Η Οδηγία NIS2 δεν ζητά μόνο να προστατεύετε τα συστήματά σας. Ζητά και να ενημερώνετε έγκαιρα τις αρχές όταν συμβεί ένα σημαντικό περιστατικό κυβερνοασφάλειας. Οι προθεσμίες είναι αυστηρές: 24 ώρες, 72 ώρες και ένας μήνας. Σε αυτό το άρθρο εξηγούμε τι προβλέπει κάθε στάδιο και πώς να προετοιμαστείτε.
Τι θεωρείται «σημαντικό περιστατικό»;
Σύμφωνα με το άρθρο 23 της Οδηγίας, ένα περιστατικό είναι σημαντικό όταν:
- έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή διατάραξη των υπηρεσιών ή οικονομική ζημία στον οργανισμό, ή
- έχει επηρεάσει ή μπορεί να επηρεάσει άλλα φυσικά ή νομικά πρόσωπα, προκαλώντας σημαντική υλική ή μη υλική ζημία.
Η υποχρέωση αυτή είναι ανεξάρτητη από τον GDPR: αν το περιστατικό αφορά και προσωπικά δεδομένα, μπορεί να χρειαστεί ξεχωριστή γνωστοποίηση και στην Αρχή Προστασίας Δεδομένων.
Στάδιο 1: Έγκαιρη προειδοποίηση εντός 24 ωρών
Το ρολόι ξεκινά από τη στιγμή που ο οργανισμός αντιλαμβάνεται το σημαντικό περιστατικό. Μέσα σε 24 ώρες υποβάλλεται έγκαιρη προειδοποίηση στην αρμόδια ομάδα CSIRT ή την εθνική αρχή κυβερνοασφάλειας, η οποία αναφέρει:
- αν υπάρχει υπόνοια παράνομης ή κακόβουλης ενέργειας,
- αν το περιστατικό μπορεί να έχει διασυνοριακές επιπτώσεις.
Δεν απαιτείται πλήρης ανάλυση. Ο σκοπός είναι οι αρχές να ενημερωθούν γρήγορα.
Στάδιο 2: Κοινοποίηση περιστατικού εντός 72 ωρών
Μέσα σε 72 ώρες από τη γνώση του περιστατικού, η αρχική ενημέρωση επικαιροποιείται με:
- αρχική αξιολόγηση της σοβαρότητας και του αντίκτυπου,
- δείκτες παραβίασης (Indicators of Compromise), όπου υπάρχουν.
Κατά τη διάρκεια, η αρχή μπορεί να ζητήσει ενδιάμεση έκθεση για την πρόοδο της διερεύνησης.
Στάδιο 3: Τελική έκθεση εντός ενός μηνός
Το αργότερο ένα μήνα μετά την κοινοποίηση υποβάλλεται τελική έκθεση με:
- λεπτομερή περιγραφή του περιστατικού, της σοβαρότητας και των επιπτώσεων,
- το είδος της απειλής ή τη βασική αιτία (root cause),
- τα μέτρα μετριασμού που εφαρμόστηκαν και εφαρμόζονται,
- τις διασυνοριακές επιπτώσεις, όπου υπάρχουν.
Αν το περιστατικό συνεχίζεται, υποβάλλεται έκθεση προόδου και η τελική έκθεση ακολουθεί μέσα σε ένα μήνα από τη διαχείρισή του.
Συνοπτικά το χρονοδιάγραμμα
| Προθεσμία | Τι υποβάλλεται |
|---|---|
| 24 ώρες | Έγκαιρη προειδοποίηση |
| 72 ώρες | Κοινοποίηση με αρχική αξιολόγηση |
| Κατόπιν αιτήματος | Ενδιάμεση έκθεση |
| 1 μήνας | Τελική έκθεση ή έκθεση προόδου |
Πώς να είστε έτοιμοι
- Σχέδιο απόκρισης σε περιστατικά: ορίστε ρόλους, κριτήρια σοβαρότητας και κλιμάκωση σε ώρες, όχι ημέρες.
- Συνεχής παρακολούθηση: χωρίς 24/7 εντοπισμό (SOC ή MDR) το 24ωρο είναι σχεδόν αδύνατο να τηρηθεί.
- Έτοιμα πρότυπα αναφορών: προετοιμάστε από πριν τα κείμενα και τα στοιχεία επικοινωνίας με την αρχή.
- Ασκήσεις προσομοίωσης: δοκιμάστε τη διαδικασία τουλάχιστον μία φορά τον χρόνο.
- Ενημέρωση διοίκησης: τα μέλη της διοίκησης φέρουν προσωπική ευθύνη για την εποπτεία των μέτρων.
Η καθυστέρηση στην αναφορά μπορεί να επισύρει κυρώσεις ακόμα κι αν η επίθεση αντιμετωπίστηκε επιτυχώς.
Πόσο έτοιμος είναι ο οργανισμός σας; Κάντε τη δωρεάν αξιολόγηση συμμόρφωσης NIS2 ή επικοινωνήστε μαζί μας για σχέδιο απόκρισης σε περιστατικά.