NIS2: jak implementovat hlášení incidentů.

NIS2 vyžaduje mechanismy pro hlášení incidentů, ale přímo nepoužívá termín „whistleblowing“. Kombinace NIS2 se směrnicí EU o oznamovatelích však znamená, že dotčené organizace by měly mít důvěrné kanály odolné proti odvetě pro hlášení v oblasti kybernetické bezpečnosti.

NIS2 pokrývá 18 odvětví včetně energetiky, dopravy, bankovnictví, digitální infrastruktury, veřejné správy, zdravotnictví, potravinářství, odpadového hospodářství a výroby — tedy mnohem širší okruh než původní směrnice NIS.

Členské státy měly transponovat NIS2 do vnitrostátního práva do října 2024. Organizace by už měly být v souladu nebo na tom aktivně pracovat.

Ano. Jednotná platforma, jako je Ashio, může sloužit jako váš interní oznamovací kanál pro incidenty kybernetické bezpečnosti (NIS2) i pro obecné whistleblowingové oznámení (směrnice EU 2019/1937). Je to nejefektivnější a pro vaše zaměstnance nejsrozumitelnější přístup.

Ano. Článek 13 NIS2 výslovně vyžaduje oznamovací kanál, který splňuje stejné standardy jako směrnice EU o oznamovatelích — důvěrnost, potvrzení do 7 dnů, zpětnou vazbu do 3 měsíců a ochranu před odvetou. Jediný kanál Ashio dokáže paralelně pokrýt hlášení incidentů podle NIS2 i oznamování podle směrnice.

Když zaměstnanec nahlásí podezření na kybernetický incident přes Ashio, váš bezpečnostní tým obdrží oznámení s úplným kontextem, může jej klasifikovat (kritický, vysoký, střední, nízký), vést vyšetřování a odpovědět oznamovateli do 3 měsíců. ENISA a národní CSIRTs obvykle očekávají oznámení do 24 hodin jako včasné varování, poté 72 hodin pro úplné oznámení incidentu – Ashio zachycuje interní časovou osu.

Ne. NIS2 pokrývá 18 sektorů – energetiku, dopravu, bankovnictví, zdravotnictví, pitnou vodu, digitální infrastrukturu, veřejnou správu a další – a vztahuje se na 'základní' a 'důležité' subjekty všech velikostí v těchto sektorech, s určitými velikostními prahy. Mnoho tradičních výrobních, logistických a zdravotnických společností nyní spadá do působnosti.

Šablona hlášení incidentů NIS2 typicky zachycuje: identifikátor incidentu, datum a čas detekce, popis incidentu, předpokládanou příčinu, postižené systémy a služby, odhadovaný dopad (závažnost, zeměpisný rozsah) a informaci, zda jsou dotčeny osobní údaje. První hlášení (včasné varování do 24 hodin) je záměrně lehké — dostatečné, aby CSIRT věděl, že k incidentu došlo, a mohl upřednostnit reakci. Úplné hlášení do 72 hodin přidává vyhodnocení závažnosti, kořenovou příčinu a použitá/probíhající zmírňující opatření. Ashio zachycuje vše v strukturovaném vstupním formuláři, který odpovídá šabloně vašeho CSIRT, takže zprávy přecházejí z formuláře do pracovního postupu CSIRT bez ručního přeformátování.

Hlášení incidentů NIS2 je regulatorní povinnost informovat příslušný orgán (váš národní CSIRT a případně ENISA) o kybernetickém incidentu v předepsaných lhůtách. Reakce na incidenty NIS2 je interní technická činnost — zamezení, odstranění a obnova. Obě probíhají sekvenčně: incident zjistíte, zahájíte reakci, nahlásíte incident do 24/72 hodin regulátorovi a do jednoho měsíce dodáte závěrečnou zprávu. Ashio podporuje část hlášení (oznámení + auditní stopa + strukturovaný vstup) a integruje se s vašimi nástroji pro reakci na incidenty přes webhook.

Hlášení incidentů NIS je povinností podle původní směrnice NIS (směrnice (EU) 2016/1148) — předchůdkyně NIS2 — pro provozovatele základních služeb a poskytovatele digitálních služeb informovat svůj národní CSIRT o incidentech ovlivňujících kontinuitu základních služeb. Původní oznamovací povinnost NIS byla mírnější: oznámení obvykle neměla pevnou lhůtu, pouze požadavek informovat bez zbytečného odkladu. NIS2 (směrnice (EU) 2022/2555) nahrazuje NIS a přidává přísné lhůty (24 hodin včasné varování / 72 hodin oznámení / měsíc závěrečná zpráva), které se vztahují na širší okruh 'základních' a 'důležitých' subjektů. Většina organizací, které spadaly do NIS, spadá také do NIS2.

Článek 23 směrnice (EU) 2022/2555 je článkem o oznamování incidentů. Ukládá klíčovým a důležitým subjektům zaslat svému národnímu CSIRT nebo příslušnému orgánu včasné varování do 24 hodin od zjištění významného incidentu, oznámení do 72 hodin (prvotní posouzení závažnosti a indikátory kompromitace, jsou-li k dispozici) a závěrečnou zprávu do jednoho měsíce (příčina, zmírňující opatření, přeshraniční dopad). Oznamovat se musí pouze významné incidenty a lhůta běží od okamžiku zjištění — ne od konce šetření. Článek 23 rovněž ukládá subjektům bez zbytečného odkladu informovat příjemce svých služeb o opatřeních nebo nápravě, které mohou přijmout v reakci na významnou kybernetickou hrozbu. Ashio pokrývá vnitřní část: šifrovaný vstup s časovým razítkem, takže oznámení spouštějící lhůtu je zaznamenáno v den doručení a lze je exportovat jako důkaz pro oznámení CSIRT.