Wzór procedury zgłaszania incydentu poważnego (24 h i 72 h) według KSC

Sam wzór procedury zgłaszania incydentu nie wystarczy. Ustawa o KSC wymaga także działań rozłożonych w czasie: kierownik podejmuje decyzje w zakresie przeglądu i nadzoru SZBI (art. 8d), incydent poważny zgłasza się w dwóch krokach, najpóźniej 24 godziny i 72 godziny od wykrycia (art. 11 ust. 1 pkt 4 i 4a), a kierownik raz w roku kalendarzowym przechodzi szkolenie (art. 8e ust. 1). Plan Firma w SZBIhub możesz sprawdzić w ramach okresu próbnego.

W skrócie

• Procedura zgłaszania incydentu mówi, kto w organizacji rozpoznaje incydent poważny, kto go zgłasza, czym i w jakim terminie.
• Obsługę incydentu i zgłaszanie incydentów poważnych przez system S46 ustawa nakłada na podmiot kluczowy i podmiot ważny (art. 11 ustawy o KSC).
• Terminy biegną od wykrycia incydentu poważnego: wczesne ostrzeżenie najpóźniej w 24 godziny, zgłoszenie najpóźniej w 72 godziny, sprawozdanie końcowe najpóźniej w miesiąc od zgłoszenia (art. 11 ust. 1 pkt 4, 4a i 4c).
• Wzór SZBIhub ma sekcje: cel i zakres, definicje i klasyfikacja, wykrywanie i zgłaszanie wewnętrzne, zgłaszanie incydentu poważnego (S46), informowanie użytkowników usług, zamknięcie incydentu i wnioski. Odrębności podmiotu publicznego pojawiają się tylko u podmiotu publicznego.

Co procedura musi zawierać według ustawy

1. Kanał zgłoszenia. Incydent poważny zgłasza się przez system teleinformatyczny, o którym mowa w art. 46 ust. 1 ustawy o KSC (S46).
2. Wczesne ostrzeżenie. Niezwłocznie, nie później niż 24 godziny od wykrycia (art. 11 ust. 1 pkt 4). Zakres danych określa art. 12 ust. 1.
3. Zgłoszenie. Niezwłocznie, nie później niż 72 godziny od wykrycia (art. 11 ust. 1 pkt 4a). Zakres danych określa art. 12 ust. 3: wpływ na usługę, liczba użytkowników, zasięg geograficzny, wpływ na inne podmioty, przyczyny i przebieg, działania zapobiegawcze i naprawcze.
4. Sprawozdanie końcowe. Nie później niż miesiąc od zgłoszenia (art. 11 ust. 1 pkt 4c), z elementami z art. 12a. Gdy obsługa incydentu jeszcze trwa, przekazuje się sprawozdanie z postępu, a sprawozdanie końcowe nie później niż miesiąc od zakończenia obsługi (art. 12b).
5. Informowanie użytkowników. Podmiot informuje użytkowników swoich usług o poważnych cyberzagrożeniach i o incydentach poważnych mających niekorzystny wpływ na usługi (art. 11 ust. 2a-2b).
6. Wyjątek podmiotu publicznego. Podmiot ważny będący podmiotem publicznym nie przekazuje wczesnego ostrzeżenia ani sprawozdań (art. 12c). Obowiązek zgłoszenia w 72 godziny pozostaje.

Czym jest incydent poważny i jak wygląda obsługa incydentu od pierwszego sygnału, opisuje artykuł Zarządzanie incydentami. Wpis do wykazu i system S46 opisuje artykuł Rejestracja w wykazie.

Fragment wzoru

Poniżej dosłowny fragment sekcji „Zgłaszanie incydentu poważnego (S46)” z wzoru procedury SZBIhub: tabela terminów i zakresu danych. Ten fragment nie ma pól do wypełnienia.

Terminy liczone są od chwili wykrycia incydentu poważnego:

Krok	Termin	Podstawa	Zakres danych
Wczesne ostrzeżenie	niezwłocznie, nie później niż 24 godziny od wykrycia	art. 11 ust. 1 pkt 4	art. 12 ust. 1: dane podmiotu; osoba zgłaszająca; osoba do wyjaśnień; moment wystąpienia i wykrycia oraz czas trwania; czy zdarzenie mogło wynikać z działania bezprawnego lub w złej wierze (jeżeli ocena możliwa); czy dotyczy innych państw UE. Można dołączyć wniosek o wytyczne lub wsparcie techniczne (art. 12 ust. 2; CSIRT odpowiada w 24 godziny)
Zgłoszenie	niezwłocznie, nie później niż 72 godziny od wykrycia	art. 11 ust. 1 pkt 4a	art. 12 ust. 3: wpływ na usługę (która usługa, liczba użytkowników, zasięg geograficzny, wpływ na inne podmioty), przyczyny i przebieg, działania zapobiegawcze i naprawcze; dane znane w chwili zgłoszenia uzupełnia się w trakcie obsługi (art. 12 ust. 5)
Sprawozdanie okresowe	na wniosek właściwego CSIRT	art. 11 ust. 1 pkt 4b	zakres wskazany we wniosku CSIRT
Sprawozdanie końcowe	nie później niż miesiąc od zgłoszenia	art. 11 ust. 1 pkt 4c	art. 12a: szczegółowy opis incydentu wraz z zakłóceniami i szkodami; rodzaj zagrożenia lub przyczyna; zastosowane i wdrażane środki ograniczające ryzyko; skutki transgraniczne

Jeżeli obsługa incydentu w chwili upływu terminu sprawozdania końcowego jeszcze trwa, organizacja przekazuje sprawozdanie z postępu, a sprawozdanie końcowe - nie później niż miesiąc od zakończenia obsługi (art. 12b ustawy o KSC).

Jak dopasować wzór do firmy

1. Nazwij osobę zgłaszającą i zastępcę. Wczesne ostrzeżenie zawiera dane osoby zgłaszającej i osoby do wyjaśnień. Ustal je przed incydentem, nie w jego trakcie.
2. Sprawdź dostęp do S46. Zgłoszenie idzie przez system S46. Sprawdź, kto w organizacji ma do niego dostęp i czy ten dostęp działa.
3. Ustal, kto mierzy czas. Terminy liczy się od chwili wykrycia. Procedura powinna mówić, kto zapisuje moment wykrycia i gdzie.
4. Sprawdź, czy jesteś podmiotem publicznym. Wyjątek z art. 12c zmienia zakres obowiązków. Wzór dodaje odrębną sekcję tylko wtedy, gdy organizacja jest podmiotem publicznym.
5. Wygeneruj dokument na danych organizacji. Dokument stanowi wzór wspierający realizację danego obowiązku i wymaga dostosowania do organizacji. W SZBIhub plan Firma zaczyna się od 14 dni bezpłatnie, bez podawania karty. W okresie próbnym PDF ma znak wodny SPECIMEN, a plik DOCX do edycji jest dostępny po opłaceniu planu Firma.