От кой момент реално тече срокът
Записвайте отделно откриването, узнаването и класифицирането. Те могат да съвпадат, но описват различни факти. Вътрешната процедура трябва да прилага правния критерий; не може да предефинира узнаването като момента, когато определен ръководител най-после прочете имейл.
Съображение 101 от NIS2 обяснява узнаването чрез разумна степен на сигурност след първоначална оценка. Регламент за изпълнение 2024/2690 добавя правила за обхванатите цифрови субекти. По DORA приложете рамката за инциденти и класифициране като голям инцидент и пазете следата от оценката.
Илюстративна последователност: сигнал в 02:14, ескалация в 06:40 и доклад пред ръководството в 09:15. Каква информация е имало на всеки етап? Кое е направило инцидента значителен или голям? Отговорът изисква доказателства, а не удобен избор между часовете.
Външна информация може да дойде от клиент, доставчик или екип за реакция. Осигурете наблюдавани канали и ескалация извън работното време. Непрочетена обща кутия е оперативен пропуск, а не надежден начин за отлагане на узнаването.
Кой класифицира и по какви критерии
Класифицирането е решение с правни последици. То има нужда от отговорник, от заместник и от критерии, записани преди въпросната нощ.
По DORA критериите са в Делегиран регламент (ЕС) 2024/1772: засегнати клиенти, контрагенти и трансакции; въздействие върху репутацията; продължителност и време на прекъсване на услугата; географски обхват; загуби на данни; икономическо въздействие; и критичността на засегнатите услуги. Това е близо до праговен тест, което е сериозно предимство — но някой все пак трябва да го приложи, в момента, и да отбележи кога го е направил.
По NIS2 чл. 23, § 3 е по-груб: инцидентът е значителен, ако е причинил или е в състояние да причини тежки оперативни смущения на услугите или финансови загуби за субекта, или е засегнал или е в състояние да засегне други физически или юридически лица, като причини значителни имуществени или неимуществени вреди. „В състояние да причини“ носи голяма тежест в това изречение и е преценка, направена с непълна информация.
По чл. 5, параграф 2 от Регламент 2025/301, ако класифицирането като голям инцидент е повече от 24 часа след узнаването, първоначалното уведомление се подава до четири часа от това класифициране. Изключението е съществено; то не оправдава забавяне на оценката или премълчаване на известни факти.
Двата часовника не са взаимозаменяеми
Таблицата е работно обобщение. Прилагайте точните правила и указанията на компетентния орган за подаване.
| Етап | Значителен инцидент по NIS2 | Голям инцидент, свързан с ИКТ, по DORA |
|---|---|---|
| Първо подаване | Ранно предупреждение без ненужно забавяне, до 24 часа от узнаването | Възможно най-скоро, до 4 часа от класифицирането и до 24 часа от узнаването; изключение за късно класифициране по чл. 5, параграф 2 |
| Следващ доклад | Уведомление без ненужно забавяне, до 72 часа от узнаването; за доставчиците на удостоверителни услуги: 24 часа | Междинен доклад до 72 часа от първоначалното уведомление; актуализиран доклад без ненужно забавяне при възстановяване на нормалната дейност |
| Окончателен доклад | До 1 месец от уведомлението; при продължаващ инцидент — доклад за напредъка, после окончателен до 1 месец след приключване на обработването | До 1 месец от междинния или последния актуализиран междинен доклад |
| Получател | Определеният екип или орган; проверете българския канал към СЕРИКС | Компетентният орган и установеният канал за подаване |
Двата 72-часови срока тръгват от различни събития. В илюстративен случай по DORA първоначално уведомление на 20-ия час поставя обичайния междинен срок на 92-ия. Това не премахва по-ранните задължения за актуализация и не позволява отлагане на вече дължимо първо подаване.
Почивни дни по DORA. Чл. 5, параграф 4 може да премести срок до обяд на следващия работен ден. Параграф 5 изключва първоначалните и междинните доклади на кредитни институции, централни контрагенти, оператори на места за търговия и субекти, определени като съществени или важни по NIS2. Самото изключение не обхваща окончателните им доклади. Компетентният орган може да изключи и други субекти по параграф 6. Проверете субекта, вида доклад и приложимото решение, преди да ползвате удължаване.
За връзката между режимите вижте DORA или NIS2. В една група може да има субекти с различни задължения; името на групата не определя канала за уведомяване.
