Obowiązki zgłaszania incydentów cyberbezpieczeństwa: jak je spełnić

Twoja organizacja wykrywa nietypową aktywność sieciową. Twój zespół IT bada sprawę i znajduje nieautoryzowany dostęp do danych klientów. Ograniczasz zagrożenie. Teraz pojawia się pilne pytanie: czy musisz zgłosić to władzom? Komu dokładnie? Jakie informacje przekazujesz? Ile masz czasu?

Zgodnie z ustawą NIS2 i prawem holenderskim, wiele organizacji musi zgłaszać incydenty cyberbezpieczeństwa organom rządowym w ściśle określonych terminach. Zazwyczaj masz na to od 24 do 72 godzin od momentu wykrycia. Przepisy określają, który organ otrzyma zgłoszenie, jakie informacje należy podać oraz jaki format należy podać. Niedotrzymanie terminu lub zgłoszenie do niewłaściwego organu wiąże się z wysokimi grzywnami, działaniami egzekucyjnymi i odpowiedzialnością prawną, która może wykraczać poza sam incydent.

Ten przewodnik dokładnie pokaże Ci, jak wypełniać obowiązki związane ze zgłaszaniem incydentów. Dowiesz się, jakie przepisy mają zastosowanie w Twojej organizacji, kiedy incydent wymaga zgłoszenia, które organy należy powiadomić na każdym etapie, jakich informacji wymaga każde zgłoszenie oraz jak stworzyć procedury, które faktycznie działają. Pominiemy prawniczy żargon i skupimy się na praktycznych krokach, które możesz podjąć już teraz, aby zachować zgodność z przepisami i chronić swoją organizację.

Jakie są Twoje obowiązki w zakresie zgłaszania incydentów cyberbezpieczeństwa?

Obowiązki związane ze zgłaszaniem incydentów cyberbezpieczeństwa zależą od wielkości Twojej organizacji, sektora, w którym działa, oraz świadczonych przez nią usług. Podmioty istotne (energia, transport, bankowość, opieka zdrowotna, infrastruktura krytyczna) i ważne podmioty (usługi pocztowe, gospodarka odpadami, dostawcy usług cyfrowych, produkcja żywności) podlegają obowiązkowi raportowania zgodnie z NIS2. Jeśli obsługujesz infrastrukturę krytyczną lub usługi cyfrowe dla holenderskich konsumentów, prawie na pewno podlegają tym przepisom.

Trzy etapy raportowania, które musisz ukończyć

Stajesz twarzą w twarz trzy oddzielne obowiązki sprawozdawcze z różnymi terminami. Twój pierwszy obowiązek zaczyna się w ciągu 24 godziny wykrywania Poważny incydent: zgłaszasz wczesne ostrzeżenie do CSIRT (Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego) lub właściwego organu. To wstępne powiadomienie sygnalizuje incydent i wskazuje, czy podejrzewasz szkodliwą aktywność lub wpływ transgraniczny.

W ciągu 72 godzin, przesyłasz powiadomienie o incydencie. Raport zawiera wstępną ocenę wagi, wpływu, zagrożonych systemów oraz dostępnych wskaźników naruszenia. Podajesz szczegóły techniczne, które pomagają władzom zrozumieć zakres i charakter naruszenia.

Organizacje, które nie dotrzymają tych terminów, mogą zostać ukarane grzywną w wysokości do 10 milionów euro lub 2% globalnego rocznego obrotu na mocy NIS2, w zależności od tego, która kwota jest wyższa.

Twój raport końcowy nadchodzi w ciągu jednego miesiąca Twojego zgłoszenia o incydencie. Ten kompleksowy dokument szczegółowo opisuje pełny zakres incydentu, analizę jego przyczyn źródłowych, wdrożone środki zaradcze oraz skutki transgraniczne. Jeśli nadal zajmujesz się incydentem po upływie miesiąca, przesyłasz raport z postępów, a następnie raport końcowy w ciągu miesiąca od jego rozwiązania.

