NIS2 kohane intsidentidest teavitamine: 24 tunni, 72 tunni ja ühe kuu tähtajad

NIS2 artikkel 23 kehtestab oluliste intsidentide kohta range teavitamise ajakava. Aeg hakkab kulgema siis, kui saate intsidendist teada, mitte siis, kui lõpetate selle uurimise.

Mis on oluline intsident?

Intsident on oluline, kui see on põhjustanud või võib põhjustada Teie teenuste toimimises tõsiseid häireid või Teie organisatsioonile rahalist kahju või kui see on mõjutanud või võib mõjutada teisi füüsilisi või juriidilisi isikuid, põhjustades neile märkimisväärset varalist või mittevaralist kahju (art 23 lg 3).

Digitaristu ja hallatud teenuste osutajate jaoks lisab rakendusmäärus (EL) 2024/2690 konkreetsed künnised, näiteks otsene rahaline kahju üle 500 000 euro või 5% aastakäibest, olenevalt sellest, kumb on väiksem.

Ajakava

• 24 tunni jooksul: varajane hoiatus, milles märgitakse, kas intsidenti kahtlustatakse olevat põhjustatud pahatahtlikult ja kas sellel võib olla piiriülene mõju.
• 72 tunni jooksul: intsidenditeade koos esialgse hinnangu, raskusastme ja mõjuga ning võimaluse korral kompromiteerimisnäitajatega.
• Taotluse korral: vahearuanded.
• Ühe kuu jooksul pärast teadet: lõpparuanne koos üksikasjaliku kirjelduse, algpõhjuse, leevendusmeetmete ja võimaliku piiriülese mõjuga.

Miks enamik organisatsioone esimese tähtaja maha magab

Kahekümne neljast tunnist ei piisa, et välja selgitada, kes otsustab intsidendi olulisuse, kus on teavitusvorm ja kellel on õigus see saata. Need otsused tuleb teha ette.

• Määrake, kes otsustab intsidendi olulisuse ja kes esitab teate, koos asendajatega.
• Hoidke järelevalveasutuse teavitamiskanali andmeid ja kontaktide lehte paberil juhuks, kui e-post on kompromiteeritud.
• Leppige reageerimismeeskonna jaoks kokku põhikanalitest sõltumatu sidekanal.
• Kohustage lepingus tarnijaid, kes Teie süsteeme majutavad või käitavad, Teid kiiresti teavitama.
• Harjutage kord aastas lauaharjutusega.

Kas ka isikuandmed?

Kui intsident puudutab ka isikuandmeid, nõuab isikuandmete kaitse üldmäärus eraldi teavitamist andmekaitse järelevalveasutusele 72 tunni jooksul (IKÜM art 33). Valmistuge mõlemaks.

Meie NIS2 komplekt sisaldab intsidentidele reageerimise ja neist teavitamise korda koos olulisuse testiga, aruandepõhjadega iga tähtaja jaoks ja lauaharjutuse stsenaariumiga.