Уведомление об инцидентах по NIS2: сроки 24 часа, 72 часа и один месяц

Статья 23 NIS2 устанавливает строгие сроки уведомления о значительных инцидентах. Отсчёт начинается с момента, когда Вам стало известно об инциденте, а не когда Вы завершили его расследование.

Что такое значительный инцидент?

Инцидент является значительным, если он вызвал или может вызвать серьёзное нарушение работы Ваших услуг или финансовые убытки для Вашей организации, либо если он затронул или может затронуть других лиц или организации, причинив им значительный материальный или нематериальный ущерб (ст. 23(3)).

Для поставщиков цифровой инфраструктуры и управляемых услуг Имплементационный регламент (ЕС) 2024/2690 добавляет конкретные пороговые значения, например прямой финансовый ущерб свыше 500 000 € или 5% годового оборота, в зависимости от того, что меньше.

Хронология

• В течение 24 часов: раннее предупреждение с указанием, есть ли подозрение на злонамеренный характер инцидента и может ли он иметь трансграничные последствия.
• В течение 72 часов: уведомление об инциденте с первичной оценкой, серьёзностью и воздействием, а также индикаторами компрометации при их наличии.
• По запросу: промежуточные отчёты.
• В течение одного месяца после уведомления: итоговый отчёт с подробным описанием, первопричиной, мерами по смягчению последствий и любыми трансграничными последствиями.

Почему большинство организаций пропускают первый срок

Двадцати четырёх часов недостаточно, чтобы выяснить, кто решает, является ли инцидент значительным, где находится форма уведомления и кто уполномочен её отправить. Эти решения необходимо принять заранее.

• Назначьте, кто решает о значительности инцидента и кто подаёт уведомление, а также их заместителей.
• Храните канал уведомления надзорного органа и список контактов на бумаге на случай, если электронная почта будет скомпрометирована.
• Согласуйте резервный (внеполосный) канал связи для группы реагирования.
• Закрепите в договоре обязанность поставщиков, которые размещают или эксплуатируют Ваши системы, быстро уведомлять Вас.
• Проводите штабные учения раз в год.

Затронуты и персональные данные?

Если инцидент затрагивает и персональные данные, GDPR требует отдельного уведомления органа по защите данных в течение 72 часов (ст. 33 GDPR). Планируйте и то, и другое.

Наш комплект по NIS2 включает порядок реагирования на инциденты и уведомления о них с тестом значительности, шаблоны отчётов для каждого срока и сценарий штабных учений.