विश्लेषण · ISO 27001 · PCI DSS · NIS2 · GDPR · CMMC

फ़्रेमवर्क में घटना प्रतिक्रिया आवश्यकताओं की तुलना

घटना प्रतिक्रिया उन पाँच विषयों में से एक है जिन्हें हर फ़्रेमवर्क अनिवार्य करता है। योजनाएँ एक जैसी दिखती हैं; रिपोर्टिंग की समय-सीमाएँ नहीं। यहाँ उनकी तुलना है।

Paul Gillet के अनुसार · 2026-08-18 · 3 मिनट पढ़ने का समय

यह पोस्ट उन 11 फ़्रेमवर्कों को कवर करती है जिन्हें इसके लिखे जाने के समय ControlMapping ने मानचित्रित किया था। तब से DORA, CPS 234, Cyber Essentials को 2026-10-27 पर जोड़ा गया है; उनके पृष्ठ और कवरेज मैट्रिक्स में वे शामिल हैं।

रिसोग्राफ़ शैली की प्रिंट, जिसमें बिना अंकों वाला घड़ी का चेहरा है, तीन सुइयों के साथ, और छोटे आकार चारों ओर लहरों की तरह फैलते हुए — योजनाएँ एक जैसी हैं। घड़ियाँ नहीं।

घटना प्रतिक्रिया साझा मूल ढांचे का हिस्सा है: हर फ़्रेमवर्क जिसकी हम मैपिंग करते हैं, उसकी माँग करता है। मूल आवश्यकता हर जगह एक जैसी है: एक योजना, ऐसे लोग जो अपनी भूमिकाएँ जानते हों, और पहचानने, नियंत्रित करने, पुनर्स्थापित करने और सीखने का तरीका। अंतर परीक्षण में है और सबसे बढ़कर इस बात में कि आपको किसे बताना है, और कितनी जल्दी।

कौन क्या माँगता है

फ़्रेमवर्क	घटना प्रतिक्रिया	लिंक
NIST CSF 2.0	RS.MA-01 RS.MA-02 RS.MA-03 RS.MA-04 ID.IM-04	विषय परिभाषा
ISO 27001	A.5.24 A.5.25 A.5.26	क्रॉसवॉक
CIS v8.1	CIS 17.1 CIS 17.4 CIS 17.5 CIS 17.7 CIS 17.9	क्रॉसवॉक
SOC 2	CC7.4 CC7.3	संपादकीय
PCI DSS	12.10.1 12.10.3 12.10.2 12.10.4	क्रॉसवॉक
CMMC	IR.L2-3.6.1 IR.L2-3.6.3	क्रॉसवॉक
800-53	IR-4 IR-8 IR-2 IR-3	क्रॉसवॉक
HIPAA	§164.308(a)(6)§164.308(a)(6)(ii)	क्रॉसवॉक
GDPR	Art.33(1)Art.33(5)	संपादकीय
NIS2	3.1 3.5	क्रॉसवॉक
Essential Eight	ISM-1819	संपादकीय

पूर्ण विवरण और हर संबंध का कारण: फ़्रेमवर्क में घटना प्रतिक्रिया →

योजना

हर फ़्रेमवर्क एक दस्तावेज़ीकृत घटना प्रतिक्रिया क्षमता की अपेक्षा करता है: ISO 27001 के घटना प्रबंधन योजना, मूल्यांकन और प्रतिक्रिया नियंत्रण (A.5.24 से A.5.26), SOC 2 का घटनाओं का मूल्यांकन और उनकी प्रतिक्रिया (CC7.3, CC7.4), PCI DSS की घटना प्रतिक्रिया योजना (12.10.1), CMMC का घटना हैंडलिंग (IR.L2-3.6.1), HIPAA की सुरक्षा घटना प्रक्रियाएँ (§164.308(a)(6)) और NIS2 की घटना हैंडलिंग नीति और प्रतिक्रिया (बिंदु 3.1 और 3.5)। सामग्री में एकरूपता है: भूमिकाएँ, गंभीरता स्तर, एस्केलेशन, नियंत्रण, उन्मूलन, पुनर्स्थापना और सीखे गए सबक।

परीक्षण

PCI DSS अकेला ऐसा फ़्रेमवर्क है जिसकी निश्चित आवृत्ति है: योजना की कम से कम सालाना समीक्षा और परीक्षण (12.10.2), और इसे चलाने वाले लोगों का प्रशिक्षण (12.10.4)। CMMC और SP 800-53 को आपके परिभाषित आवृत्ति पर क्षमता के परीक्षण की आवश्यकता है (IR.L2-3.6.3, IR-3)। CIS नियमित अभ्यास (17.7) माँगता है। ISO 27001 और SOC 2 कोई समय-सारणी तय किए बिना इस बात का साक्ष्य अपेक्षित करते हैं कि योजना काम करती है; वार्षिक टेबलटॉप अभ्यास आम उत्तर है।

रात में एक छोटे मीटिंग रूम की फ़ोटो, जिसमें खुले लैपटॉप, कॉफ़ी के कप, मिटा हुआ व्हाइटबोर्ड और कुर्सी पर टँगी जैकेट है — ज़्यादातर घटनाएँ दफ़्तर के समय में नहीं होतीं, और समय-सीमाएँ नहीं रुकतीं।

