Przewodnik NIS2 · 7 min
Zgłaszanie incydentów NIS2: terminy 24 i 72 godzin wyjaśnione
Gdy dochodzi do istotnego incydentu, zegar rusza natychmiast — a NIS2 wyznacza serię sztywnych terminów mierzonych w godzinach, nie w dniach. Ten przewodnik wyjaśnia, co liczy się jako istotny incydent, dokładny harmonogram zgłaszania z artykułu 23 oraz sytuację, którą zespoły pomijają najczęściej: kiedy incydent dostawcy staje się Twoim obowiązkiem zgłoszenia.
Najważniejsze punkty
- Istotny incydent uruchamia zgłoszenie etapowe: wczesne ostrzeżenie w 24 godziny, pełne zgłoszenie w 72 godziny, raport końcowy w ciągu miesiąca (art. 23).
- "Istotny" oznacza poważne zakłócenie działania lub stratę finansową, albo znaczną szkodę dla innych — nie każdy incydent osiąga próg.
- Incydent dostawcy lub strony trzeciej zakłócający Twoją usługę może uruchomić Twój zegar 24 godzin — wgląd w nich jest częścią gotowości.
- Zgłoszenia trafiają do krajowego CSIRT lub właściwego organu; możesz też musieć poinformować odbiorców swoich usług.
Co liczy się jako incydent "istotny"
Nie każdy incydent podlega zgłoszeniu. Zgodnie z artykułem 23 incydent jest istotny, jeśli spowodował lub może spowodować poważne zakłócenie działania usług lub stratę finansową podmiotu, albo jeśli wpłynął lub może wpłynąć na inne osoby fizyczne lub prawne, powodując znaczną szkodę majątkową lub niemajątkową.
Komisja ustaliła bardziej konkretne progi dla niektórych dostawców cyfrowych w rozporządzeniu wykonawczym, ale zasada obowiązuje we wszystkich sektorach: oceniaj według wagi i zasięgu skutku, a nie według technicznej nowości ataku. W razie wątpliwości udokumentuj swoją ocenę — decyzja o niezgłaszaniu powinna być równie uzasadniona jak decyzja o zgłoszeniu.
Harmonogram zgłaszania (artykuł 23)
Zgłaszanie jest etapowe: najpierw szybki sygnał, szczegóły później. Terminy biegną od chwili, gdy dowiadujesz się o istotnym incydencie.
W ciągu 24 godzin — wczesne ostrzeżenie
Pierwsze powiadomienie do CSIRT lub właściwego organu, wskazujące, czy podejrzewa się, że incydent jest spowodowany działaniami bezprawnymi lub złośliwymi, albo czy może mieć skutek transgraniczny.
W ciągu 72 godzin — zgłoszenie incydentu
Aktualizacja ze wstępną oceną: waga i skutek oraz wskaźniki naruszenia, jeśli są dostępne.
Na żądanie — raport pośredni
Jeśli CSIRT lub organ tego zażąda, aktualizacja stanu obsługi incydentu.
W ciągu 1 miesiąca od zgłoszenia — raport końcowy
Szczegółowy opis: przyczyna źródłowa i typ zagrożenia, zastosowane i trwające środki łagodzące oraz wszelki skutek transgraniczny.
Jeśli incydent nadal trwa po miesiącu, składasz w zamian raport o postępach, a raport końcowy w ciągu miesiąca od obsłużenia incydentu.
Gdy cudzy incydent staje się Twój
Obowiązek zgłaszania w NIS2 nie ogranicza się do incydentów powstających we własnych systemach. Jeśli dostawca lub usługodawca dozna incydentu powodującego istotne zakłócenie świadczonych przez Ciebie usług, obowiązek zgłoszenia może spaść na Ciebie — a zegar 24 godzin rusza, gdy się dowiadujesz, a nie gdy dostawca w końcu Ci powie.
To trudna część: dostawcy nie zawsze szybko ujawniają incydenty, a zgłoszenie, które dociera tydzień za późno, już zużyło Twój termin. Gotowość zależy więc od niezależnego wglądu — od wiedzy, kiedy krytyczny dostawca pojawia się na stronie wycieków ransomware, ma ujawnione poświadczenia lub znika, bez czekania na jego e-mail.
Jak być gotowym, zanim ruszy zegar
Dotrzymanie terminu liczonego w godzinach to kwestia przygotowania, a nie bohaterstwa. Przed incydentem upewnij się, że potrafisz odpowiedzieć:
Źródło: Dyrektywa (UE) 2022/2555 (NIS2), artykuł 23 — oraz rozporządzenie wykonawcze Komisji w sprawie progów istotnego incydentu dla niektórych dostawców cyfrowych; sprawdź portal zgłoszeń krajowego CSIRT, aby poznać właściwy kanał.
Jak pomaga norppa.io
Najtrudniejsza część harmonogramu to ta, której nie kontrolujesz: incydent dostawcy, o którym dowiadujesz się za późno. norppa.io monitoruje Twoich dostawców w sposób ciągły — listy ofiar ransomware i wycieki poświadczeń w dark webie są sprawdzane mniej więcej co sześć godzin, z natychmiastowym alertem — aby zdarzenie u dostawcy dotarło do Ciebie na czas, byś mógł uruchomić własny zegar.
A ponieważ każde ustalenie ma znacznik czasu i jest przypisane do artykułów NIS2, historia potrzebna do zgłoszenia w 72 godziny lub raportu końcowego w miesiąc — co zaobserwowano, kiedy i co zrobiono — jest już zebrana, a nie odtwarzana pod presją.