Czym jest incydent poważny?
Incydent poważny (ang. significant incident) to zdarzenie, które ma istotny wpływ na świadczenie usług przez podmiot kluczowy lub ważny. Zgodnie z art. 2 pkt 7 ustawy, jest to incydent, który powoduje lub może spowodować: (1) poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, (2) straty finansowe dla tego podmiotu, lub (3) wpływ na inne osoby fizyczne, osoby prawne lub jednostki organizacyjne nieposiadające osobowości prawnej przez wywołanie poważnej szkody materialnej lub niematerialnej. Wystarczy spełnienie jednej z tych przesłanek.
Trzyetapowy model raportowania
Ustawa wprowadza trzyetapowy model raportowania incydentów poważnych, wzorowany na wymogach dyrektywy NIS 2. Każdy etap ma ściśle określony termin i zakres wymaganych informacji. Pełny kalendarz obowiązków znajdziesz w artykule o terminach wdrożenia KSC.
| Etap | Termin | Zakres informacji |
|---|---|---|
| Wczesne ostrzeżenie (art. 11 ust. 1 pkt 4) | 24 godziny od wykrycia | Dane podmiotu, osoby zgłaszającej, moment wystąpienia i wykrycia, czas trwania, wskazanie czy działanie bezprawne, czy dotyczy innych państw UE |
| Zgłoszenie incydentu poważnego (art. 11 ust. 1 pkt 4a) | 72 godziny od wykrycia | Opis wpływu na usługę (liczba użytkowników, zasięg geograficzny), przyczyny i przebieg, podjęte działania zapobiegawcze i naprawcze, aktualizacja danych z wczesnego ostrzeżenia |
| Sprawozdanie końcowe (art. 11 ust. 1 pkt 4c) | 1 miesiąc od zgłoszenia pełnego | Szczegółowy opis incydentu i szkód, rodzaj zagrożenia lub przyczyna, zastosowane środki ograniczające ryzyko, transgraniczne skutki (art. 12a) |
Właściwe zespoły CSIRT
Zgodnie z art. 11 ust. 1 pkt 4 i 4a ustawy, wczesne ostrzeżenie oraz zgłoszenie incydentu poważnego kierowane są do właściwego CSIRT sektorowego — tj. zespołu reagowania działającego na poziomie danego sektora lub podsektora, ustanowionego przez organ właściwy do spraw cyberbezpieczeństwa. CSIRT sektorowy jest pierwszym i bezpośrednim adresatem zgłoszeń. CSIRT-y poziomu krajowego (GOV, NASK, MON) angażują się w obsługę incydentów poważnych i krytycznych, ale nie są bezpośrednimi adresatami zgłoszeń.
| Poziom | Zespół CSIRT | Rola |
|---|---|---|
| Sektorowy | CSIRT sektorowy (ustanawiany przez organ właściwy — art. 44 KSC) | Bezpośredni adresat wczesnych ostrzeżeń (24h), zgłoszeń (72h) i sprawozdań (okresowych i końcowych); przekazuje zgłoszenie do CSIRT krajowego w ciągu 8 godzin (art. 44 ust. 1a) |
| Krajowy | CSIRT GOV (ABW) | Koordynacja oraz bezpośrednia obsługa incydentów dla podmiotów wskazanych w art. 26 ust. 7 KSC — m.in. organy władzy publicznej, KPRM, NBP, BGK oraz operatorzy infrastruktury krytycznej w rozumieniu ustawy o zarządzaniu kryzysowym |
| Krajowy | CSIRT NASK (NASK-PIB) | Koordynacja oraz bezpośrednia obsługa incydentów dla podmiotów wskazanych w art. 26 ust. 6 KSC — m.in. PK/PW spoza zakresu CSIRT MON i CSIRT GOV (np. JST, prywatne PK/PW, sektor zdrowia, energia, woda, transport) |
| Krajowy | CSIRT MON (MON) | Koordynacja oraz bezpośrednia obsługa incydentów dla podmiotów wskazanych w art. 26 ust. 5 KSC — podmioty podległe MON i przedsiębiorcy o szczególnym znaczeniu gospodarczo-obronnym |
Procedura wewnętrzna i najczęstsze błędy
Skuteczne raportowanie incydentów wymaga wcześniejszego opracowania wewnętrznej procedury reagowania. Procedura powinna jasno określać role i odpowiedzialności, kanały komunikacji oraz wzory formularzy zgłoszeniowych. Warto także zapoznać się z zasadami wymiany informacji o cyberzagrożeniach między podmiotami KSC.