Пријава на инциденти според NIS2 во ЕУ: рокови и обврски

Што предизвикува пријава

Обврската се однесува на значајни инциденти. Според член 23(3) од Директивата, инцидентот е значаен ако предизвикал или може да предизвика сериозно оперативно нарушување на вашите услуги или финансиска загуба, или ако влијаел или може да влијае на други лица или организации со значителна материјална или нематеријална штета.

За дигиталните даватели, Регулативата за спроведување (ЕУ) 2024/2690 на Комисијата поставува конкретни прагови. Таа ги опфаќа давателите на DNS, регистрите на домени од највисоко ниво, давателите на облак, податочни центри и мрежи за испорака на содржини, давателите на управувани услуги и управувани безбедносни услуги, онлајн пазарите, пребарувачите, социјалните мрежи и давателите на доверливи услуги. Во другите сектори, националните органи можат да објават свои упатства.

Роковите за пријавување

Првите два рока течат од моментот кога ќе дознаете за значајниот инцидент, а завршниот извештај се брои од известувањето за инцидентот. Раното предупредување и известувањето за инцидентот се поднесуваат без непотребно одлагање; роковите подолу се најдоцнежниот можен момент. Давателите на доверливи услуги имаат пократок рок: за инциденти што влијаат на нивните доверливи услуги, известувањето за инцидентот се поднесува во рок од 24 часа.

Кога	Извештај	Што содржи
Во рок од 24 часа откако ќе дознаете	Рано предупредување	Дали се сомневате дека инцидентот е предизвикан со незаконски или злонамерни дејства и дали може да има прекугранично влијание
Во рок од 72 часа откако ќе дознаете	Известување за инцидентот	Ажурирање на раното предупредување, првична проценка на сериозноста и влијанието и индикатори за компромитирање, ако ги има
На барање	Привремен извештај	Ажурирања за состојбата што ги бара CSIRT или надлежниот орган
Во рок од еден месец од известувањето	Завршен извештај	Детален опис со сериозноста и влијанието, видот на заканата или основната причина, применетите и тековните мерки за ублажување и евентуалното прекугранично влијание
Ако инцидентот сè уште трае во тој момент	Извештај за напредокот	Се поднесува наместо завршниот извештај; завршниот следува во рок од еден месец од справувањето со инцидентот

Известување на клиентите и што добивате назад

Надлежниот орган не е единствениот што треба да знае. Кога е соодветно, без непотребно одлагање треба да ги известите примателите на вашите услуги за значајни инциденти што веројатно ќе влијаат на услугите што им ги давате (член 23(1)). Ако значајна сајбер закана може да влијае на нив, кажете им што можат сами да направат за да се заштитат и, кога е соодветно, информирајте ги и за самата закана (член 23(2)).

За возврат, CSIRT или надлежниот орган одговара на раното предупредување без непотребно одлагање, по можност во рок од 24 часа, со првична повратна информација и, ако побарате, со упатства за ублажување (член 23(5)).

Кога важат и DORA или GDPR

Финансиските субјекти опфатени со DORA, како банки, осигурителни компании и инвестициски друштва, ги пријавуваат големите инциденти поврзани со ИКТ според DORA наместо според NIS2, бидејќи DORA е секторскиот пропис за нив. Нивното првично известување се поднесува што е можно побрзо, во рок од четири часа откако инцидентот ќе се класифицира како голем, а најдоцна 24 часа откако ќе дознаат за него. Некои земји-членки бараат финансиските субјекти да ги доставуваат извештаите и до CSIRT според NIS2.

GDPR важи паралелно. Ако инцидентот вклучува повреда на личните податоци, контролорот ја пријавува до органот за заштита на личните податоци без непотребно одлагање и, кога е можно, во рок од 72 часа откако ќе дознае за неа, освен ако повредата веројатно не претставува ризик за правата и слободите на луѓето. Тоа важи без оглед на тоа дали инцидентот е значаен според NIS2. Еден напад со рансомвер затоа може да значи посебни пријави до различни органи, на различни обрасци.