Dodatkowe obowiązki wykraczające poza wstępne raportowanie

Ty też musisz poinformować strony dotknięte gdy poważny incydent ma wpływ na odbiorców usług. Powiadomienie to następuje bez zbędnej zwłoki i obejmuje praktyczne kroki, które odbiorcy mogą podjąć, aby się chronić. dostawcy usług zaufania konkretnie, 72-godzinne okno skraca się do 24 godzin w przypadku incydentów mających wpływ na usługi zaufania.

Twój zespół CSIRT lub właściwy organ odpowiada w ciągu 24 godzin od otrzymania wczesnego ostrzeżenia, udzielając wstępnej informacji zwrotnej i wskazówek operacyjnych dotyczących środków zaradczych.

Krok 1. Określ, które przepisy UE i Holandii mają do Ciebie zastosowanie

Musisz ustalić, który ramy regulacyjne określ obowiązki związane ze zgłaszaniem incydentów związanych z bezpieczeństwem cybernetycznym przed wystąpieniem incydentu. 2 XNUMX NIS (Dyrektywa w sprawie bezpieczeństwa sieci i informacji) ma szerokie zastosowanie w całej Holandii, ale DORA (Ustawa o odporności operacyjnej w świecie cyfrowym) i szczegółowe holenderskie przepisy wykonawcze Stwórz dodatkowe obowiązki dla określonych sektorów. Zacznij od oceny swojej organizacji pod kątem kryteriów każdego z ram.

Sprawdź, czy NIS2 dotyczy Twojej organizacji

NIS2 ma zastosowanie, jeśli kwalifikujesz się jako podmiot istotny or ważny podmiotDo kluczowych podmiotów należą organizacje z sektora energetycznego, transportu, bankowości, infrastruktury rynku finansowego, ochrony zdrowia, wody pitnej, gospodarki ściekowej, infrastruktury cyfrowej, administracji publicznej i sektora kosmicznego. Do ważnych podmiotów należą usługi pocztowe, gospodarka odpadami, chemikalia, produkcja żywności, przetwórstwo przemysłowe, dostawcy usług cyfrowych oraz organizacje badawcze.

Wielkość Twojej organizacji ma znaczenie tylko dla dostawcy usług cyfrowych (DSP). Jako DSP podlegasz NIS2, jeśli prowadzisz internetowy rynek, usługę w chmurze lub wyszukiwarkę z co najmniej Pracowników 50 i albo 10 milionów euro rocznego obrotu or 10 milionów euro w aktywach ogółemWszystkie inne istotne i ważne podmioty mają obowiązki niezależnie od wielkości.

Jeśli zarządzasz infrastrukturą krytyczną lub byłeś wcześniej wyznaczony na podstawie starej dyrektywy NIS (Wbni), automatycznie kwalifikujesz się na podstawie dyrektywy NIS2.

Rząd Holandii prowadzi rejestr wyznaczonych podmiotów. Aby potwierdzić swój status, skontaktuj się z właściwym organem w swoim sektorze (sprawozdanie z infrastruktury energetycznej i cyfrowej dla RDI; usługi finansowe dla AFM i DNB; opieka zdrowotna dla IGJ). Powinieneś to zweryfikować. przed styczniem 2026 kiedy rozpocznie się wzmożone egzekwowanie prawa.

Sprawdź, czy DORA obejmuje Twoje usługi finansowe

DORA stosuje się oddzielnie do instytucje finansowe oraz Dostawcy usług ICT Obsługując ich. Podlegasz przepisom DORA, jeśli działasz jako instytucja kredytowa, dostawca usług płatniczych, firma ubezpieczeniowa, firma inwestycyjna, dostawca usług kryptoaktywów lub instytucja pieniądza elektronicznego. Niniejsze rozporządzenie działa równolegle z NIS2 i ma własne wymagania sprawozdawcze.

