Kdy vzniká povinnost incident hlásit
V nižším režimu si poskytovatel regulované služby předem stanovuje, které incidenty považuje za významné. Oznamovací povinnost se vztahuje právě na incidenty, které tuto interně popsanou hranici naplní.
Rozhodnutí proto nezačíná ve formuláři Portálu NÚKIB. Začíná u srozumitelných kritérií, vazby na regulované služby a schopnosti rychle vyhodnotit skutečný dopad na jejich poskytování.
Lhůty tvoří jeden navazující proces
Do 24 hodin: po zjištění významného incidentu se podává prvotní hlášení. V této fázi je rozhodující rychlost, ne úplnost všech technických detailů.
Do 72 hodin: následuje oznámení s aktualizovanými informacemi, dopady a dostupnými indikátory kompromitace. U služeb vytvářejících důvěru je tato lhůta kratší.
Po vyřešení: proces uzavírá závěrečná zpráva podaná do 30 dnů. Pokud incident pokračuje déle, vstupuje do procesu také průběžná zpráva o aktuálním stavu.
Co musí být připravené předem
Organizace potřebuje znát odpovědnou osobu, způsob eskalace, vazbu na statutární orgán nebo pověřeného zástupce a místo, kde bude průběžně uchovávat časovou osu, přijatá opatření a technické podklady.
Pohled Shieldory
Co z podkladu plyne pro praxi.
Největším rizikem není samotné vyplnění hlášení. Je jím okamžik, kdy organizace nedokáže rychle rozhodnout, zda incident překročil její hranici významnosti a kdo spouští zákonné lhůty.
Doporučujeme proto propojit klasifikaci incidentů s konkrétními regulovanými službami, určit jeden okamžik zahájení časomíry a odpovědnosti procvičit na modelovém scénáři. Bez tohoto propojení zůstává i kvalitní metodika pouze dokumentem.