Masz 24 godziny na incydentu wg NIS2

Masz 24 godziny. Często firma dowiaduje się o tym terminie dopiero po jego przekroczeniu. Ustawa o Krajowym Systemie Cyberbezpieczeństwa wprowadza wieloetapowy, mocno sformalizowany harmonogram zgłaszania poważnych incydentów, a zegar zaczyna tykać od momentu wykrycia incydentu, nie od momentu, gdy ktoś w firmie zdąży to formalnie potwierdzić.

Harmonogram zgłoszeń wg NIS2 – 24h, 72h, raport końcowy

Ustawa przewiduje trzy etapy zgłaszania poważnego incydentu, każdy z osobnym terminem i osobnym zakresem informacji. Pierwszy etap to wczesne ostrzeżenie, które trzeba przekazać w ciągu 24 godzin od wykrycia incydentu. Na tym etapie nie oczekuje się pełnej analizy, tylko sygnału, że coś się wydarzyło: wstępnej informacji o zdarzeniu, podejrzeniu co do jego charakteru i możliwym wpływie, także transgranicznym, jeśli taki występuje.

Drugi etap to właściwe zgłoszenie incydentu, które trzeba przekazać nie później niż w ciągu 72 godzin od tego samego momentu wykrycia. Ten etap wymaga już więcej: oceny dotkliwości incydentu, wstępnej klasyfikacji, wskaźników naruszenia integralności systemu, informacji o dotychczasowych działaniach podjętych w reakcji na zdarzenie. Trzeci etap to sprawozdanie końcowe, składane co do zasady w ciągu miesiąca od zgłoszenia dokonanego w ciągu 72 godzin. Ma ono zawierać pełny opis incydentu: przyczynę źródłową, przebieg, skutki i zastosowane środki naprawcze.

Jeśli obsługa incydentu trwa dłużej niż miesiąc od wczesnego ostrzeżenia, podmiot nie czeka biernie, tylko przekazuje sprawozdanie z postępu obsługi, a właściwe sprawozdanie końcowe składa dopiero po zakończeniu całej obsługi incydentu. To ważne rozróżnienie: długotrwały, złożony incydent nie zwalnia z obowiązków raportowych, tylko rozkłada je na dodatkowy, pośredni etap.

Do kogo zgłaszać i jakim kanałem

Zgłoszenia trafiają do właściwego zespołu CSIRT, w modelu kaskadowym: w pierwszej kolejności do CSIRT sektorowego, jeśli taki istnieje dla danej branży, a w jego braku do jednego z zespołów poziomu krajowego, czyli CSIRT NASK, CSIRT GOV albo CSIRT MON, w zależności od charakteru podmiotu. Dla większości firm z sektora prywatnego właściwym adresatem będzie CSIRT NASK, ale warto to ustalić z wyprzedzeniem, a nie dopiero w momencie, gdy trzeba wysłać pierwsze zgłoszenie pod presją zegara.

Wszystkie zgłoszenia i sprawozdania, czyli wczesne ostrzeżenie, zgłoszenie w ciągu 72 godzin, ewentualne sprawozdanie z postępu i sprawozdanie końcowe, przekazuje się przez dedykowany system teleinformatyczny, a nie w dowolnej, swobodnej formie, na przykład mailem czy telefonicznie. Oznacza to, że firma musi wcześniej wiedzieć, jak wygląda dostęp do tego systemu i kto w organizacji ma uprawnienia, żeby z niego skorzystać, zamiast szukać tej informacji w chwili kryzysu.

Jak przygotować procedurę zgłoszeniową z wyprzedzeniem

Pierwszy element dobrej procedury to jasne kryteria klasyfikacji, pozwalające szybko odpowiedzieć na pytanie, czy dane zdarzenie w ogóle kwalifikuje się jako poważny incydent podlegający zgłoszeniu, zamiast tracić cenne godziny na dyskusję, czy to już czas na uruchomienie procedury. Drugi element to jasno przypisane role: kto podejmuje decyzję o zgłoszeniu, kto ma dostęp do systemu teleinformatycznego służącego do zgłaszania, kto odpowiada za kontakt z CSIRT w razie dodatkowych pytań, i co się dzieje, jeśli te osoby są akurat niedostępne, na przykład w nocy albo w weekend.

Trzeci element to gotowe szablony zgłoszeń, przygotowane z wyprzedzeniem dla wczesnego ostrzeżenia i dla zgłoszenia w ciągu 72 godzin, z polami do szybkiego uzupełnienia konkretnymi danymi o zdarzeniu, zamiast pisania całego zgłoszenia od zera pod presją terminu. Czwarty element to dokumentowanie przebiegu obsługi incydentu na bieżąco, od pierwszej minuty, a nie odtwarzanie tej historii tuż przed terminem na sprawozdanie końcowe. Materiał do tego sprawozdania powstaje w trakcie obsługi incydentu, nie po jej zakończeniu, kiedy szczegóły łatwo już się zatarły w pamięci zespołu.

Piąty element, często pomijany, to przećwiczenie całego procesu na sucho, w formie krótkiej symulacji: kto dzwoni do kogo, kto loguje się do systemu zgłoszeniowego, ile czasu zajmuje zebranie potrzebnych informacji. Taka symulacja pokazuje luki w procedurze znacznie skuteczniej niż sama analiza dokumentu na papierze, i pozwala je naprawić, zanim zrobi to prawdziwy incydent, rozgrywający się już pod presją terminu 24 godzin.

Warto dodać, że niedotrzymanie tych terminów ma konkretne konsekwencje finansowe, tak samo jak inne naruszenia obowiązków wynikających z ustawy o KSC: kary dla podmiotu sięgające, w zależności od kategorii, do 10 milionów euro albo 7 milionów euro, a w przypadku rażących zaniedbań również konsekwencje osobiste dla kierownika podmiotu. Brak procedury zgłoszeniowej albo jej nieznajomość przez zespół nie jest okolicznością łagodzącą w oczach organu nadzorczego, tylko dodatkowym dowodem na to, że organizacja nie była przygotowana na wypełnienie podstawowego obowiązku wynikającego z przepisów.

Termin 24 godzin nie jest czasem na zastanowienie się, czy w ogóle trzeba działać. To czas na wykonanie wcześniej przygotowanej procedury. Firmy, które przygotowują tę procedurę spokojnie, z wyprzedzeniem, przechodzą przez pierwszy poważny incydent zupełnie inaczej niż te, które dowiadują się o istnieniu tego terminu w momencie, gdy zegar już tyka.

Warto też pamiętać, że wykrycie incydentu i jego pełne zrozumienie to dwie różne rzeczy. Zespół może wiedzieć o samym fakcie wystąpienia incydentu, zanim jeszcze pozna jego pełną skalę czy przyczynę, i to jest w pełni zgodne z założeniami przepisów. Wczesne ostrzeżenie ma być szybkie, nie kompletne, a brakujące szczegóły uzupełnia się w kolejnych etapach: w zgłoszeniu po 72 godzinach i w sprawozdaniu końcowym. Firmy, które zwlekają z pierwszym zgłoszeniem, czekając aż będą miały komplet informacji, same wpędzają się w opóźnienie, którego przepisy wcale od nich nie wymagają.