Procedura zgłoszenia incydentu — generator dokumentu

Ustawa o krajowym systemie cyberbezpieczeństwa daje podmiotowi kluczowemu i ważnemu 24 godziny od wykrycia incydentu poważnego na wczesne ostrzeżenie i 72 godziny na pełne zgłoszenie. Terminy liczą się od momentu wykrycia, a nie od chwili, w której ktoś zajął się sprawą.

W tym czasie trzeba mieć gotowe cztery rzeczy: kogoś, kto zauważy incydent także w nocy, osobę uprawnioną do jego zaklasyfikowania, komplet danych do formularza i działający dostęp do systemu teleinformatycznego. Żadnej z nich nie da się zorganizować w trakcie trwającej awarii. To narzędzie przygotowuje pierwszą i trzecią z nich.

Co generuje to narzędzie

• Oś czasu z konkretnymi datami — podajesz moment wykrycia, dostajesz terminy wczesnego ostrzeżenia, zgłoszenia i sprawozdania końcowego, z informacją, ile czasu zostało.
• Treść wczesnego ostrzeżenia — sześć elementów wymaganych przez art. 12 ust. 1, wypełnionych danymi Twojej firmy.
• Listę elementów zgłoszenia — pięć punktów z art. 12 ust. 3, w tym opis wpływu na usługę z podziałem na cztery podpunkty.
• Szkielet sprawozdania końcowego — cztery elementy z art. 12a.
• Obowiązek wobec użytkowników — osobny od zgłoszenia do CSIRT, o którym firmy zapominają najczęściej.

Całość do wydruku albo zapisania jako PDF. Nic nie jest wysyłane na serwer — wyliczenia dzieją się w Twojej przeglądarce.

Terminy, które wynikają wprost z ustawy

• Wczesne ostrzeżenie — niezwłocznie, nie później niż 24 godziny od wykrycia, do właściwego CSIRT sektorowego (art. 11 ust. 1 pkt 4).
• Zgłoszenie incydentu poważnego — nie później niż 72 godziny od wykrycia (art. 11 ust. 1 pkt 4a). Dostawca usług zaufania ma na to 24 godziny (art. 11 ust. 1a).
• Sprawozdanie okresowe — tylko na wniosek CSIRT sektorowego (art. 11 ust. 1 pkt 4b).
• Sprawozdanie końcowe — nie później niż miesiąc od dnia zgłoszenia (art. 11 ust. 1 pkt 4c). Jeżeli obsługa incydentu jeszcze trwa, w tym terminie składa się sprawozdanie z postępu, a końcowe w ciągu miesiąca od jej zakończenia (art. 12b).

Wszystkie te dokumenty przekazuje się przez system teleinformatyczny, o którym mowa w art. 46 ust. 1 ustawy. Konto w tym systemie warto sprawdzić zanim będzie potrzebne.

Najczęściej zadawane pytania

Skąd wiadomo, czy incydent jest „poważny”?

Progi określa Rada Ministrów w rozporządzeniu, osobno dla każdego sektora i podsektora z załączników nr 1 i 2 do ustawy, a dla części podmiotów wynikają one z aktu wykonawczego Komisji Europejskiej. Kryteria to liczba użytkowników dotkniętych zakłóceniem, czas oddziaływania, zasięg geograficzny i czynniki charakterystyczne dla danego sektora (art. 11 ust. 4). Narzędzie nie rozstrzyga tej kwestii — zakłada, że decyzja już zapadła.

Do kogo właściwie się zgłasza?

Do właściwego CSIRT sektorowego. CSIRT NASK, CSIRT GOV i CSIRT MON pojawiają się w ustawie przy współdziałaniu podczas obsługi incydentu, a nie jako adresat zgłoszenia. Który CSIRT jest właściwy dla konkretnego podmiotu, wskazywane jest przy wpisie do wykazu podmiotów kluczowych i ważnych.

Co, jeśli w ciągu 72 godzin nie znamy jeszcze wszystkiego?

Ustawa to przewiduje: przekazuje się informacje znane w chwili zgłoszenia i uzupełnia je w trakcie obsługi incydentu (art. 12 ust. 5). Czekanie z wysyłką na komplet danych jest błędem, bo termin biegnie niezależnie.

Czy trzeba ujawniać dane objęte tajemnicą przedsiębiorstwa?

W niezbędnym zakresie tak, gdy jest to konieczne do realizacji zadań CSIRT (art. 12 ust. 6). Takie informacje należy w zgłoszeniu oznaczyć jako prawnie chronione (art. 12 ust. 8).

Czy podmiot publiczny składa te same dokumenty?

Nie wszystkie. Do podmiotu ważnego będącego podmiotem publicznym nie stosuje się przepisów o wczesnym ostrzeżeniu, sprawozdaniu okresowym, sprawozdaniu z postępu i sprawozdaniu końcowym (art. 12c). Narzędzie uwzględnia ten przypadek.

Procedura to jedno, zdolność do jej wykonania to drugie

Dokument z tego generatora mówi, co zgłosić i kiedy. Nie sprawi jednak, że ktoś zauważy szyfrowanie plików o trzeciej w nocy ani że kopie zapasowe przetrwają atak razem z resztą środowiska. To już kwestia monitoringu, konfiguracji i przećwiczonych ról — sprawdzamy je w ramach audytu bezpieczeństwa IT, a całodobowe wykrywanie zapewnia SIEM i SOC as a Service. Jeśli nie wiesz jeszcze, czy Twoja firma w ogóle podlega przepisom, zacznij od testu NIS2.