Formularz CSIRT NASK — jak wypełnić zgłoszenie incydentu

Co przygotować przed zgłoszeniem

Zgłoszenie incydentu poważnego do właściwego CSIRT sektorowego to ustawowy obowiązek podmiotu kluczowego i ważnego (art. 11 ust. 1 pkt 4-4c ustawy o KSC). Zanim wypełnisz formularz, upewnij się, że masz dostęp do danych operacyjnych — brak jednej z kluczowych informacji nie zwalnia z obowiązku zgłoszenia w terminie, ale może narazić na kolejne pytania ze strony CSIRT.

1. Moment wykrycia incydentu (timestamp z dokładnością do minuty) — od tego biegnie zegar 24h/72h.
2. Lista systemów objętych incydentem (identyfikator systemu, klasyfikacja wrażliwości, liczba użytkowników).
3. Wstępna ocena wpływu na usługę kluczową/ważną (czy jest przerwa w świadczeniu, jaka liczba dotkniętych odbiorców, zasięg geograficzny).
4. Dane osoby zgłaszającej — imię, nazwisko, stanowisko, telefon kontaktowy 24/7, e-mail służbowy.
5. NIP i REGON podmiotu oraz numer wpisu w wykazie S46 (jeśli przyznany).
6. Wstępne informacje o wektorze ataku (jeśli znany) — phishing, exploit, insider, ransomware, DDoS, inne.

Wczesne ostrzeżenie (24h) — pole po polu

Wczesne ostrzeżenie (art. 11 ust. 1 pkt 4 KSC) to pierwszy, szybki komunikat do CSIRT — ma służyć koordynacji reakcji i oszacowaniu skali zagrożenia. Formularz wczesnego ostrzeżenia zawiera minimalny zakres danych, bez wymogu pełnej diagnozy przyczyn.

Zgłoszenie pełne (72h) — rozszerzony zakres

Zgłoszenie pełne (art. 11 ust. 1 pkt 4a KSC) rozszerza zakres o informacje o przebiegu incydentu, podjętych działaniach i wpływie na usługę. Termin: 72 godziny od wykrycia. Jeśli wcześniej złożyłeś wczesne ostrzeżenie — zgłoszenie pełne je aktualizuje, nie zastępuje.

1. Aktualizacja wstępnej klasyfikacji — czy potwierdza się typ ataku, wektor, motywacja sprawców.
2. Szczegółowy opis przebiegu incydentu — chronologia: wykrycie, izolacja, eskalacja, kontakt z zespołem reagowania.
3. Wpływ techniczny — liczba dotkniętych systemów, utrata danych (tak/nie/częściowa), degradacja wydajności, dostępność.
4. Wpływ biznesowy — liczba dotkniętych użytkowników, zasięg geograficzny, szacowany czas przerwy w świadczeniu usługi.
5. Podjęte działania zaradcze — izolacja systemów, odłączenie od sieci, przywrócenie z kopii, wymiana kluczy, kontakt z klientami.
6. Ocena ryzyka kontynuacji — czy sprawcy nadal mają dostęp, jakie są ścieżki eskalacji, jakie dodatkowe systemy mogą zostać naruszone.
7. Wnioski wstępne — hipotezy dot. przyczyny źródłowej (root cause), jeżeli są już dostępne.

Sprawozdanie końcowe (1 miesiąc)

Sprawozdanie końcowe (art. 11 ust. 1 pkt 4c KSC) to pełna dokumentacja incydentu — przyczyny źródłowe, ocena skutków, wdrożone środki zapobiegawcze. Termin: 1 miesiąc od zgłoszenia pełnego lub — jeżeli incydent nie został rozwiązany w tym terminie — raport o postępach, a raport końcowy w ciągu 1 miesiąca od zakończenia obsługi.

• Szczegółowy opis incydentu: wektor ataku, wykorzystana podatność/technika (TTP według MITRE ATT&CK), chronologia zdarzeń, narzędzia sprawców.
• Rodzaj zagrożenia: zewnętrzny atak (APT/cybercrime/haktywiści), insider, błąd ludzki, awaria techniczna, łańcuch dostaw.
• Szkody i skutki: straty finansowe (szacowane), utracone dane, utracona dostępność (RTO, RPO), wpływ reputacyjny, koszty reakcji.
• Zastosowane środki ograniczające ryzyko: izolacja, patch, wymiana klucza, zmiana polityki, dodatkowa segmentacja, szkolenia.
• Skutki transgraniczne (art. 12a KSC): czy incydent miał wpływ na podmioty lub osoby w innych państwach UE i jakie były działania koordynacyjne.
• Wnioski i rekomendacje: co zmieniono w SZBI, jakie kontrole dodano, jakie szkolenia przeprowadzono, jak zmieniono ocenę ryzyka.

Kanały zgłoszenia i uwierzytelnianie

Zgłoszenie można złożyć na trzy sposoby: (1) przez portal incydent.cert.pl — wymaga uwierzytelnienia profilem zaufanym, podpisem kwalifikowanym lub e-Dowodem, (2) przez formularz PDF z BIP CSIRT NASK — wypełniony i podpisany elektronicznie, wysłany mailem lub przez ePUAP/eDoręczenia, (3) telefonicznie do CSIRT sektorowego z niezwłocznym potwierdzeniem pisemnym. Preferowana jest droga elektroniczna przez portal — zapewnia rejestrację czasu zgłoszenia i automatyczne potwierdzenie.

Najczęstsze błędy przy zgłoszeniu

W praktyce zespoły CSIRT zgłaszają powtarzające się błędy, które utrudniają obsługę zgłoszenia i mogą prowadzić do wtórnych sankcji (kara za niezgodne ze wzorem zgłoszenie incydentu — art. 73 ust. 1b KSC).

• Zbyt późne zgłoszenie — zegar biegnie od wykrycia, nie od „zrozumienia skali”. Przy wątpliwościach — zgłoś wcześnie.
• Brak danych kontaktowych 24/7 — CSIRT musi mieć możliwość dzwonienia w nocy i w weekendy. Mail zbiorowy to za mało.
• Sklasyfikowanie jako incydent „zwykły” mimo spełnienia przesłanek incydentu poważnego (art. 2 pkt 7) — skutkuje karą za brak zgłoszenia.
• Pomieszanie ścieżek KSC i RODO — naruszenie danych osobowych wymaga też zgłoszenia do UODO (72h, art. 33 RODO), ale to osobna procedura.
• Brak aktualizacji zgłoszenia gdy sytuacja ewoluuje — obowiązek raportowania postępów (art. 11 ust. 1 pkt 4b).
• Niepoprawne dane podmiotu — w szczególności brak numeru wpisu S46 lub niewłaściwy sektor — generuje przekierowania i opóźnia reakcję.
• Ujawnienie zgłoszenia publicznie przed koordynacją z CSIRT — może naruszyć procedury zbiorowej reakcji na zagrożenie i ujawnić TTP sprawcom.