Режим	Кого опфаќа	Прв рок	Понатамошни извештаи
Директива NIS2	Суштински и важни субјекти во ЕУ	Рано предупредување во рок од 24 часа откако ќе дознаете	Известување во рок од 72 часа; завршен извештај во рок од еден месец од известувањето
DORA	Банки, осигурителни компании, инвестициски друштва и други финансиски субјекти	Првично известување во рок од 4 часа од класификацијата на инцидентот како голем, најдоцна 24 часа откако ќе дознаете (ако подоцна се класифицира како голем, во рок од 4 часа од таа класификација)	Привремен извештај во рок од 72 часа од првичното известување; завршен извештај во рок од еден месец од последниот привремен извештај
GDPR	Контролорите на лични податоци (обработувачите го известуваат контролорот)	Пријава до органот за заштита на личните податоци без непотребно одлагање и, кога е можно, во рок од 72 часа откако ќе се дознае за повредата	Деталите може да се достават во фази; засегнатите лица се известуваат без непотребно одлагање ако ризикот за нив е висок
Законот на Македонија усогласен со NIS2	Јавни институции и опфатени суштински и важни субјекти	Прво известување во рок од 3 часа откако ќе дознаете	Рано предупредување по 24 часа, известување по 72 часа, завршен извештај еден месец по известувањето

Деталите ги одредуваат националните закони

NIS2 е директива, па секоја земја-членка ја пренесува во свој закон. Таа поставува минимални правила, што значи дека националниот закон може да биде построг, а токму националниот закон одредува кој CSIRT или орган ги прима пријавите, кој портал и кои обрасци се користат и како се оценува значајноста во секторите без прагови на ниво на ЕУ.

За некои дигитални даватели, меѓу кои давателите на облак, податочни центри и управувани безбедносни услуги, надлежен е органот во земјата-членка каде што е нивното главно седиште во ЕУ (член 26). Ако вашата група работи во повеќе земји, утврдете кој закон важи за секој субјект и чувајте ги сите контакт-точки и портали во вашиот план за инциденти. Надвор од ЕУ, Македонија го усогласи својот закон со NIS2 и додаде прво известување во рок од три часа.

Подгответе се пред да почне часовникот

Одредете кој одлучува дека инцидентот е значаен и дајте му заменик за ноќи, викенди и празници.
Чувајте ги порталот за пријавување, контактот на CSIRT и обрасците за секоја земја во која работите во вашиот план за инциденти.
Запишете го моментот кога сте дознале за инцидентот: од него се бројат раното предупредување и известувањето.
Водете тековна хронологија на случајот: што е откриено, одлучено и направено. Тоа е суровината за известувањето по 72 часа и за завршниот извештај.
Собирајте индикатори за компромитирање во текот на работата, бидејќи известувањето за инцидентот ги бара ако ги има.
Однапред одлучете како ќе ги известите клиентите чии услуги се засегнати.
Проверете дали истиот инцидент бара пријава и според GDPR или DORA и договорете кој ја поднесува секоја пријава.

Како помагаме

Управуван SOC 24/7: Мониторинг, детекција и одговор деноноќно, со тријажа поддржана од AI и аналитичари кои ја донесуваат конечната одлука.

Дознајте повеќе Закажете консултација

Често поставувани прашања

Од кога тече рокот од 24 часа?

Од моментот кога ќе дознаете за значајниот инцидент, а не од почетокот на нападот. Запишете го тој момент во записот за случајот, бидејќи од него се бројат и раното предупредување и известувањето за инцидентот.

Дали пријавуваме до ЕУ или до национален орган?

До национален. Секоја земја-членка ги одредува CSIRT-ите и надлежните органи што ги примаат пријавите, обично преку национален портал. За некои дигитални даватели надлежен е органот во земјата-членка каде што е нивното главно седиште во ЕУ.

Дали банките пријавуваат според NIS2 или DORA?

Според DORA. За финансиските субјекти што ги опфаќа, DORA е секторскиот пропис и неговите правила за пријавување инциденти се применуваат наместо оние од NIS2. Некои земји-членки бараат и копија од секој извештај до CSIRT одреден според NIS2.

Може ли управуван SOC да ги поднесе пријавите наместо нас?

Според NIS2 обврската останува кај вашата организација, а SOC може да ги подготви извештаите. Според DORA финансискиот субјект може да го довери самото пријавување на трета страна, но останува целосно одговорен (член 19(5)). Во двата случаи, хронологијата на случајот во SOC ви ги дава фактите што ги бара секој извештај: кога е откриен инцидентот, што е засегнато, индикаторите за компромитирање и преземените дејства.

Пријавување инциденти според NIS2 во ЕУ: рокови, преклопувања и подготовка