Art. 23 NIS2

Zgłaszanie incydentów NIS2: kalkulator terminów i szablon wczesnego ostrzeżenia

Zgłaszanie incydentów w NIS2 to obowiązek podmiotu kluczowego lub ważnego, by etapami powiadamiać swój CSIRT lub właściwy organ o każdym poważnym incydencie: wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiadomości, zgłoszenie incydentu w ciągu 72 godzin, sprawozdanie okresowe, jeśli organ o nie poprosi, i sprawozdanie końcowe najpóźniej miesiąc po zgłoszeniu incydentu. Termin biegnie od chwili, gdy dowiedziałeś się o incydencie, a nie od jego początku. Kalkulator poniżej zamienia ten moment na daty, a szablon pokazuje, co musi zawierać wczesne ostrzeżenie.

Fakt, od którego warto zacząć

Zgodnie z art. 23 ust. 3 NIS2 (dyrektywa (UE) 2022/2555) incydent jest poważny, jeśli spowodował lub może spowodować poważne zakłócenia operacyjne usług lub straty finansowe dla danego podmiotu albo jeśli wpłynął lub może wpłynąć na inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe lub niemajątkowe.

Źródło: Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex

Kalkulator terminów

Podaj datę i godzinę, w której dowiedziałeś się o poważnym incydencie. Daty liczone są w przeglądarce, w jej strefie czasowej; nic z tego, co wpiszesz, nie jest nigdzie wysyłane.

Podaj datę i godzinę, aby zobaczyć terminy.

  • Sprawozdanie okresowe: zawsze, gdy poprosi o nie CSIRT lub właściwy organ.
  • Jeśli w terminie sprawozdania końcowego incydent nadal trwa, w tym terminie składa się sprawozdanie z postępów, a sprawozdanie końcowe w ciągu miesiąca od zakończenia obsługi incydentu.
  • Sprawdź prawo krajowe: ustawa wdrażająca NIS2 w Twoim kraju może wskazać kanał i formularz zgłoszenia oraz dodać własne wymagania do tych terminów.

Szablon wczesnego ostrzeżenia

Dwa punkty, których wymaga art. 23 ust. 4 lit. a, oraz dane, których CSIRT potrzebuje, by się z Tobą skontaktować. Skopiuj go do własnego kanału zgłoszeń; krajowe formularze mogą wymagać więcej.

Wczesne ostrzeżenie NIS2 (dyrektywa (UE) 2022/2555, art. 23 ust. 4 lit. a)
Nazwa podmiotu i sektor:
Osoba kontaktowa, telefon i e-mail:
Data i godzina powzięcia wiadomości o incydencie:
Co wiadomo do tej pory, w dwóch lub trzech zdaniach:
Podejrzenie działania bezprawnego lub złośliwego? (tak / nie / jeszcze nie wiadomo):
Możliwy wpływ transgraniczny? (tak / nie / jeszcze nie wiadomo):
Usługi, których incydent dotyczy do tej pory:
Wskazówki lub porady operacyjne, o które prosimy CSIRT (jeśli dotyczy):

Czego wymaga każdy termin

Otwórz etap, aby zobaczyć, co musi zawierać zgłoszenie, co NetSenX ma już przygotowane i co zostaje po Twojej stronie. Żaden termin nie zatrzymuje się na weekend ani na święto.

  • 24 godziny: wczesne ostrzeżenie (NIS2, art. 23 ust. 4 lit. a)
    Co musi zawierać zgłoszenie
    Czy istnieje podejrzenie, że poważny incydent spowodowały działania bezprawne lub złośliwe, i czy może mieć wpływ transgraniczny. Krótko, z założenia.
    Co NetSenX ma przygotowane
    Incydent i jego terminy śledzone od chwili zarejestrowania oraz alerty, od których się zaczął, każdy wyjaśniony prostym językiem, w każdym planie.
    Co zostaje po Twojej stronie
    Decyzja, że incydent jest poważny, i wysłanie wczesnego ostrzeżenia do CSIRT lub właściwego organu.
  • 72 godziny: zgłoszenie incydentu (NIS2, art. 23 ust. 4 lit. b)
    Co musi zawierać zgłoszenie
    Aktualizacja wczesnego ostrzeżenia i wstępna ocena: waga, skutki oraz, jeśli są dostępne, wskaźniki naruszenia bezpieczeństwa.
    Co NetSenX ma przygotowane
    Oś czasu alertów z hostami, adresami docelowymi i godzinami oraz dziennik audytu tego, co zauważono i postanowiono. Raporty PDF od planu Starter.
    Co zostaje po Twojej stronie
    Ocena wagi i skutków, wybór wskaźników do przekazania i samo zgłoszenie.
  • Miesiąc: sprawozdanie końcowe (NIS2, art. 23 ust. 4 lit. d)
    Co musi zawierać zgłoszenie
    Szczegółowy opis z wagą i skutkami, rodzaj zagrożenia lub pierwotna przyczyna, zastosowane i bieżące środki zaradcze oraz ewentualny wpływ transgraniczny.
    Co NetSenX ma przygotowane
    Pełny zapis przechowywany przez okres historii alertów Twojego planu oraz technika MITRE ATT&CK wskazana przy alertach, które jej odpowiadają.
    Co zostaje po Twojej stronie
    Analiza pierwotnej przyczyny, same środki zaradcze i sprawozdanie. Jeśli incydent nadal trwa, w tym terminie składa się sprawozdanie z postępów.
  • 72 godziny: naruszenie ochrony danych osobowych (RODO, art. 33)
    Co musi zawierać zgłoszenie
    Charakter naruszenia, kategorie i przybliżona liczba osób i wpisów, prawdopodobne konsekwencje i podjęte środki, przekazane organowi nadzorczemu.
    Co NetSenX ma przygotowane
    Zgłoszenie naruszenia z art. 33 RODO przygotowane z zapisu incydentu dla Twojego inspektora ochrony danych.
    Co zostaje po Twojej stronie
    Ocena, czy naruszenie dotyczy danych osobowych i czy trzeba je zgłosić, samo zgłoszenie oraz ewentualna informacja dla osób, których dotyczy.

