Αναφορά περιστατικών NIS2: 24 ώρες / 72 ώρες / 1 μήνας

Η Οδηγία NIS2 ορίζει τρεις διαδοχικές προθεσμίες για την αναφορά σημαντικών περιστατικών κυβερνοασφάλειας. Πρέπει να αποστείλετε έγκαιρη προειδοποίηση εντός 24 ωρών από τη στιγμή που λάβατε γνώση του περιστατικού, στη συνέχεια λεπτομερέστερη κοινοποίηση εντός 72 ωρών και, τέλος, ολοκληρωμένη τελική έκθεση εντός ενός μήνα. Η βασική διαφορά σε σχέση με την κοινοποίηση παραβίασης εντός 72 ωρών βάσει του GDPR είναι ότι αυτή αποτελεί μία μόνο προθεσμία και όχι διαδικασία τριών σταδίων — η σύγχυση των δύο είναι συχνό εξεταστικό σφάλμα.

Για να αποφύγετε τη σύγχυση, θυμηθείτε τη σειρά ως «ειδοποίηση, εξήγηση, ολοκλήρωση». Η προειδοποίηση των 24 ωρών είναι απλώς μια αρχική ενημέρωση με τον αρχικό αντίκτυπο, η κοινοποίηση των 72 ωρών προσθέτει τη βασική αιτία και τις συνεχιζόμενες επιπτώσεις, και η έκθεση του ενός μήνα καλύπτει την πλήρη έρευνα και τα μέτρα μετριασμού. Ένα χρήσιμο τέχνασμα αποκλεισμού: αν μια ερώτηση αναφέρει «ενδιάμεση έκθεση» ή «επικαιροποίηση», πιθανότατα δεν αφορά τη NIS2 — η NIS2 έχει μόνο αυτά τα τρία σταθερά στάδια, όχι διαρκείς επικαιροποιήσεις. Σημειώστε επίσης ότι η προθεσμία των 24 ωρών αρχίζει από τη «γνώση» του περιστατικού και όχι από το ίδιο το περιστατικό, επομένως προσέξτε διατυπώσεις όπως «ανακαλύφθηκε» έναντι «συνέβη».

Για να εμπεδώσετε τη σειρά, σκεφτείτε μια ειδησεογραφική ειδοποίηση 24 ωρών, μια λεπτομερή ενημέρωση 72 ωρών και μια αποτίμηση μετά το συμβάν ενός μήνα. Ελέγξτε τον εαυτό σας επαναλαμβάνοντας: «24 για προειδοποίηση, 72 για λεπτομέρειες, ένας μήνας για την πλήρη εικόνα.» Αν δείτε προθεσμία όπως 48 ώρες ή 14 ημέρες, πιθανότατα προέρχεται από διαφορετικό κανονισμό, όπως τον κανονισμό για την ψηφιακή επιχειρησιακή ανθεκτικότητα (DORA) — θεωρήστε την ως παραπλανητική επιλογή.