym dowiadujesz się za późno. norppa.io obserwuje Twoich dostawców na bieżąco (wpisy na listach ofiar ransomware i wycieki danych uwierzytelniających w dark webie są ponownie sprawdzane mniej więcej co sześć godzin, z natychmiastowym alertem) tak że zdarzenie u dostawcy dociera do Ciebie na czas, by uruchomić Twój własny zegar.

A ponieważ każde ustalenie ma znacznik czasu i jest powiązane z artykułami NIS2, którym odpowiada, historia, której potrzebuje zgłoszenie 72-godzinne lub miesięczny raport końcowy (co zobaczono, kiedy i co zrobiono) jest już zebrana, a nie odtwarzana pod presją.