Zgłaszanie incydentów na podstawie NIS2: 24 godz. / 72 godz. / 1 miesiąc

Dyrektywa NIS2 ustanawia trzy następujące po sobie terminy zgłaszania poważnych incydentów cyberbezpieczeństwa. Wczesne ostrzeżenie należy przekazać w ciągu 24 godzin od powzięcia wiedzy o incydencie, następnie bardziej szczegółowe zgłoszenie incydentu w ciągu 72 godzin, a na koniec kompleksowe sprawozdanie końcowe w ciągu jednego miesiąca. Kluczowa różnica względem GDPR polega na tym, że przewidziany w GDPR 72-godzinny termin zgłoszenia naruszenia jest jednym terminem, a nie trzyetapowym procesem — ich pomylenie jest częstym błędem egzaminacyjnym.

Aby uniknąć nieporozumień, należy zapamiętać sekwencję: „ostrzec, wyjaśnić, zamknąć”. Ostrzeżenie w ciągu 24 godzin stanowi jedynie wstępne powiadomienie zawierające pierwszą ocenę skutków, zgłoszenie w ciągu 72 godzin uzupełnia informacje o pierwotnej przyczynie i trwających skutkach, a sprawozdanie składane w ciągu jednego miesiąca obejmuje pełne wyniki postępowania wyjaśniającego oraz środki łagodzące. Przydatna metoda eliminacji: jeśli w pytaniu wspomniano o „sprawozdaniu okresowym” lub „aktualizacji”, prawdopodobnie nie chodzi o NIS2 — NIS2 przewiduje tylko te trzy stałe etapy, a nie regularne aktualizacje. Należy również pamiętać, że bieg 24-godzinnego terminu rozpoczyna się od „powzięcia wiedzy” o incydencie, a nie od samego wystąpienia incydentu, dlatego trzeba zwracać uwagę na sformułowania takie jak „wykryto” i „wystąpił”.

Aby utrwalić kolejność, warto wyobrazić sobie alert informacyjny po 24 godzinach, szczegółową odprawę po 72 godzinach i analizę po incydencie po upływie jednego miesiąca. Można sprawdzić swoją pamięć, powtarzając: „24 na ostrzeżenie, 72 na szczegóły, jeden miesiąc na pełny obraz sytuacji”. Jeśli pojawi się termin taki jak 48 godzin lub 14 dni, prawdopodobnie pochodzi on z innego aktu prawnego, na przykład aktu w sprawie operacyjnej odporności cyfrowej (DORA) — należy uznać go za odpowiedź mającą odwrócić uwagę.