Zgłaszanie incydentów wg NIS 2 – systemowa odpowiedzialność i procedury

Dyrektywa (UE) 2022/2555, znana jako NIS 2, nakłada na tzw. podmioty kluczowe i ważne obowiązek wdrożenia systemu zarządzania incydentami, obejmującego wykrywanie, reagowanie, raportowanie i analizę zdarzeń zagrażających dostępności, poufności, integralności czy autentyczności danych i usług.

Proces zarządzania incydentami w organizacji możemy zwykle podzielić na dwa kluczowe podprocesy, tj. zarządzanie samym incydentem oraz na mitygację skutków wystąpienia tego incydentu.

• wstępne zgłoszenie do CSIRT lub organu nadzorczego w ciągu 24 godzin,
• uzupełnienie informacji w ciągu 72 godzin,
• sprawozdanie końcowe w ciągu miesiąca od zgłoszenia incydentu.

Jeżeli incydent wiąże się z naruszeniem ochrony danych osobowych, obowiązuje równoległe zgłoszenie do UODO w ramach RODO.

Zarządzanie incydentami to dziś nie tylko dobra praktyka, ale obowiązek prawny. Organizacje, które traktują je jako element strategii bezpieczeństwa, budują swoją odporność i zaufanie klientów. Wdrażając NIS 2, warto skupić się nie tylko na spełnieniu wymogów formalnych, lecz także na ciągłym doskonaleniu procedur w odpowiedzi na dynamicznie zmieniający się krajobraz zagrożeń.

Zapraszamy do lektury artykułu adw. Tomasza Kamińskiego, Wspólnika w Krzysztof Rożko i Wspólnicy Kancelarii Prawnej oraz eksperta ds. cyberbezpieczeństwa Daniela Niwińskiego, opublikowanego w poradniku merytorycznym gazety Rzeczpospolita, w którym autorzy opisują zgłaszanie incydentów według dyrektywy NIS 2 oraz nowelizowanej Ustawy o Krajowym Systemie Cyberbezpieczeństwa.

Z artykułu dowiedzą się Państwo:

• Jak NIS 2 definiuje incydent i dlaczego jego rozumienie ma kluczowe znaczenie dla spełnienia wymogów prawnych.
• Jakie obowiązki nakłada dyrektywa w zakresie wykrywania, reagowania i raportowania, w tym terminy zgłoszeń do CSIRT i organów nadzoru.
• Jak zaplanować proces obsługi incydentów – od ustanowienia zespołów reagowania, przez monitorowanie i klasyfikację zdarzeń, po dokumentowanie i komunikację wewnętrzną i zewnętrzną.
• Jak skutecznie ograniczać skutki incydentów, w tym jak izolować zagrożone systemy, przywracać ciągłość działania i współpracować z instytucjami zewnętrznymi.
• Jak łączyć obowiązki wynikające z NIS 2 i RODO, aby uniknąć podwójnych lub niespójnych zgłoszeń.
• Dlaczego regularne testy, symulacje i szkolenia są kluczowe dla utrzymania gotowości organizacji.
• Jak zbudować spójne procedury komunikacji z nadzorcami, które uwzględniają priorytety, role i odpowiedzialności w ramach organizacji.

Kancelaria prawna KRWLegal / LegalWell zapewnia profesjonalne i fachowe doradztwo w wielu dziedzinach prawa, w tym świadczy usługi doradztwa w zakresie dyrektywy NIS 2, zgodności prawnej w zakresie cyberbezpieczeństwa oraz prowadzi szkolenia w tym obszarze dla pracowników instytucji obowiązanych.

Jeśli uważasz, że może mieć to wpływ na Twój biznes, zapraszamy do kontaktu: biuro@krwlegal.pl lub +48 22 29 50 940.