Dostawcy usług finansowych zgłaszają poważne incydenty zarówno AFM (poprzez portal AFM) i DNB (poprzez My DNB) oprócz RDI. Musisz również zarejestrować wszystkie umowy kontraktowe z Podmioty trzecie ICT w celu realizacji krytycznych i ważnych funkcji za pośrednictwem tych portali w określonych ramach czasowych.

Oceń obowiązki swojego dostawcy usług cyfrowych

Wbni (Implementacja holenderska) tworzy określone obowiązki, jeśli je zapewniasz internetowe rynki, przetwarzanie w chmurze lub wyszukiwarki. Zgłaszasz incydenty zarówno RDI oraz CSIRT-DSP (specjalistyczny zespół reagowania na incydenty dla dostawców cyfrowych). W przeciwieństwie do kluczowych podmiotów w innych sektorach, obowiązują Cię progi wielkości: ponad 50 pracowników i ponad 10 milionów euro obrotu lub aktywów.

Dostawcy usług zaufania stają w obliczu przyspieszone terminy Zgodnie z rozporządzeniem eIDAS. Należy zgłaszać istotne incydenty wpływające na usługi zaufania w ramach 24 godzin zamiast standardowego 72-godzinnego okresu, który obowiązuje w przypadku innych podmiotów.

Krok 2. Określ, kiedy incydent podlega zgłoszeniu

Potrzebne są konkretne kryteria, aby ustalić, czy incydent przekracza próg zgłoszenia. Prawo definiuje znaczące incydenty jako osoby powodujące poważne zakłócenia operacyjne, straty finansowe lub znaczne szkody dla innych. Obowiązek zgłaszania incydentów cyberbezpieczeństwa rozpoczyna się w momencie wykrycia incydentu spełniającego te kryteria, a nie po zakończeniu jego badania. Oznacza to, że musisz szybko podejmować decyzje dotyczące zgłaszania incydentów, często mając niekompletne informacje.

Oceń próg ważności dla swojej organizacji

Incydent uznaje się za znaczący, gdy: zakłóca Twoje podstawowe usługi lub tworzy znaczny wpływ finansowyNIS2 rozróżnia dwie główne kategorie: incydenty, które poważnie zakłócają działalność firmy lub powodują straty finansowe, oraz incydenty, które wpływają na inne strony, powodując znaczne szkody materialne lub niematerialne. Należy zgłosić, gdy dotyczy jedna z tych kategorii.

Zakłócenia operacyjne oznaczają brak możliwości świadczenia usług klientom, awarię kluczowych systemów lub utratę dostępu do istotnych danych. Straty finansowe obejmują koszty bezpośrednie, takie jak okup, koszty odzyskiwania danych, utracone przychody lub kary regulacyjne. Prawo nie określa konkretnych progów w euro, dlatego należy dokonać oceny na podstawie wielkości organizacji i względnego wpływu incydentu.

Udokumentuj swoje wewnętrzne progi, zanim dojdzie do incydentu. Zapewni to spójność decyzji dotyczących raportowania i udowodni działanie w dobrej wierze, jeśli władze później zakwestionują Twoją decyzję.

Przy ocenie istotności należy wziąć pod uwagę następujące wskaźniki:

• Dostępność usługiCzy klienci mają dostęp do waszych usług? Jak długo systemy są niedostępne?
• Integralność danych:Czy wystąpił nieautoryzowany dostęp? Które kategorie danych zostały naruszone?
• Zasięg geograficzny:Czy incydent dotyczy wielu lokalizacji lub krajów?
• Wpływ na klienta:Ilu użytkowników lub odbiorców będzie miało problemy z świadczeniem usług?
• Czas odzyskiwania: Czy spodziewasz się rozwiązania problemu w ciągu kilku godzin, dni czy tygodni?

