NIS2 irányelv incidensbejelentés: biztonságos csatornák a kiberbiztonsághoz.

A NIS2 incidensbejelentési mechanizmusokat ír elő, de nem használja közvetlenül a „bejelentővédelem” kifejezést. A NIS2 és az EU bejelentővédelmi irányelv kombinációja azonban azt jelenti, hogy a hatályba tartozó szervezeteknek bizalmas, megtorlástól védett csatornákkal kell rendelkezniük a kiberbiztonsági bejelentésekhez.

A NIS2 18 ágazatra terjed ki, beleértve az energiát, a közlekedést, a banki szolgáltatásokat, a digitális infrastruktúrát, a közigazgatást, az egészségügyet, az élelmiszert, a hulladékgazdálkodást és a feldolgozóipart — jóval szélesebb, mint az eredeti NIS irányelv.

A tagállamoknak 2024 októberéig kellett átültetniük a NIS2-t a nemzeti jogba. A szervezeteknek már meg kell felelniük, vagy aktívan dolgozniuk kell rajta.

Igen. Az olyan egységes platform, mint az Ashio, belső bejelentési csatornaként szolgálhat mind a kiberbiztonsági incidensekhez (NIS2), mind az általános bejelentővédelemhez (EU 2019/1937 irányelv). Ez a leghatékonyabb és legkevésbé zavaró megközelítés munkavállalói számára.

Igen. A NIS2 13. cikke kifejezetten olyan bejelentési csatornát ír elő, amely megfelel az EU whistleblowing-irányelvnek – titoktartás, 7 napon belüli visszaigazolás, 3 hónapon belüli visszajelzés, megtorlás elleni védelem. Egyetlen Ashio-csatorna párhuzamosan képes lefedni a NIS2-incidens-bejelentést és a whistleblowingot.

Amikor egy munkavállaló gyanús kiberincidenst jelent be az Ashio-n keresztül, a biztonsági csapat megkapja a teljes kontextussal rendelkező bejelentést, osztályozhatja (kritikus, magas, közepes, alacsony), lefolytathatja a vizsgálatot, és 3 hónapon belül válaszolhat a bejelentőnek. Az ENISA és a nemzeti CSIRT-ek jellemzően 24 órán belüli értesítést várnak korai figyelmeztetésként, majd 72 órát a teljes incidens-értesítéshez – az Ashio rögzíti a belső idővonalat.

Nem. A NIS2 18 szektort fed le – energia, közlekedés, bankok, egészségügy, ivóvíz, digitális infrastruktúra, közigazgatás és továbbiak – és az ezen szektorokban működő 'alapvető' és 'fontos' szervezetekre vonatkozik minden méretben, bizonyos méretküszöbökkel. Sok hagyományos gyártó, logisztikai és egészségügyi vállalat most hatálya alá tartozik.

Egy NIS2 incidensjelentési sablon jellemzően tartalmazza: az incidens azonosítóját, a felismerés dátumát és időpontját, az incidens leírását, a feltételezett okot, az érintett rendszereket és szolgáltatásokat, a becsült hatást (súlyosság, földrajzi kiterjedés) és hogy személyes adatok érintettek-e. Az első értesítés (24 órás korai figyelmeztetés) szándékosan könnyűsúlyú — elegendő ahhoz, hogy a CSIRT tudjon az incidensről és priorizálhassa a reagálást. A teljes értesítés 72 órán belül súlyosságértékelést, kiváltó okot és alkalmazott/folyamatban lévő enyhítő intézkedéseket ad hozzá. Az Ashio mindezt strukturált beviteli űrlapon rögzíti, amely illeszkedik a CSIRT-jének sablonjához, így a jelentések manuális átformázás nélkül jutnak el az űrlaptól a CSIRT munkafolyamatig.

A NIS2 incidensjelentés az a szabályozási kötelezettség, hogy az illetékes hatóságot (a nemzeti CSIRT-jét és adott esetben az ENISA-t) értesítse egy kiberincidensről az előírt határidőkön belül. A NIS2 incidensreagálás a belső technikai tevékenység a korlátozásra, felszámolásra és helyreállításra. A kettő egymás utáni: észleli az incidenst, megkezdi a reagálást, 24/72 órán belül jelenti az incidenst a szabályozónak, és egy hónapon belül benyújtja a zárójelentést. Az Ashio támogatja a jelentési felet (értesítések + auditnyomvonal + strukturált bevitel), és webhookon keresztül integrálódik az incidensreagálási eszközeiddel.

A NIS incidensjelentés az eredeti NIS-irányelv (2016/1148/EU irányelv) — a NIS2 elődje — szerinti kötelezettség, amely az alapvető szolgáltatások üzemeltetőit és a digitális szolgáltatókat arra kötelezi, hogy értesítsék nemzeti CSIRT-jüket az alapvető szolgáltatások folytonosságát érintő incidensekről. Az eredeti NIS-jelentési kötelezettség enyhébb volt: az értesítéseknek jellemzően nem volt rögzített határideje, csak a haladéktalan tájékoztatás követelménye. A NIS2 (2022/2555/EU irányelv) felváltja a NIS-t, és hozzáadja a szigorú határidőket (24 órás korai figyelmeztetés / 72 órás értesítés / egy hónapos zárójelentés), amelyek az 'alapvető' és 'fontos' szervezetek szélesebb körére vonatkoznak. A legtöbb szervezet, amely a NIS hatálya alá tartozott, a NIS2 alá is tartozik.

A 2022/2555/EU irányelv 23. cikke az incidensbejelentésről szól. Arra kötelezi a kiemelt és fontos szervezeteket, hogy a jelentős incidensről való tudomásszerzést követő 24 órán belül korai figyelmeztetést küldjenek a nemzeti CSIRT-nek vagy az illetékes hatóságnak, 72 órán belül értesítést (a súlyosság első értékelése és a kompromittálódásra utaló jelek, ha rendelkezésre állnak), egy hónapon belül pedig zárójelentést (kiváltó ok, enyhítő intézkedések, határon átnyúló hatás). Csak a jelentős incidensek bejelentéskötelezettek, és a határidő a tudomásszerzéskor kezdődik — nem a vizsgálat végén. A 23. cikk arra is kötelezi a szervezeteket, hogy késedelem nélkül tájékoztassák szolgáltatásaik igénybe vevőit azokról az intézkedésekről vagy megoldásokról, amelyeket egy jelentős kiberfenyegetéssel szemben tehetnek. Az Ashio a belső részt fedi le: titkosított, időbélyeggel ellátott beérkezés, így a határidőt indító bejelentés a beérkezés napján rögzül, és bizonyítékként exportálható a CSIRT-bejelentéshez.