Najpierw zakres obowiązku i znaczenie incydentu
Art. 23 dyrektywy NIS2 określa zasady raportowania istotnych incydentów przez podmioty objęte jej zakresem. Dla konkretnej organizacji trzeba sprawdzić przepisy krajowe wdrażające dyrektywę, wymagania sektorowe i właściwą drogę zgłoszenia. Nie jest to reguła nakazująca każdemu MŚP zgłaszać każdy alert do tego samego CSIRT.
Terminy wiążą się z uzyskaniem wiedzy o istotnym incydencie. Pierwszy alert, rozpoczęcie ataku i ustalenie istotności nie muszą przypadać w tej samej chwili. Należy dokumentować przebieg i informacje dostępne przy podejmowaniu decyzji, bez odkładania eskalacji do zakończenia pełnego dochodzenia.
Kiedy incydent jest istotny
Art. 23 ust. 3 odnosi się do incydentów powodujących lub mogących powodować poważne zakłócenia operacyjne albo straty finansowe, a także znaczne szkody materialne lub niematerialne dla innych osób i podmiotów. Dalsze przepisy mogą precyzować kryteria dla określonych rodzajów działalności.
Ocena powinna uwzględnić usługi, wpływ, czas trwania i właściwe progi. Samo wykrycie podejrzanego zdarzenia nie zastępuje tej oceny, lecz powinno uruchomić odpowiednią reakcję.
Kolejne etapy raportowania w dyrektywie
| Etap | Termin w art. 23 ust. 4 | Główny cel |
|---|---|---|
| Wczesne ostrzeżenie | Bez zbędnej zwłoki, do 24 godzin od uzyskania wiedzy o istotnym incydencie | Wskazanie podejrzenia działania bezprawnego lub złośliwego oraz możliwego wpływu transgranicznego. |
| Zgłoszenie incydentu | Bez zbędnej zwłoki, do 72 godzin od uzyskania tej wiedzy, z osobną regułą dla dostawców usług zaufania | Aktualizacja ostrzeżenia, wstępna ocena dotkliwości i wpływu oraz dostępne wskaźniki naruszenia. |
| Raport pośredni | Na żądanie właściwego CSIRT lub organu | Przekazanie odpowiednich aktualizacji stanu. |
| Raport końcowy | Do miesiąca po zgłoszeniu incydentu | Opis incydentu, prawdopodobnej przyczyny, środków zaradczych i właściwego wpływu transgranicznego. |
| Incydent trwający | Raport o postępach w terminie raportu końcowego, a następnie raport końcowy do miesiąca od zakończenia obsługi | Utrzymanie informacji podczas trwającej reakcji. |
Etapy odpowiadają literom a–e art. 23 ust. 4. Raport końcowy wskazuje lit. d, a trwający incydent — lit. e. Dla dostawców usług zaufania przepis przewiduje szczególny termin zgłoszenia incydentu wynoszący 24 godziny. Trzeba uwzględnić także właściwe przepisy sektorowe i krajowe.
Procedura nie powinna zakładać, że weekend lub oczekiwanie na wewnętrzną akceptację wstrzymuje bieg terminu.
Informowanie odbiorców usług
Art. 23 obejmuje także informowanie odbiorców, gdy istotny incydent może niekorzystnie wpłynąć na świadczenie usług, oraz informacje o istotnych cyberzagrożeniach i możliwych środkach ochrony. Te sytuacje trzeba odróżnić od zgłoszenia do organu.
Komunikat powinien wskazywać potwierdzony wpływ i użyteczne działania, bez przedstawiania niezweryfikowanej przyczyny jako faktu. Naruszenie ochrony danych może równolegle uruchomić obowiązki RODO. Wykonanie jednego zgłoszenia nie oznacza automatycznego spełnienia pozostałych obowiązków.
Właściwy adresat przed wystąpieniem incydentu
Ustal właściwy CSIRT lub organ dla swojej organizacji i zachowaj aktualne instrukcje zgłaszania, kontakty awaryjne oraz zastępstwa osób uprawnionych.
Polski system obejmuje między innymi CSIRT NASK, CSIRT GOV i CSIRT MON oraz odpowiednie rozwiązania sektorowe. Właściwa ścieżka zależy od podmiotu i obowiązujących przepisów. Nie należy automatycznie przyjmować, że ustawowym adresatem każdego przedsiębiorcy jest CSIRT NASK.
Procedura operacyjna
- Zapisz sygnał. Alert, czas, usługa i dostępne dowody powinny trafić do rejestru.
- Oceń i eskaluj. Sprawdź istotność według właściwych kryteriów z udziałem odpowiedzialnych osób od bezpieczeństwa, prawa i ochrony danych.
- Udokumentuj decyzję. Zachowaj fakty, niewiadome, osobę decyzyjną i uzasadnienie zgłoszenia albo braku zgłoszenia.
- Ogranicz skutki i komunikuj się. Chroń systemy, zachowując potrzebne dowody. Wymagane zgłoszenie początkowe nie powinno czekać na pełną analizę przyczyn.
- Aktualizuj i odtwarzaj. Śledź zmiany zakresu, przywracanie usług i komunikację. Przygotowuj raporty pośrednie, o postępach lub końcowe zgodnie z obowiązkami.
- Wprowadź wnioski. Przydziel usprawnienia, przetestuj odtwarzanie i zaktualizuj procedurę.
Logi i ćwiczenia
Zakres rejestrowania i retencję należy dobrać do potrzeby operacyjnej, prawa, ochrony danych i wrażliwości informacji. NIS2 nie ustanawia jednego okresu sześciu lub dwunastu miesięcy dla wszystkich logów aplikacyjnych.
Przećwicz realistyczny scenariusz: dostępność osoby decyzyjnej, dokumenty podczas awarii zwykłych systemów i możliwość przygotowania zgłoszenia przez zastępcę. Ćwiczenie dostarcza informacji o gotowości i brakach, ale nie jest certyfikatem zgodności organizacji.
Wymagania w projekcie oprogramowania
Wymagania bezpieczeństwa, dokumentacji i nadzoru trzeba określić dla konkretnego zastosowania oraz roli organizacji. Ocenę prawną należy powiązać z decyzjami technicznymi i organizacyjnymi.
Q-Dev to software house QA10. Projektujemy oprogramowanie według uzgodnionego zakresu; cenę i harmonogram ustalamy dla konkretnego projektu. Prawa do kodu przechodzą na klienta po rozliczeniu całego projektu.
Źródła prawne
NIS2 — dyrektywa (UE) 2022/2555, w szczególności art. 20–23; RODO oraz AI Act. Dla danej organizacji trzeba sprawdzić aktualne przepisy krajowe, właściwy organ i wymagania sektorowe. Ten opis nie potwierdza stanu polskiego procesu legislacyjnego w dniu wdrożenia.
SŁOWNIK
Pojęcia z artykułu
Krótkie wyjaśnienia terminów, do których warto wrócić.
Cały słownik