Jeden z najczęściej pomijanych elementów przygotowania do NIS2 to nie technologia, tylko procedura — kto, w jakim terminie i do kogo zgłasza incydent. W reżimie NIS2 na ustalanie tego na bieżąco po prostu nie ma czasu: pierwszy zegar zaczyna tykać już w momencie wykrycia poważnego incydentu.
Trzy etapy raportowania
Ustawa o KSC, wdrażając NIS2, przewiduje trójstopniowy reżim zgłaszania poważnych incydentów:
- 24 godziny — wczesne ostrzeżenie (early warning): wstępna informacja, że doszło do poważnego incydentu, ewentualnie z podejrzeniem, że ma on charakter bezprawny albo transgraniczny,
- 72 godziny — zgłoszenie incydentu: bardziej szczegółowa ocena, w tym wstępna ocena wagi i skutków incydentu oraz wskaźniki naruszenia bezpieczeństwa, jeśli są dostępne,
- 1 miesiąc — raport końcowy: pełny opis incydentu, jego przyczyn, zastosowanych środków łagodzących oraz — jeśli incydent nadal trwa — sprawozdanie z postępów.
Co w ogóle kwalifikuje się jako „incydent poważny”
Nie każdy problem techniczny trzeba zgłaszać. Obowiązek dotyczy incydentów, które powodują lub mogą spowodować poważne zakłócenie świadczenia usługi albo znaczące straty finansowe dla podmiotu, a także incydentów, które wpłynęły lub mogą wpłynąć na inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe lub niemajątkowe. Ocena, czy dany incydent przekracza ten próg, bywa w praktyce najtrudniejszym elementem całej procedury — i to dlatego warto mieć ją opisaną w wewnętrznej procedurze zawczasu, a nie improwizować w środku kryzysu.
Do kogo zgłaszasz
Zgłoszenia trafiają do właściwego zespołu CSIRT — w praktyce dla większości firm sektora cywilnego będzie to CSIRT NASK, dla podmiotów administracji rządowej CSIRT GOV, a dla sektora obronnego CSIRT MON. Równolegle, w zależności od sektora działalności, może istnieć obowiązek poinformowania właściwego organu nadzorczego (np. ministra właściwego dla danego sektora).
Co grozi za spóźnienie lub brak zgłoszenia
Niedopełnienie obowiązków raportowania incydentów jest samodzielną podstawą do nałożenia kary administracyjnej — niezależną od kar za brak wdrożenia środków zarządzania ryzykiem. W praktyce oznacza to, że firma, która wdrożyła wszystkie wymagane zabezpieczenia, ale nie zgłosiła incydentu w terminie, i tak naraża się na odpowiedzialność. Kary mieszczą się w tych samych, dotkliwych widełkach co pozostałe naruszenia ustawy — do 10 mln euro lub 2% globalnego obrotu, z osobistą odpowiedzialnością członków zarządu.
Jak się na to przygotować, zanim dojdzie do incydentu
- opracuj i spisz wewnętrzną procedurę: kto podejmuje decyzję o zgłoszeniu, kto ją wykonuje, jakim kanałem,
- przygotuj wzór zgłoszenia early warning z wyprzedzeniem — 24 godziny to zbyt mało czasu, żeby pisać go od zera,
- ustal jednoznacznie, kto w organizacji ocenia, czy dany incydent przekracza próg „poważnego” — brak jasności co do tego bywa w praktyce największym źródłem opóźnień,
- uwzględnij w procedurze także incydenty u dostawców z łańcucha ICT — odpowiadasz też za bezpieczeństwo swoich poddostawców.