Problem · NIS2

Jak zarządzać incydentami cyberbezpieczeństwa?

NIS2 wprowadza ścisłe terminy zgłaszania poważnych incydentów - 24 godziny na wczesne ostrzeżenie, 72 godziny na pełne zgłoszenie.

Zarządzanie incydentami wymaga wcześniej przygotowanej procedury: sposobu wykrywania i klasyfikacji zdarzeń, ról odpowiedzialnych za reakcję, kanału zgłoszenia do właściwego CSIRT oraz zasad komunikacji wewnętrznej i zewnętrznej.

Za „poważny incydent” w rozumieniu NIS2 uznaje się zdarzenie, które spowodowało lub może spowodować znaczne zakłócenie świadczenia usługi lub straty finansowe dla danego podmiotu, albo wywołało lub może wywołać znaczne szkody majątkowe lub niemajątkowe u innych osób fizycznych lub prawnych. To rozróżnienie ma znaczenie praktyczne - drobne incydenty operacyjne, które nie spełniają tych kryteriów, nie muszą być zgłaszane do CSIRT, ale nadal warto je odnotowywać wewnętrznie.

Po zamknięciu incydentu równie ważna jest analiza przyczyn źródłowych i wdrożenie działań zapobiegawczych - CSIRT i organy nadzoru oczekują nie tylko zgłoszenia, ale też raportu końcowego z wnioskami.

W niektórych przypadkach na podmiocie może też ciążyć obowiązek poinformowania odbiorców swoich usług o poważnym incydencie, który ma lub może mieć niekorzystny wpływ na świadczenie tej usługi, a także - jeśli to zasadne - o środkach, jakie odbiorcy mogą podjąć w reakcji na zagrożenie.

Podstawa prawna

art. 23 dyrektywy NIS2 oraz odpowiadające mu przepisy ustawy o KSC dotyczące zgłaszania incydentów do CSIRT