Jeden incydent, kilka zgłoszeń: jak łączą się NIS2, RODO i DORA?

Każdy akt ma własne zgłoszenie, adresata i termin, a jeden incydent może uruchomić kilka. Poważny incydent w podmiocie objętym NIS2NIS2: druga unijna dyrektywa w sprawie bezpieczeństwa sieci i informacji. Unijne prawo o cyberbezpieczeństwie (dyrektywa (UE) 2022/2555), które nakłada na wiele firm obowiązki bezpieczeństwa i zgłaszania incydentów. trafia do CSIRTCSIRT: zespół reagowania na incydenty bezpieczeństwa komputerowego. Krajowy zespół, do którego zgłasza się poważne incydenty. lub właściwego organu zgodnie z art. 23 NIS2; jeśli dotyczy danych osobowych, administrator zgłasza go też organowi ochrony danych zgodnie z art. 33 RODORODO: ogólne rozporządzenie o ochronie danych. Unijne prawo o ochronie danych osobowych (rozporządzenie (UE) 2016/679).; podmiot finansowy zgłasza poważne incydenty ICT na podstawie art. 19 DORA zamiast NIS2; a producent produktu może mieć obowiązki z aktu o cyberodporności, zob. rozporządzenie (UE) 2024/2847, art. 14. Niektóre systemy krajowe mają jeden portal, ale nie należy zakładać, że jedno zgłoszenie obejmuje wszystko. Warto prowadzić jeden zapis incydentu i z niego tworzyć każde zgłoszenie, żeby fakty się zgadzały. Art. 35 NIS2 każe też organom NIS2 informować organy ochrony danych o naruszeniach, o których się dowiedzą. NetSenX śledzi terminy NIS2 i przygotowuje projekt zgłoszenia z art. 33 RODO z tych samych danych o incydencie.

Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.

← Wszystkie pytania (35): Terminy zgłaszania incydentówWszystkie tematy