Sprawdź prawo krajowe: ustawa wdrażająca NIS2 w Twoim kraju może wskazać kanał i formularz zgłoszenia oraz dodać własne wymagania do tych terminów.

Co musi zawierać każde zgłoszenie

Art. 23 ust. 4 dyrektywy, etap po etapie. Krajowe przepisy wdrażające NIS2 mogą dodawać pola lub narzucać formularz.

  1. 01Wczesne ostrzeżenie: w ciągu 24 godzin

    Czy istnieje podejrzenie, że poważny incydent został spowodowany działaniem bezprawnym lub złośliwym, i czy może mieć wpływ transgraniczny. Z założenia jest krótkie: szczegóły przychodzą później.

  2. 02Zgłoszenie incydentu: w ciągu 72 godzin

    Aktualizacja wczesnego ostrzeżenia i wstępna ocena incydentu, w tym jego dotkliwości i skutków, a jeśli są dostępne, także wskaźniki narażenia na atak (IoC).

  3. 03Sprawozdanie okresowe: na żądanie

    Istotne aktualizacje stanu, gdy poprosi o nie CSIRT lub właściwy organ.

  4. 04Sprawozdanie końcowe: miesiąc po zgłoszeniu

    Szczegółowy opis incydentu, w tym jego dotkliwości i skutków; rodzaj zagrożenia lub pierwotna przyczyna, która prawdopodobnie go wywołała; zastosowane i trwające środki ograniczające; a w stosownych przypadkach wpływ transgraniczny.

Co NetSenX robi już dziś

  • Śledzi każdy incydent względem terminów z art. 23 NIS2 (24 godziny, 72 godziny, miesiąc) i przygotowuje dla IOD zgłoszenie naruszenia z art. 33 RODO. Raporty PDF od planu Starter.
  • Wykrywa beaconing C2, skanowanie i ruch boczny oraz nietypowy wolumen danych wychodzących na podstawie zachowania w sieci, więc incydent zostaje znaleziony na tyle wcześnie, by termin miał znaczenie.
  • Wyjaśnia każdy alert prostym językiem, w każdym planie, i zapisuje alerty, decyzje analityków i zmiany konfiguracji w dzienniku audytu, który możesz przekazać audytorowi.
  • Podaje w alercie technikę MITRE ATT&CK, jeśli detekcja jej odpowiada, co pomaga opisać rodzaj zagrożenia w sprawozdaniu końcowym.

Czego NetSenX nie robi

NetSenX nie rozstrzyga, czy incydent jest poważny ani czy Twoja organizacja podlega NIS2, i nie składa zgłoszeń do CSIRT ani właściwego organu w Twoim imieniu. Kalkulator stosuje terminy z samej dyrektywy; krajowe przepisy wdrażające NIS2 mogą dodawać szczegóły, na przykład kanał lub formularz zgłoszenia, więc sprawdź przepisy swojego kraju.

Pytania kupujących

Od kiedy biegnie termin 24 godzin w NIS2?

Od chwili, gdy podmiot dowiedział się o poważnym incydencie, a nie od momentu, w którym incydent się zaczął. Art. 23 ust. 4 liczy od tej chwili zarówno wczesne ostrzeżenie (24 godziny), jak i zgłoszenie incydentu (72 godziny).

Co musi zawierać wczesne ostrzeżenie NIS2?

Zgodnie z art. 23 ust. 4 lit. a wczesne ostrzeżenie wskazuje, w stosownych przypadkach, czy istnieje podejrzenie, że poważny incydent został spowodowany działaniem bezprawnym lub złośliwym, i czy może mieć wpływ transgraniczny. Szczegóły przychodzą w zgłoszeniu 72-godzinnym.

Czy sprawozdanie końcowe składa się miesiąc po incydencie?

Nie: miesiąc po wysłaniu zgłoszenia incydentu. Jeśli incydent wtedy nadal trwa, składa się sprawozdanie z postępów, a sprawozdanie końcowe w ciągu miesiąca od zakończenia obsługi incydentu.

Czy dostawców usług zaufania obowiązują inne terminy?

Tak. Dostawca usług zaufania zgłasza poważne incydenty, które wpływają na świadczenie jego usług zaufania, w ciągu 24 godzin od powzięcia wiadomości, a nie 72 godzin.

Źródła

  1. Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex
  2. European Commission — NIS2 transposition status by Member State

Ta strona ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Swoje obowiązki warto potwierdzić we właściwym organie krajowym lub u doradcy prawnego.

Powiązane strony

Wypróbuj NetSenX we własnej sieci

Zacznij od planu Free dla maksymalnie 3 urządzeń albo umów 20-minutowe demo.

Zobacz cennikUmów demo