Zgłoszenie incydentu NIS2 krok po kroku. Sześć kroków i trzy terminy

Zgłoszenie incydentu w NIS2 to trzyetapowa procedura z twardymi terminami: wczesne ostrzeżenie w 24 godziny, właściwe zgłoszenie w 72 godziny i sprawozdanie końcowe w ciągu miesiąca. Wszystkie liczy się od momentu wykrycia incydentu, a nie od jego zakończenia czy od ustalenia przyczyny.

Poniżej sześć kroków, pytania kontrolne do każdego i lista rzeczy, które muszą być gotowe, zanim cokolwiek się wydarzy.

Kogo to dotyczy i od czego biegnie zegar?

Obowiązek zgłaszania wynika z art. 23 dyrektywy NIS2 i dotyczy podmiotów kluczowych i ważnych w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, która tę dyrektywę wdraża. Termin startuje w chwili wykrycia incydentu, więc pierwsza doba upływa zwykle wtedy, gdy zespół dopiero ustala, co się właściwie stało. To dlatego procedurę przygotowuje się wcześniej - opisaliśmy to w tekście o samoidentyfikacji KSC, gdzie wpis do wykazu otwiera dwunastomiesięczny okres na wdrożenie obowiązków.

Krok 1: Kwalifikacja - czy ten incydent jest poważny?

Nie każde zdarzenie trafia do CSIRT. Zgodnie z definicją stosowaną w art. 23 NIS2 poważny jest ten, który powoduje lub może spowodować poważne obniżenie jakości albo przerwanie ciągłości usługi, albo wywołuje u innych poważną szkodę materialną lub niematerialną.

Pytania kontrolne: Czy zapisaliśmy datę i godzinę wykrycia? Czy usługa dla klientów została przerwana albo istotnie pogorszona? Czy skutki mogą dotknąć podmioty poza naszą organizacją? Czy ktoś w firmie ma uprawnienie do rozstrzygnięcia tej kwalifikacji bez zwoływania zarządu?

Godzina wykrycia jest najważniejszą informacją w całej procedurze - od niej liczą się wszystkie trzy terminy i to ją trzeba umieć wykazać.

Krok 2: Wczesne ostrzeżenie - co wysłać w 24 godziny?

Pierwszy etap, przewidziany w art. 23 ust. 4 NIS2, nie wymaga pełnej wiedzy o zdarzeniu. Wystarczy sygnał wraz z dwiema informacjami: czy incydent mógł wynikać z działania celowego, na przykład cyberataku, oraz czy może dotyczyć innych państw Unii.

Pytania kontrolne: Czy wiemy, który CSIRT sektorowy jest dla nas właściwy? Czy mamy dostęp do systemu S46 i kto go ma? Czy wzór wczesnego ostrzeżenia jest przygotowany, czy piszemy go od zera w środku nocy? Czy ktokolwiek ma uprawnienie do wysłania go bez akceptacji zarządu?

Najczęstszy powód spóźnienia na tym etapie nie jest techniczny, tylko decyzyjny: nikt nie czuje się upoważniony do naciśnięcia przycisku.

Krok 3: Zgłoszenie - co musi zawierać w 72 godziny?

Drugi etap to opis merytoryczny: wpływ incydentu, jego przyczyny, przebieg oraz prawdopodobne skutki. Dostawcy usług zaufania mają tu krótszy termin - 24 godziny od wykrycia, nie 72.

Pytania kontrolne: Czy zbieramy logi i dowody w sposób, który pozwoli odtworzyć przebieg? Czy wiemy, kto pisze ten opis i kto go zatwierdza? Czy potrafimy oszacować wpływ na odbiorców usług? Czy rozróżniamy fakty od hipotez co do przyczyny?

Zgłoszenie złożone w terminie, ale bez opisu wpływu, zwykle wraca z pytaniami i zjada czas, którego już nie ma.

Krok 4: Odbiorcy usług - kogo jeszcze trzeba powiadomić?

Obowiązek nie kończy się na organie. Art. 23 ust. 1 NIS2 przewiduje, że jeśli incydent może wpłynąć na świadczone usługi, trzeba poinformować ich odbiorców i wskazać możliwe działania ochronne po ich stronie.

