Zgłaszanie incydentów NIS2: terminy 24 i 72 godzin

NIS2 daje ci trzy terminy na poważny incydent: wczesne ostrzeżenie w ciągu 24 godzin od powzięcia o nim wiadomości, zgłoszenie incydentu w ciągu 72 godzin i raport końcowy w ciągu miesiąca od tego zgłoszenia. CSIRT albo organ właściwy może po drodze poprosić o raport pośredni o stanie sprawy.

To cały zegar. Jeśli gdzieś przeczytałeś, że NIS2 nakłada ośmiogodzinny termin zgłoszenia, to nieprawda. Liczby to 24, 72 i miesiąc, a określa je artykuł 23. Warto powiedzieć to wprost, bo liczba ośmiu godzin krąży szeroko i zamienia możliwą do opanowania procedurę w panikę.

Co zawiera każdy etap

Wczesne ostrzeżenie, w 24 godziny

Jest celowo chude. To sygnał, nie śledztwo. W stosownych przypadkach wskazuje dwie rzeczy: czy istnieje podejrzenie, że incydent został spowodowany działaniem bezprawnym lub złośliwym, oraz czy może mieć skutek transgraniczny.

Nikt nie oczekuje, że znasz przyczynę źródłową. Oczekuje się, że podniosłeś słuchawkę.

Zgłoszenie incydentu, w 72 godziny

Aktualizuje wczesne ostrzeżenie i dodaje wstępną ocenę: dotkliwość, skutki oraz, jeśli są dostępne, wskaźniki naruszenia integralności. Nadal ocena, nie wniosek końcowy.

Dostawcy usług zaufania pracują na ostrzejszej wersji tego obowiązku dla incydentów wpływających na ich usługi zaufania, więc sprawdź swoją ustawę krajową, jeśli to twój przypadek.

Raport pośredni, na żądanie

Jeśli CSIRT albo organ poprosi o aktualizacje statusu, dostarczasz je. Nie ma ustalonej częstotliwości; wyznacza ją ten, kto prowadzi sprawę po drugiej stronie.

Raport końcowy, w ciągu miesiąca

Zwróć uwagę na punkt odniesienia: miesiąc po zgłoszeniu 72-godzinnym, a nie miesiąc od momentu, gdy zauważyłeś. Zawiera szczegółowy opis wraz z dotkliwością i skutkami, rodzaj zagrożenia lub przyczynę źródłową, która prawdopodobnie go wywołała, zastosowane i trwające środki zaradcze oraz, w stosownych przypadkach, skutek transgraniczny.

Jeśli incydent nadal trwa, gdy ten miesiąc mija, składasz wtedy raport o postępach, a raport końcowy w ciągu miesiąca od zakończenia obsługi.

Co liczy się jako poważny incydent?

Artykuł 23 definiuje to dwiema przesłankami. Incydent jest poważny, jeśli spełniona jest którakolwiek z nich:

• spowodował lub może spowodować dotkliwe zakłócenie operacyjne twoich usług albo straty finansowe dla ciebie
• dotknął lub może dotknąć innych osób fizycznych lub prawnych, powodując znaczne szkody majątkowe lub niemajątkowe

Przeczytaj uważnie "może spowodować". Incydent, którego ledwo uniknięto, a który mógł cię położyć, mieści się w literalnym brzmieniu. To jest ta ocena, którą twoja procedura musi wykonać szybko, i dokładnie dlatego nie powinna być wykonywana po raz pierwszy w trakcie incydentu.

Część państw członkowskich wydaje progi, które podstawiają liczby pod te słowa. W Polsce odpowiednie rozporządzenie nie zostało jeszcze wydane, więc klasyfikacja opiera się dziś wyłącznie na definicji ustawowej. Jeśli twój kraj opublikował progi, korzystaj z nich. Jeśli nie, spisz rozumowanie, które będziesz stosować, i trzymaj je przy procedurze, żeby decyzja była spójna i możliwa do obrony, a nie improwizowana.

Być może musisz też powiadomić klientów

Ten obowiązek umyka, bo wszyscy skupiają się na organie. W stosownych przypadkach musisz powiadomić odbiorców swoich usług o poważnych incydentach, które mogą negatywnie wpłynąć na świadczenie tych usług. A gdy w grę wchodzi poważne cyberzagrożenie, przekazujesz potencjalnie dotkniętym odbiorcom informacje o środkach lub sposobach zaradczych, które mogą zastosować sami.

