Hændelsesindberetning under NIS2-direktivet: sikre kanaler til cybersikkerhed.

NIS2 kræver hændelsesindberetningsmekanismer, men bruger ikke begrebet 'whistleblowing' direkte. Kombinationen af NIS2 og EU's whistleblowerdirektiv betyder dog, at organisationer i scope bør have fortrolige kanaler uden repressalierisiko til cybersikkerhedsindberetning.

NIS2 dækker 18 sektorer, herunder energi, transport, bankvæsen, digital infrastruktur, offentlig forvaltning, sundhed, fødevarer, affaldshåndtering og fremstilling — langt bredere end det oprindelige NIS-direktiv.

Medlemsstaterne skulle gennemføre NIS2 i national lovgivning senest oktober 2024. Organisationer bør allerede være kompatible eller aktivt arbejde på det.

Ja. En samlet platform som Ashio kan fungere som din interne indberetningskanal for både cybersikkerhedshændelser (NIS2) og generel whistleblowing (EU-direktiv 2019/1937). Det er den mest effektive og mindst forvirrende tilgang for dine medarbejdere.

Ja. Artikel 13 i NIS2 kræver eksplicit en indberetningskanal, der lever op til de samme standarder som EU's whistleblowerdirektiv — fortrolighed, kvittering inden for 7 dage, feedback inden for 3 måneder og beskyttelse mod repressalier. Én Ashio-kanal kan opfylde både NIS2-hændelsesindberetning og whistleblowing parallelt.

Når en medarbejder indberetter en formodet cyberhændelse via Ashio, modtager dit sikkerhedsteam indberetningen med fuld kontekst, kan klassificere den (kritisk, høj, middel, lav), gennemføre undersøgelsen og svare indberetteren inden for 3 måneder. ENISA og nationale CSIRT'er forventer typisk notifikation inden for 24 timer efter detektion til tidlig advarsel og derefter 72 timer til fuld hændelsesnotifikation — Ashio fanger den interne tidslinje.

Nej. NIS2 dækker 18 sektorer — energi, transport, bankvæsen, sundhed, drikkevand, digital infrastruktur, offentlig forvaltning og mere — og gælder for 'essentielle' og 'vigtige' enheder i alle størrelser inden for disse sektorer, dog med visse størrelsesgrænser. Mange traditionelle fremstillings-, logistik- og sundhedsvirksomheder er nu i scope.

En skabelon til NIS2-hændelsesindberetning indeholder typisk: hændelses-ID, dato og klokkeslæt for detektion, beskrivelse af hændelsen, formodet årsag, berørte systemer og tjenester, vurderet påvirkning (alvor, geografisk omfang) og om personoplysninger er involveret. Den første notifikation (tidlig advarsel inden for 24 timer) er bevidst let — lige nok til, at CSIRT'en ved, at der er en hændelse, og kan prioritere indsatsen. Den fulde notifikation inden for 72 timer tilføjer alvorlighedsvurdering, rodårsag og iværksat/løbende afhjælpning. Ashio fanger alt dette i en struktureret indberetningsformular, der mappes til din CSIRT's rapporteringsskabelon, så indberetninger går direkte fra indberetningsformularen ind i dit CSIRT-workflow uden manuel omformatering.

NIS2-hændelsesindberetning er den regulatoriske forpligtelse til at underrette den kompetente myndighed (din nationale CSIRT og, hvor relevant, ENISA) om en cyberhændelse inden for de fastsatte tidsrammer. NIS2-hændelseshåndtering er den interne tekniske aktivitet med at inddæmme, udrydde og komme sig efter hændelsen. De to er sekventielle: du detekterer hændelsen, du starter hændelseshåndteringen, du indberetter hændelsen inden for 24/72 timer til myndigheden, og du følger op med en endelig rapport inden for en måned. Ashio understøtter indberetningsdelen (notifikationer + revisionsspor + struktureret indberetning) og integreres med dit hændelseshåndteringsværktøj via webhook.

NIS-hændelsesindberetning er forpligtelsen under det oprindelige NIS-direktiv (direktiv (EU) 2016/1148) — forgængeren til NIS2 — for udbydere af essentielle tjenester og digitale tjenesteudbydere til at underrette deres nationale CSIRT om hændelser, der påvirker kontinuiteten af essentielle tjenester. Den oprindelige NIS-indberetningsforpligtelse var lettere: Notifikationer havde typisk ingen fast frist, kun kravet om at informere uden unødig forsinkelse. NIS2 (direktiv (EU) 2022/2555) afløser NIS og tilføjer de strenge frister for tidlig advarsel på 24 timer / notifikation på 72 timer / endelig rapport på en måned, der gælder for et bredere sæt af 'essentielle' og 'vigtige' enheder. De fleste organisationer, der var i scope af NIS, er også i scope af NIS2.

Artikel 23 i direktiv (EU) 2022/2555 er artiklen om indberetning af hændelser. Den kræver, at væsentlige og vigtige enheder sender en tidlig advarsel til deres nationale CSIRT eller den kompetente myndighed inden for 24 timer efter at være blevet bekendt med en betydelig hændelse, en underretning inden for 72 timer (indledende vurdering af alvorlighed og indikatorer for kompromittering, hvor de findes) og en slutrapport inden for en måned (grundårsag, afbødende tiltag, grænseoverskridende påvirkning). Kun betydelige hændelser er omfattet, og fristen starter, når man bliver bekendt med hændelsen — ikke når undersøgelsen slutter. Artikel 23 forpligter også enhederne til uden unødig forsinkelse at underrette modtagerne af deres tjenester om foranstaltninger eller afhjælpning, de kan iværksætte mod en betydelig cybertrussel. Ashio dækker den interne del: en krypteret indgang med tidsstempel, så den indberetning, der starter fristen, er dokumenteret samme dag, den kommer ind, og kan eksporteres som bevis til CSIRT-indberetningen.