Zgłoszenie incydentu Co, kiedy i gdzie zgłosić według ustawy o KSC.
Podmiot kluczowy lub ważny zgłasza poważny incydent do właściwego zespołu CSIRT w kilku krokach: w 24 godziny, w 72 godziny i w miesiąc. Wyjaśniamy, co jest incydentem poważnym, co musi znaleźć się w każdym zgłoszeniu i jak pogodzić to ze zgłoszeniem naruszenia do UODO.
Damian Waszczak, CBO, Senior Security AnalystZaktualizowano
Co to jest incydent poważny
Ustawa uznaje incydent za poważny, jeśli powoduje lub może spowodować poważne zakłócenie albo przerwę w świadczeniu usługi, stratę finansową podmiotu albo poważne szkody materialne lub niematerialne u innych osób i firm.
Szczegółowe progi określa rozporządzenie Rady Ministrów, a dla dostawców usług cyfrowych akty wykonawcze UE. Do czasu wydania nowego rozporządzenia stosuje się progi z 2018 roku, najdłużej przez 12 miesięcy od wejścia nowelizacji w życie. Jeśli nie masz pewności, czy próg został przekroczony, bezpieczniej jest zgłosić incydent, niż przekroczyć termin.
Terminy i treść zgłoszeń
- 1
Wczesne ostrzeżenie: 24 godziny od wykrycia
Dane zgłaszającego, czas wystąpienia i wykrycia incydentu, informacja, czy mógł być skutkiem działania bezprawnego lub złośliwego i czy może mieć skutki w innych państwach UE.
- 2
Zgłoszenie incydentu: 72 godziny od wykrycia
Rozwinięcie wczesnego ostrzeżenia: wpływ na usługę, liczba użytkowników, których dotyczy, zasięg geograficzny, przyczyna oraz podjęte działania zapobiegawcze i naprawcze.
- 3
Sprawozdanie okresowe: na żądanie
Jeśli CSIRT albo organ właściwy o to poprosi, przekazujesz informacje o postępie obsługi incydentu.
- 4
Sprawozdanie końcowe: miesiąc od zgłoszenia
Szczegółowy opis incydentu, jego prawdopodobna przyczyna, zastosowane środki i skutki transgraniczne. Jeśli incydent wciąż trwa, składasz sprawozdanie z postępu, a końcowe w ciągu miesiąca od zakończenia jego obsługi.
Kwalifikowani dostawcy usług zaufania zgłaszają incydent w ciągu 24 godzin. Podmioty publiczne, które są podmiotami ważnymi, składają tylko zgłoszenie incydentu, bez wczesnego ostrzeżenia i sprawozdań.
Gdzie zgłosić
Przez system S46
Zgłoszenia przekazuje się elektronicznie przez system S46. Podmiot zaczyna z niego korzystać po wpisie do wykazu podmiotów kluczowych i ważnych.
Do CSIRT sektorowego
Docelowo zgłoszenie trafia do CSIRT sektorowego. Zespoły sektorowe mają powstać w ciągu 18 miesięcy od wejścia nowelizacji w życie.
Do CSIRT NASK, GOV albo MON
Dopóki CSIRT sektorowy nie działa, zgłaszasz do zespołu krajowego według podziału kompetencji. Dla większości firm prywatnych jest to CSIRT NASK.
Do UODO, jeśli wyciekły dane osobowe
Naruszenie ochrony danych osobowych zgłaszasz osobno do Prezesa UODO, w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO). To dwa niezależne obowiązki.
Od kiedy biegnie 24 godziny
Termin liczy się od wykrycia incydentu, a nie od chwili, w której dowie się o nim zarząd. Atak wykryty w sobotę o trzeciej w nocy oznacza wczesne ostrzeżenie do niedzieli do trzeciej w nocy.
Dlatego liczy się, kto i kiedy patrzy na alerty. Przy monitoringu tylko w godzinach pracy incydent z nocy zauważysz rano, a atakujący ma do tego czasu kilka godzin przewagi.
Co przygotować, zanim zdarzy się incydent
Dostęp do S46 i osoby kontaktowe
Co najmniej dwie osoby kontaktowe, a w podmiotach mikro, małych i publicznych podmiotach ważnych co najmniej jedna, z dostępem do systemu.
Procedura obsługi incydentu
Kto ocenia, czy incydent jest poważny, kto podpisuje zgłoszenie i kto informuje zarząd. Zarządzanie incydentami jest częścią SZBI.
Wzory zgłoszeń
Gotowy wzór wczesnego ostrzeżenia i zgłoszenia skraca pierwsze godziny, w których wszyscy są zajęci gaszeniem pożaru.
Monitoring i logi
Bez logów nie odtworzysz osi czasu ani nie wskażesz przyczyny, a tego wymaga sprawozdanie końcowe.
Informacja dla klientów
Jeśli poważny incydent negatywnie wpływa na świadczone usługi, trzeba poinformować o nim ich odbiorców.
Najczęstsze pytania o zgłaszanie incydentów
Czy każdy incydent trzeba zgłaszać?
Obowiązek dotyczy incydentów poważnych. Pozostałe i tak trzeba obsłużyć i udokumentować, bo ustawa wymaga zarządzania incydentami w ramach SZBI.
Co, jeśli nie zdążymy w 24 godziny?
Niedopełnienie obowiązków zgłoszeniowych jest jednym z naruszeń zagrożonych karą pieniężną. Kary można nakładać od kwietnia 2028, ale termin warto traktować poważnie już teraz: wczesne ostrzeżenie to także szansa na pomoc CSIRT.
Moja firma nie podlega KSC. Gdzie zgłosić incydent?
Każdy może dobrowolnie zgłosić incydent do CERT Polska przez formularz na incydent.cert.pl. Jeśli doszło do naruszenia ochrony danych osobowych, nadal obowiązuje Cię zgłoszenie do UODO w 72 godziny.
Czy zewnętrzny SOC może zgłosić incydent za nas?
Odpowiedzialność za zgłoszenie zostaje przy podmiocie i jego kierowniku. Zewnętrzny SOC przygotowuje materiał: oś czasu, zakres, wskaźniki naruszenia (IOC) i podjęte działania, czyli wszystko, co trzeba wpisać do zgłoszenia.
Czy jedno zdarzenie może oznaczać karę z KSC i z RODO?
Ustawa ogranicza podwójne karanie: jeśli Prezes UODO prawomocnie ukarał za to samo działanie, organ właściwy na gruncie KSC poprzestaje na pouczeniu. Oba zgłoszenia trzeba jednak złożyć.
Masz incydent albo chcesz się do niego przygotować?
Pomagamy także firmom, które nie są naszymi klientami. Opisz sytuację, a analityk odezwie się z propozycją dalszych kroków.
Zadzwoń do nas+48 455 575 753Porozmawiaj bezpośrednio z inżynierem bezpieczeństwa. contact@fluencesecurity.com