Първият час отива за въпрос, който никой не планира
Неясният сигнал отнема време за проверка, преди да има пълна картина на инцидента. Планирайте тази несигурност: определете първите източници на доказателства, дайте право на дежурния да ескалира и подготвяйте подаването успоредно, когато фактите сочат задължение за уведомяване. Не чакайте произволен четвърти час или завършено разследване.
Предварителното уведомление трябва да различава потвърдени факти, оценки и неизвестни. Актуализирайте го по установения ред при промяна на картината. Сроковете са крайни граници; „без ненужно забавяне“ и „възможно най-скоро“ продължават да имат значение.
Правомощията и заместниците превръщат това в практическо упражнение. Научната публикация за управление на времето при инциденти дава библиографската връзка с темата; препоръките тук са оперативно приложение, а не твърдение за измерен резултат във вашата организация.
Решенията, които не се вземат в три през нощта
Всяко от тях отнема пет минути в спокоен следобед и изяжда по един час насред инцидент.
Кой може да изключи производствена система. Определете ролята, определете заместника и запишете прага, над който решението се ескалира. Без това решението се пада на най-старшия буден човек и на практика кабелът остава включен още два часа, докато се търси кой да разреши изваждането му.
Кой говори с клиентите и какво казва първото съобщение. Напишете предварителното съобщение сега, докато мислите трезво, и го одобрете сега. По NIS2 може да дължите уведомяване и на получателите на вашите услуги, когато значителният инцидент е вероятно да засегне услугите, които им предоставяте.
Кой говори с надзорния орган. Един глас и за предпочитане не човекът, който ръководи техническата реакция. Който отговаря на надзорен въпрос на 20-ия час, не може едновременно да проследява странично придвижване в мрежата.
Кога се вика външна помощ и при какви предварително уговорени условия. Подпишете договора, преди да ви потрябва. Инцидентът е лош момент за преговори по договор, по споразумение за обработване на лични данни и по ценоразпис, а договорът трябва да посочва време за реакция в часове, а не „в рамките на възможното“. В същия половин час проверете и застрахователната полица: киберполиците обикновено изискват уведомяване на застрахователя в определен срок и ограничават кои фирми за разследване може да ангажирате. Откриването на тази клауза на шестия час излиза скъпо.
Къде стои списъкът с контактите, когато компрометирана е точно мрежата. Отпечатан, извън домейна и физически у хората, на които трябва. Телефонни номера, не потребителски имена в платформа, която може да е спряна или вече враждебна. Уговорете предварително канал извън основната инфраструктура и се уверете, че той не е вашата собствена поща. Криптирането точно на това — директорията с потребителите, файловите споделяния, вътрешната страница със схемата за ескалация — е стандартна практика за групите, описани в бележката ни за как ransomware операторите реално влизат.
Какво да направите първо
- Запишете определението за узнаване в процедурата тази седмица, с едно изречение, и добавете задължително поле за час в шаблона на заявката.
- Определете поименно кой класифицира, определете заместник и приложете критериите — 2024/1772, ако сте под DORA, чл. 23, § 3, ако сте под NIS2.
- Направете шаблоните на докладите сега, със задължителните полета вътре, за да минат първите 24 часа в събиране на факти, а не в откриване какво се пита.
- Отпечатайте списъка с контактите, оставете го на физическо място и се обадете на един номер от него, за да проверите дали е актуален.
- Проведете 60-минутно учение с един-единствен въпрос: в коя минута узнахме и кой реши. Не репетирайте зловредния код. Репетирайте часовника.
Границата
Успоредно може да възникнат други задължения. По чл. 33 от GDPR администраторът уведомява за нарушение на сигурността на личните данни без ненужно забавяне и, когато е осъществимо, до 72 часа от узнаването, освен ако е малко вероятно да има риск за правата и свободите на хората. Обработващият уведомява администратора без ненужно забавяне. Договорите с клиенти може да изискват по-ранна комуникация. Запишете отделната оценка за всеки режим; регулаторната справка помага да установите актовете.
Ако искате определението за узнаване, критериите за класифициране, шаблоните на докладите и списъкът с контактите да съществуват, преди да ви потрябват, това е работата, описана на страницата практически подобрения.
Бележка. Това е обща информация, не правен съвет. Приложимостта зависи от конкретния субект, дейност, лиценз, размер, групова структура и националното прилагане.