Hlásenie incidentov podľa smernice NIS2: zabezpečené kanály pre kybernetickú bezpečnosť.

NIS2 vyžaduje mechanizmy hlásenia incidentov, ale pojem „oznamovanie“ priamo nepoužíva. Kombinácia NIS2 so smernicou EÚ o ochrane oznamovateľov však znamená, že organizácie v rozsahu by mali mať dôverné kanály na oznamovanie v kybernetickej bezpečnosti, ktoré vylučujú odvetu.

NIS2 pokrýva 18 odvetví vrátane energetiky, dopravy, bankovníctva, digitálnej infraštruktúry, verejnej správy, zdravotníctva, potravín, odpadového hospodárstva a výroby, teda oveľa širší rozsah než pôvodná smernica NIS.

Členské štáty museli transponovať NIS2 do národného práva do októbra 2024. Organizácie by už mali byť v súlade alebo na ňom aktívne pracovať.

Áno. Zjednotená platforma, akou je Ashio, môže slúžiť ako váš interný kanál na oznamovanie pre kybernetické incidenty (NIS2) aj pre všeobecné oznamovanie (smernica EÚ 2019/1937). Je to najefektívnejší a pre vašich zamestnancov najmenej mätúci prístup.

Áno. Článok 13 NIS2 výslovne vyžaduje kanál na hlásenie, ktorý spĺňa rovnaké štandardy ako smernica EÚ o ochrane oznamovateľov: dôvernosť, potvrdenie do 7 dní, spätnú väzbu do 3 mesiacov a ochranu pred odvetou. Jeden kanál Ashio môže súčasne pokryť hlásenie incidentov podľa NIS2 aj oznamovanie.

Keď zamestnanec cez Ashio oznámi podozrenie na kybernetický incident, váš bezpečnostný tím dostane oznámenie s celým kontextom, môže ho klasifikovať (kritické, vysoké, stredné, nízke), viesť vyšetrovanie a odpovedať oznamovateľovi do 3 mesiacov. ENISA a národné CSIRT zvyčajne očakávajú oznámenie do 24 hodín od zistenia ako včasné varovanie a potom do 72 hodín úplné oznámenie o incidente; Ashio internú časovú os zachytáva.

Nie. NIS2 pokrýva 18 odvetví (energetika, doprava, bankovníctvo, zdravotníctvo, pitná voda, digitálna infraštruktúra, verejná správa a ďalšie) a vzťahuje sa na „základné“ a „dôležité“ subjekty všetkých veľkostí v týchto odvetviach, s určitými prahovými hodnotami veľkosti. Do rozsahu tak dnes spadá mnoho tradičných výrobných, logistických a zdravotníckych spoločností.

Šablóna hlásenia incidentu podľa NIS2 zvyčajne zachytáva: identifikátor incidentu, dátum a čas zistenia, opis incidentu, predpokladanú príčinu, postihnuté systémy a služby, odhadovaný dosah (závažnosť, geografický rozsah) a informáciu, či ide o osobné údaje. Prvé oznámenie (včasné varovanie do 24 hodín) je zámerne stručné, len aby CSIRT vedel, že ide o incident, a mohol vytriediť reakciu. Úplné oznámenie do 72 hodín dopĺňa posúdenie závažnosti, hlavnú príčinu a uplatnené alebo prebiehajúce zmiernenie. Ashio to všetko zachytáva v štruktúrovanom formulári, ktorý sa mapuje na šablónu hlásenia vášho CSIRT, takže oznámenia prechádzajú z formulára priamo do pracovného postupu CSIRT bez ručného preformátovania.

Hlásenie incidentu podľa NIS2 je regulačná povinnosť oznámiť kybernetický incident príslušnému orgánu (vášmu národnému CSIRT a podľa potreby ENISA) v predpísaných lehotách. Reakcia na incident podľa NIS2 je interná technická činnosť zameraná na zvládnutie, odstránenie a obnovu po incidente. Oboje na seba nadväzuje: incident zistíte, spustíte reakciu, do 24 alebo 72 hodín ho nahlásite regulátorovi a do jedného mesiaca doplníte záverečnú správu. Ashio podporuje polovicu týkajúcu sa hlásenia (oznámenia, audit a štruktúrovaný vstup) a cez webhooky sa integruje s vašimi nástrojmi na reakciu na incidenty.

Hlásenie incidentov podľa NIS je povinnosť podľa pôvodnej smernice NIS (smernica (EÚ) 2016/1148), predchodcu NIS2, podľa ktorej prevádzkovatelia základných služieb a poskytovatelia digitálnych služieb oznamujú svojmu národnému CSIRT incidenty ovplyvňujúce kontinuitu základných služieb. Pôvodná povinnosť hlásenia bola ľahšia: oznámenia zvyčajne nemali pevnú lehotu, len požiadavku informovať bez zbytočného odkladu. NIS2 (smernica (EÚ) 2022/2555) nahrádza NIS a pridáva prísne lehoty včasného varovania do 24 hodín, oznámenia do 72 hodín a záverečnej správy do jedného mesiaca, ktoré platia pre širší okruh „základných“ a „dôležitých“ subjektov. Väčšina organizácií, ktoré patrili do rozsahu NIS, patrí aj do rozsahu NIS2.

Článok 23 smernice (EÚ) 2022/2555 je článok o hlásení incidentov. Ukladá základným a dôležitým subjektom zaslať národnému CSIRT alebo príslušnému orgánu včasné varovanie do 24 hodín od zistenia závažného incidentu, oznámenie do 72 hodín (počiatočné posúdenie závažnosti, indikátory kompromitácie, ak sú k dispozícii) a záverečnú správu do jedného mesiaca (hlavná príčina, opatrenia na zmiernenie, cezhraničný dosah). Do rozsahu patria len závažné incidenty a čas sa začína počítať od okamihu, keď ste sa o incidente dozvedeli, nie od ukončenia vyšetrovania. Článok 23 tiež ukladá subjektom bez zbytočného odkladu informovať príjemcov svojich služieb o opatreniach alebo nápravných krokoch, ktoré môžu prijať v reakcii na závažnú kybernetickú hrozbu. Ashio pokrýva internú polovicu: časovo označený a šifrovaný vstup, takže oznámenie, ktoré spúšťa odpočet, je zachytené v deň, keď príde, a dá sa exportovať ako dôkaz pre oznámenie CSIRT.