Ocena efektów transgranicznych i kaskadowych

Należy zgłaszać incydenty z potencjalny wpływ transgraniczny nawet jeśli skutki krajowe wydają się niewielkie. Incydent mający wpływ na Twoją działalność w Holandii może mieć wpływ na klientów, partnerów lub dostarczać łańcuchy w innych państwach członkowskich UE. To pociąga za sobą obowiązek raportowania, ponieważ władze koordynują reakcje ponad granicami.

Efekty kaskadowe W równym stopniu. Twój incydent staje się zgłaszalny, gdy zakłóca usługi świadczone przez Ciebie innym kluczowym lub ważnym podmiotom, niezależnie od bezpośredniego wpływu na użytkowników końcowych. Na przykład, jeśli świadczysz usługi w chmurze dla szpitala, a naruszenie bezpieczeństwa wpływa na jego systemy pacjentów, zgłaszasz je na podstawie ich wpływu operacyjnego, a nie tylko własnych strat.

Dostawcy usług zaufania stają w obliczu bardziej rygorystyczne progiKażdy incydent wpływający na świadczenie usług zaufania (podpisy cyfrowe, certyfikaty, znaczniki czasu) wymaga natychmiastowego zgłoszenia w ciągu 24 godzin. Nie czekasz z oceną, czy dany wpływ spełnia ogólne kryteria istotności.

Krok 3. Utwórz procedury zgłaszania incydentów

Potrzebujesz udokumentowanych procedur, które dokładnie określają, kto co robi, kiedy i jak podczas incydentu. plan reagowania na incydenty Muszą obejmować przejrzyste przepływy pracy związane z raportowaniem, które aktywują się automatycznie po wykryciu przez zespół poważnego incydentu. Procedury te przekładają obowiązki związane z raportowaniem incydentów cyberbezpieczeństwa z abstrakcyjnych wymogów prawnych na konkretne działania, które pracownicy mogą wykonywać pod presją.

Zbuduj swoją macierz klasyfikacji incydentów

Twoja macierz klasyfikacji pomaga reagujący na incydenty Określ wymagania dotyczące raportowania w ciągu kilku minut od wykrycia. Utwórz tabelę, która mapuje typy i poziomy ważności incydentów na obowiązki raportowania, terminy i uprawnienia odbiorców. Eliminuje to domysły i zapewnia spójność decyzji w całej organizacji.

Aktualizuj tę macierz kiedykolwiek zmiana przepisów lub Twoja organizacja doda nowe usługi. Testuj je kwartalnie, wykorzystując realistyczne scenariusze, aby zidentyfikować luki lub punkty wymagające uwagi.

Zaprojektuj swój przepływ pracy powiadomień

Twój przepływ pracy musi określać dokładna sekwencja Działania od wykrycia incydentu do ostatecznego raportowania. Udokumentuj, kto inicjuje raportowanie, kto przegląda i zatwierdza powiadomienia, kto je przesyła i kto utrzymuje kontakt z władzami. Przypisz personel rezerwowy do każdej roli w celu pokrycia nieobecności.

Twój obieg pracy powinien zakładać, że incydenty występują poza godzinami pracy, gdy kadra kierownicza wyższego szczebla może nie być natychmiast dostępna. Wprowadź mechanizmy zatwierdzania, które zapobiegną opóźnieniom.

Stwórz format listy kontrolnej Twój zespół podąża za:

1. Wykryto incydent: Kierownik zespołu ds. bezpieczeństwa dokonuje oceny w oparciu o macierz klasyfikacji w ciągu 2 godzin
2. Potwierdzono incydent podlegający zgłoszeniu: CISO powiadomiony natychmiast, rozpoczyna przygotowania do wczesnego ostrzegania
3. Opracowano wczesne ostrzeganie: uwzględniono rodzaj incydentu, czas wykrycia, podejrzewaną przyczynę i potencjalny wpływ transgraniczny
4. Recenzja prawna: Radca prawny w ciągu 4 godzin dokonuje przeglądu projektu pod kątem dokładności i kompletności
5. Złożenie: CISO lub delegat składa wniosek za pośrednictwem oficjalnego portalu w ciągu 24 godzin
6. Odpowiedź organu nadzoru: Zespół ds. bezpieczeństwa wdraża otrzymane wytyczne w ciągu 24 godzin
7. Powiadomienie o incydencie: Zespół techniczny przygotowuje szczegółową ocenę do 60. godziny
8. Ostateczne złożenie: kompletna dokumentacja złożona przed upływem 72 godzin

