NIS2 i KSC: terminy zgłaszania incydentów, które warto znać na pamięć
Trzyetapowy tryb zgłaszania poważnych incydentów — wczesne ostrzeżenie, zgłoszenie właściwe i raport końcowy — oraz skąd dokładnie te terminy pochodzą.
Trzy etapy, trzy terminy
Ustawa o Krajowym Systemie Cyberbezpieczeństwa (art. 11) oraz dyrektywa NIS2 (art. 23) opisują ten sam, trzyetapowy tryb zgłaszania poważnego incydentu: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, właściwe zgłoszenie incydentu w ciągu 72 godzin, oraz raport końcowy — zwykle w ciągu miesiąca od zgłoszenia.
Każdy z tych etapów ma inny cel. Wczesne ostrzeżenie ma dać CSIRT-owi sektorowemu sygnał, że coś się dzieje, zanim zdążysz to w pełni przeanalizować. Zgłoszenie 72-godzinne to już wstępna ocena: co się stało, jaka jest skala, czy podejrzewasz działanie transgraniczne lub przestępcze. Raport końcowy zamyka sprawę opisem przyczyny źródłowej i podjętych środków.
Dlaczego to nie jest tylko formalność
Przekroczenie terminu 24-godzinnego jest jednym z niewielu błędów, które w symulacji Koordynatora ds. Bezpieczeństwa na tej platformie kończą się twardym niepowodzeniem całej sesji, niezależnie od liczby zdobytych punktów — dokładnie dlatego, że w realnym świecie konsekwencje przekroczenia ustawowego terminu też nie są kwestią „mniej punktów”, tylko naruszeniem obowiązku.
W checkliście audytora ta sama zasada pojawia się jako pozycja z odniesieniem wprost do art. 11 ustawy o KSC — sprawdzasz nie tylko, czy operator ma procedurę zgłaszania incydentów, ale czy ta procedura faktycznie odwzorowuje te konkretne ramy czasowe, a nie ogólnikowe „możliwie szybko”.
Co dalej
Jeśli przygotowujesz procedurę zgłaszania incydentów dla własnej organizacji, w bazie wiedzy platformy znajdziesz gotowy do edycji wzór dokumentu oparty o te same przepisy, z rozpisanym rejestrem incydentów zawierającym kolumny na oba terminy.