Pytania kontrolne: Czy mamy kanał komunikacji z klientami gotowy poza pocztą, która może być właśnie niedostępna? Czy wiemy, kto formułuje ten komunikat? Czy potrafimy wskazać konkretne działania ochronne, a nie tylko przeprosić? Czy komunikat przechodzi przez kogoś, kto rozumie skutki prawne?

Ten krok bywa pomijany, bo nie ma przy nim liczby godzin - a to on decyduje o tym, jak incydent wygląda z zewnątrz.

Krok 5: Sprawozdanie końcowe - co zamyka sprawę?

Ostatni etap składa się najpóźniej w ciągu miesiąca od zgłoszenia. To podsumowanie: co się stało, dlaczego, jak przebiegała obsługa i co zostało zrobione, żeby się nie powtórzyło.

Pytania kontrolne: Czy prowadziliśmy rejestr działań w trakcie incydentu, czy odtwarzamy je z pamięci? Czy działania naprawcze mają właścicieli i terminy? Czy wnioski trafiły do procedur i do szkoleń? Czy organ udzielił nam informacji zwrotnej i czy ją uwzględniliśmy?

Sprawozdanie bez części o działaniach naprawczych opisuje awarię, ale nie pokazuje, że organizacja z niej wyciągnęła wnioski.

Krok 6: Przygotowanie - co musi istnieć wcześniej?

Obsługa incydentów jest jednym ze środków zarządzania ryzykiem wymienionych w art. 21 ust. 2 NIS2, a za ich wdrożenie odpowiadają organy zarządzające na podstawie art. 20. Wszystkie powyższe kroki są wykonalne w terminie tylko wtedy, gdy zostały przygotowane przed zdarzeniem. Zanim incydent wystąpi, organizacja powinna mieć:

• procedurę obsługi incydentu z jasnym progiem kwalifikacji;
• wskazanie właściwego CSIRT sektorowego i dostęp do systemu S46 dla co najmniej dwóch osób;
• wzory wczesnego ostrzeżenia, zgłoszenia i sprawozdania końcowego;
• listę ról z zastępstwami: kto kwalifikuje, kto zgłasza, kto komunikuje się z klientami;
• zapasowy kanał komunikacji na wypadek niedostępności podstawowego;
• rejestr incydentów, do którego wpisy trafiają na bieżąco, a nie po fakcie.

Procedura, której zespół nigdy nie przećwiczył, w praktyce działa jak jej brak.

Samodzielnie czy z narzędziem?

Procedurę da się opisać w dokumencie i trzymać w intranecie. Problem pojawia się przy utrzymaniu: zmieniają się ludzie, role i dostępy, a raz na rok warto to przećwiczyć na sucho, żeby sprawdzić, czy ktoś w ogóle wie, gdzie kliknąć.

Tę część obsługuje Cyber TrustCERT: wzory procedur i polityk, szkolenia osobno dla załogi i osobno dla kierownictwa oraz ewidencja, która pokazuje, kto co przeszedł. Jeśli nie wiesz, czy przepisy w ogóle Was obejmują, Cyber Ready Check daje wstępną diagnozę w kilka minut - wynik liczy się w Twojej przeglądarce.

Podsumowanie

Zgłoszenie incydentu NIS2 to sześć kroków i trzy terminy: kwalifikacja z zapisaną godziną wykrycia, wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, informacja dla odbiorców usług, sprawozdanie końcowe w miesiąc oraz przygotowanie, bez którego reszta jest teorią.

Zegar rusza w chwili wykrycia, a nie w chwili, gdy sytuacja staje się zrozumiała. Organizacja, która ma gotową procedurę i wzory, zdąży. Organizacja, która zaczyna od pytania, kto właściwie może to wysłać, zwykle nie zdąży.

Ten tekst opisuje procedurę, ale nie rozstrzyga, czy dana organizacja podlega ustawie ani czy konkretne zdarzenie jest poważnym incydentem - obie oceny zostają po stronie organizacji.

✦ Ten artykuł powstał z wykorzystaniem sztucznej inteligencji, a przed publikacją został zweryfikowany przez autora, który ponosi za niego odpowiedzialność redakcyjną.