Przygotuj szablony raportów dla każdego etapu

Szablony zapewniają raporty zawierają wszystkie wymagane informacje Jednocześnie skracając czas przygotowań. Twórz osobne szablony dla wczesnego ostrzegania, powiadamiania o incydentach i raportu końcowego, które zawierają wszystkie obowiązkowe pola określone przez NIS2 i władze holenderskie.

Szablon wczesnego ostrzegania wymaga: znacznika czasu wykrycia, kategorii incydentu, podsumowania zagrożonych systemów, wskaźnika podejrzenia złośliwej aktywności (tak/nie), wskaźnika wpływu transgranicznego (tak/nie), danych kontaktowych. Powiadomienie o incydencie zawiera: ocenę wagi, zakres wpływu, liczbę zagrożonych użytkowników, wskaźniki naruszenia, wstępne kroki podjęte w celu minimalizacji ryzyka. Raporty końcowe zawierają: pełny harmonogram incydentu, analizę przyczyn źródłowych, pełną ocenę wpływu, wdrożone środki bezpieczeństwa, wnioski na przyszłość oraz zalecenia dotyczące działań zapobiegawczych.

Zapisz te szablony jako formularze do wypełnienia Twój zespół ma do nich natychmiastowy dostęp. Przechowuj je na platformie reagowania na incydenty, wiki zabezpieczeń i w kopiach zapasowych offline, aby zapewnić dostępność w przypadku awarii systemu.

Krok 4. Wprowadź raportowanie do szkoleń i zarządzania

Twoje procedury raportowania nie powiedzie się, jeśli pracownicy nie rozumieją swoich ról lub jeśli struktury zarządzania nie wspierają szybkiego podejmowania decyzji. Potrzebujesz systematyczne szkolenie oraz nadzór na poziomie zarządu Aby zapewnić, że Twoja organizacja prawidłowo wypełnia obowiązki związane z raportowaniem incydentów cyberbezpieczeństwa za każdym razem. Oznacza to zintegrowanie obowiązków raportowania z istniejącymi programami szkoleń z zakresu bezpieczeństwa oraz jasne określenie odpowiedzialności na poziomie zarządzania.

Przeszkolić cały personel w zakresie wykrywania i eskalacji

Musisz trenować wszyscy pracownicy rozpoznawać potencjalne incydenty bezpieczeństwa i dokładnie wiedzieć, jak je eskalować. Twój personel techniczny potrzebuje szczegółowego szkolenia z zakresu macierzy klasyfikacji i raportowania, ale pracownicy nietechniczni potrzebują prostszych wskazówek, skupionych na wykrywaniu nietypowych działań i natychmiastowym kontaktowaniu się z odpowiednimi osobami.

Uruchom kwartalne ćwiczenia planszowe Symulują realistyczne incydenty wymagające raportowania. Przeprowadź zespół reagowania na incydenty przez cały proces, od wykrycia do złożenia raportu końcowego. Skorzystaj z tych ćwiczeń, aby zidentyfikować luki w procedurach, przetestować szablony i sprawdzić, czy personel rezerwowy rozumie swoje role. Dokumentuj wnioski wyciągnięte po każdym ćwiczeniu i odpowiednio aktualizuj procedury.