To obowiązek komunikacji z klientami umieszczony wewnątrz regulacji bezpieczeństwa. Potrzebuje osoby odpowiedzialnej, kanału i szkicu, a osoba, która to prowadzi, zwykle nie jest tą, która patrzy na alerty.

Kto właściwie przyjmuje zgłoszenie?

Adresata wyznacza prawo krajowe, co jest motywem przewodnim całego tego tematu. To twój CSIRT albo organ właściwy, a ścieżka różni się w zależności od kraju, a czasem od sektora.

Polska jest tu użytecznym przykładem, dlaczego warto sprawdzić zamiast zakładać. Zgłoszenia trafiają dziś do CSIRT NASK. CSIRT sektorowy powstaje w UKE, z terminem do 3 października 2027. A instytucja o nazwie CSIRT Telco nie istnieje, mimo że nazwa pojawia się w krążących streszczeniach. Jeśli twoja procedura wskazuje adresata, którego nie ma, dowiesz się o tym w najgorszym możliwym momencie.

Procedura, która wytrzyma niedzielny poranek

Zegar 24 godzin rusza w chwili powzięcia wiadomości, a wiadomość nie respektuje godzin pracy. Procedura, która działa, jest krótka i konkretna:

1. Jedna osoba odpowiedzialna i jeden zastępca z imienia i nazwiska za decyzję o zgłoszeniu, z drogami kontaktu działającymi o trzeciej w nocy. Nie alias zespołowy.
2. Spisany test poważności jako dwa albo trzy pytania odwzorowane na obie przesłanki powyżej, żeby inżynier na dyżurze mógł na nie odpowiedzieć bez prawnika.
3. Organ, kanał i formularz zapisane w samej procedurze. Znajdź prawdziwą ścieżkę składania, zanim będzie potrzebna.
4. Trzy gotowe szablony, po jednym na etap. Ten 24-godzinny powinien dać się wypełnić w dziesięć minut.
5. Szkic powiadomienia klientów i reguła decyzyjna, kiedy wychodzi.
6. Jedna próba. Przejdź to raz na sucho na wiarygodnym scenariuszu i zmierz czas do wczesnego ostrzeżenia. Większość zespołów odkrywa, że wąskim gardłem jest decyzja, a nie pisanie.
7. Zachowaj artefakty. Oś czasu, zapis decyzji, złożone zgłoszenia. Organ pytający o incydent dwanaście miesięcy później chce dowodów z datą, tak samo jak auditor chce dowodów z nienaruszonym źródłem i znacznikiem czasu.

Jeśli już prowadzisz ISO 27001, zabezpieczenia A.5.24 do A.5.28 dają ci wykrywanie, ocenę, reagowanie i wyciąganie wniosków. Czego nie dają, to zewnętrznego zegara, bo ISO nigdy nie każe zawiadamiać organu. Ta luka i trzy pozostałe są opisane w porównaniu ISO 27001 z NIS2.

Gdzie możemy pomóc, a gdzie nie

AuditBadger ma zarządzanie incydentami z anonimowym portalem zgłoszeń i tokenami śledzenia, więc przyjęcie zgłoszenia i dowody osi czasu leżą w jednym miejscu obok twoich kontroli. Nasz moduł zarządzania incydentami to ta część, którą naprawdę możemy zdjąć ci z głowy.

Czego nie robimy: nie decydujemy za ciebie, czy incydent jest poważny w rozumieniu twojej ustawy krajowej, ani nie składamy zgłoszeń w twoim imieniu. Wsparcie NIS2 jest w early access, włączamy je na koncie po rozmowie, a polską transpozycję zamodelowaliśmy jako pierwszą. Cała reszta obowiązku zgłoszeniowego to procedura i konkretny człowiek, co jest mało efektowne i właśnie dlatego zwykle pozostaje nienapisane.

Jeśli nie masz pewności, czy obowiązek w ogóle cię dotyczy, zacznij od testu zakresu. Obszary środków, różnice krajowe i to, gdzie jesteśmy dziś, są na naszej stronie o NIS2 i KSC.