Raportarea incidentelor în temeiul NIS2: 24 h / 72 h / 1 lună

Directiva NIS2 stabilește trei termene succesive pentru raportarea incidentelor semnificative de securitate cibernetică. Trebuie să transmiteți o avertizare timpurie în termen de 24 de ore de la luarea la cunoștință a incidentului, apoi o notificare mai detaliată în termen de 72 de ore și, în cele din urmă, un raport final cuprinzător în termen de o lună. Distincția esențială față de notificarea încălcării securității datelor în termen de 72 de ore prevăzută de GDPR este că aceasta din urmă reprezintă un termen unic, nu un proces în trei etape — confundarea lor este o eroare frecventă la examen.

Pentru a evita confuzia, rețineți succesiunea „alertați, explicați, încheiați”. Avertizarea în termen de 24 de ore este doar o informare inițială care prezintă impactul preliminar, notificarea în termen de 72 de ore adaugă cauza principală și efectele în curs, iar raportul în termen de o lună acoperă investigația completă și măsurile de atenuare. Un truc util de eliminare: dacă o întrebare menționează un „raport intermediar” sau o „actualizare”, probabil nu este vorba despre NIS2 — NIS2 are doar aceste trei etape fixe, nu actualizări continue. Rețineți și că termenul de 24 de ore începe să curgă de la „luarea la cunoștință”, nu de la producerea incidentului, așadar fiți atenți la formulări precum „descoperit” în comparație cu „produs”.

Pentru a fixa ordinea, gândiți-vă la o alertă de presă după 24 de ore, la o informare detaliată după 72 de ore și la o analiză post-incident după o lună. Testați-vă recitând: „24 pentru avertizare, 72 pentru detalii, o lună pentru relatarea completă.” Dacă întâlniți un termen precum 48 de ore sau 14 zile, acesta provine probabil dintr-un alt regulament, cum ar fi Regulamentul privind reziliența operațională digitală (DORA) — marcați-l drept element de distragere.