Szkolenia z zakresu świadomości bezpieczeństwa dla kadry generalnej powinny obejmować następujące podstawowe zagadnienia związane ze sprawozdawczością:

• Co stanowi potencjalny incydent bezpieczeństwa (nietypowe wiadomości e-mail, nieautoryzowane próby dostępu, brakujące dane)
• Z kim należy się skontaktować natychmiast (podaj dane kontaktowe zespołu ds. bezpieczeństwa dostępnego 24 godziny na dobę, 7 dni w tygodniu)
• Czego nie należy robić (nie próbować samodzielnie prowadzić śledztwa, nie usuwać dowodów, nie czekać do poniedziałku)
• Dlaczego szybkość ma znaczenie (terminy regulacyjne zaczynają biec od momentu wykrycia incydentów, a nie ich zgłoszenia)

Przeszkolenie personelu, że natychmiastowe wykrywanie i zgłaszanie podejrzanych działań chroni zarówno organizację, jak i ich samych przed odpowiedzialność, nie tylko spełnia wymogi zgodności.

Zintegruj raportowanie z istniejącym zarządzaniem

Twoja rada nadzorcza i kadra kierownicza potrzebują regularne aktualizacje na temat możliwości raportowania incydentów i faktycznych incydentów. Zaplanuj kwartalne przeglądy zarządzania, obejmujące procedury raportowania, wszelkie zaistniałe incydenty, otrzymane odpowiedzi od organów nadzoru oraz wdrożone usprawnienia proceduralne. To buduje poczucie odpowiedzialności i zapewnia, że ​​kierownictwo rozumie obowiązki raportowania.

Przypisz konkretny dyrektor wykonawczy Odpowiedzialność za zgodność zgłaszania incydentów. Osoba ta (zazwyczaj CISO lub dyrektor ds. ryzyka) raportuje bezpośrednio do zarządu w zakresie gotowości, utrzymuje relacje z właściwymi organami i zarządza budżetem na narzędzia do zgłaszania i szkolenia. Jasno określona odpowiedzialność zapobiega zamieszaniu podczas rzeczywistych incydentów, gdy decyzje muszą być podejmowane szybko.

Zawierać metryki raportowania W panelach bezpieczeństwa: czas od wykrycia do wysłania wczesnego ostrzeżenia, odsetek incydentów spełniających wymagania terminowe, czas reakcji organów nadzoru oraz wykonane działania naprawcze. Monitoruj te dane co miesiąc, aby identyfikować trendy i możliwości usprawnień.

Idąc dalej

Masz teraz kompletne ramy do wypełniania obowiązków związanych ze zgłaszaniem incydentów cyberbezpieczeństwa zgodnie z NIS2 i prawem holenderskim. Wiesz, jakie przepisy obowiązują Twoją organizację, kiedy incydenty przekraczają próg zgłaszania, które organy otrzymują powiadomienia, jakie informacje musi zawierać każde zgłoszenie i jak budować procedury, które działają pod presją. Następnym krokiem jest… natychmiastowa realizacja.

Zacznij od sprawdzenia swojego obecnego planu reagowania na incydenty pod kątem wymagań opisanych tutaj. Zaktualizuj swój macierz klasyfikacji, przygotuj swoje szablony raportówi przeszkolić zespół reagowania na incydenty w zakresie nowych przepływów pracy. Zaplanuj pierwsze ćwiczenie symulacyjne w ciągu następne 30 dni Aby przetestować procedury przed wystąpieniem rzeczywistego incydentu. Dokumentuj wszystko, co tworzysz, aby Twój zespół miał do tego natychmiastowy dostęp w razie potrzeby.

Zgodność z przepisami prawa w zakresie cyberbezpieczeństwa wymaga obu ekspertyza techniczna oraz wiedza prawniczaJeśli potrzebujesz pomocy w interpretacji, w jaki sposób te przepisy mają zastosowanie w Twojej konkretnej sytuacji, skontaktuj się Law & More Aby uzyskać specjalistyczne wskazówki. Ich zespół pomaga holenderskim organizacjom w poruszaniu się po złożonych wymaganiach dotyczących zgodności z przepisami dotyczącymi cyberbezpieczeństwa i budowaniu ram reagowania na incydenty, które chronią zarówno Twoje operacje, jak i Twoją pozycję prawną.