रिपोर्टिंग की समय-सीमाएँ

यहीं फ़्रेमवर्क सचमुच एक-दूसरे से अलग हैं:

फ़्रेमवर्क	किसे बताएँ	समय-सीमा
NIS2	CSIRT या सक्षम प्राधिकरण	24 घंटे के भीतर प्रारंभिक चेतावनी; 72 घंटे के भीतर सूचना; एक महीने के भीतर अंतिम रिपोर्ट
GDPR	पर्यवेक्षी प्राधिकरण (व्यक्तिगत डेटा उल्लंघन)	जानकारी मिलने के 72 घंटे के भीतर (अनुच्छेद 33)
GDPR	प्रभावित लोग, जब उनके लिए जोखिम अधिक हो	बिना अनुचित विलंब के (अनुच्छेद 34)
CMMC / DFARS	अमेरिकी रक्षा विभाग	72 घंटे के भीतर, DFARS खंड 252.204-7012 के तहत
HIPAA	प्रभावित व्यक्ति (उल्लंघन सूचना नियम)	बिना अनुचित विलंब के, 60 दिनों से अधिक नहीं
PCI DSS	भुगतान ब्रांड और अधिग्रहणकर्ता	जैसा हर ब्रांड की प्रक्रियाएँ माँगें (12.10.1)
ISO 27001, SOC 2	कोई नियामक समय-सीमा नहीं	आपकी योजना और अनुबंध तय करते हैं

एक घटना एक साथ कई घड़ियाँ शुरू कर सकती है। यूरोपीय संघ के किसी क्लाउड प्रदाता पर रैंसमवेयर हमला, जो व्यक्तिगत डेटा संग्रहीत करता है और कार्ड भुगतान संभालता है, एक ही घंटे में NIS2, GDPR और भुगतान ब्रांड की प्रक्रियाएँ शुरू कर सकता है।

मुख्य निष्कर्ष

हर फ़्रेमवर्क के लिए घटना प्रतिक्रिया योजना अनिवार्य है; सामग्री एकरूप है।
रिपोर्टिंग की समय-सीमाएँ काफ़ी भिन्न हैं, NIS2 के 24 घंटे से HIPAA के 60 दिनों तक।
एक घटना कई घड़ियाँ शुरू कर सकती है; इन सबका समन्वय एक ही समन्वयक करे।

क्या करें

एक योजना लिखें जो सबसे सख्त सामग्री आवश्यकताओं को पूरा करे, और हर लागू सूचना दायित्व को उसकी समय-सीमा, प्राप्तकर्ता और जिम्मेदार व्यक्ति के साथ सूचीबद्ध करें।
तय करें कि महत्त्व कौन आँकेगा। NIS2 की 24 घंटे की घड़ी तब शुरू होती है जब आपको किसी महत्वपूर्ण घटना की जानकारी मिलती है; यह निर्णय सोमवार तक नहीं रुक सकता।
इसका कम से कम सालाना परीक्षण करें (PCI का नियम एक अच्छा डिफ़ॉल्ट है), जिसमें कार्यालय समय के बाहर का परिदृश्य भी शामिल हो।
हर घटना और उल्लंघन का रिकॉर्ड रखें, चाहे उसकी सूचना दी गई हो या नहीं: GDPR इसकी माँग करता है (अनुच्छेद 33(5)), और हर ऑडिटर इसे पूछेगा।

घटना प्रतिक्रिया विषय पृष्ठ हर आवश्यकता को उसके स्रोत के साथ सूचीबद्ध करता है; रिपोर्टिंग विषय सूचना को कवर करता है। हमारी NIS2 गाइड रिपोर्टिंग प्रक्रिया को विस्तार से बताती है।

प्रश्न

NIS2 के तहत घटना रिपोर्टिंग की समय-सीमाएँ क्या हैं?

किसी महत्वपूर्ण घटना की जानकारी मिलने के 24 घंटे के भीतर प्रारंभिक चेतावनी, 72 घंटे के भीतर घटना सूचना, और एक महीने के भीतर अंतिम रिपोर्ट।

घटना प्रतिक्रिया योजना का कितनी बार परीक्षण होना चाहिए?

PCI DSS के लिए कम से कम सालाना समीक्षा और परीक्षण आवश्यक है (12.10.2)। CMMC और SP 800-53 को घटना प्रतिक्रिया क्षमता के परीक्षण की आवश्यकता है (IR.L2-3.6.3, IR-3)। ISO 27001 और SOC 2 परीक्षण की अपेक्षा करते हैं, लेकिन आवृत्ति आपके विवेक पर छोड़ते हैं।

क्या ISO 27001 में घटना रिपोर्टिंग की कोई समय-सीमा तय है?

नहीं। ISO 27001 घटना प्रबंधन की माँग करता है, जिसमें घटनाओं की आंतरिक रिपोर्टिंग और प्रतिक्रिया शामिल है, लेकिन कोई नियामक सूचना समय-सीमा नहीं है। समय-सीमाएँ कानून (NIS2, GDPR), अनुबंधों और क्षेत्र-विशेष के नियमों से आती हैं।

2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · ढीले तौर पर संबंधित केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।