NIS2 की 24 और 72 घंटे की समय-सीमा के लिए घटना रिपोर्टिंग प्रक्रिया बनाना

NIS2 का अनुच्छेद 23 महत्वपूर्ण घटनाओं के लिए तीन रिपोर्टिंग समय-सीमाएँ तय करता है। जानकारी मिलने के 24 घंटे के भीतर प्रारंभिक चेतावनी, 72 घंटे के भीतर घटना सूचना, और एक महीने के भीतर अंतिम रिपोर्ट। ISO 27001 और अधिकांश फ़्रेमवर्क घटना प्रबंधन की आवश्यकता रखते हैं, लेकिन इनमें से कोई भी इस घड़ी के अनुसार नियामक को सूचित करना अनिवार्य नहीं करता। यहाँ बताया गया है कि इसका पालन करने वाली प्रक्रिया कैसे बनाएँ।

तीन रिपोर्टें

रिपोर्ट	समय-सीमा	सामग्री
प्रारंभिक चेतावनी	जानकारी मिलने के 24 घंटे	क्या घटना दुर्भावनापूर्ण होने का संदेह है, और क्या इसका सीमा-पार प्रभाव हो सकता है
घटना सूचना	जानकारी मिलने के 72 घंटे	एक अद्यतन, गंभीरता और प्रभाव का प्रारंभिक आकलन, और उपलब्ध होने पर समझौते के संकेतक
अंतिम रिपोर्ट	सूचना के एक महीने बाद	विस्तृत विवरण, संभावित मूल कारण, लागू और जारी शमन उपाय, सीमा-पार प्रभाव

प्राधिकरण मध्यवर्ती अद्यतन भी मांग सकता है, और यदि एक महीने पर भी घटना जारी है, तो आपको प्रगति रिपोर्ट और उसे संभालने के एक महीने के भीतर अंतिम रिपोर्ट देनी होगी।

चरण 1: अपने संगठन के लिए "महत्वपूर्ण" को परिभाषित करें

अनुच्छेद 23(3) की कसौटी व्यापक है: गंभीर परिचालन बाधा या वित्तीय हानि, या दूसरों को हुई पर्याप्त क्षति। कुछ डिजिटल प्रदाताओं के लिए, कार्यान्वयन विनियमन अधिक विशिष्ट मानदंड तय करता है। इन्हें एक छोटी निर्णय-सूची में बदलें जिसे आपका ऑन-कॉल लीड कुछ ही मिनटों में लागू कर सके, उदाहरणों के साथ, और स्पष्ट रूप से कहें कि संदेह होने पर आप प्रारंभिक चेतावनी भेजते हैं।

चरण 2: जिम्मेदार लोगों के नाम तय करें

• महत्व का निर्णय कौन लेता है (और किसी भी समय उसका एक उप-प्रतिनिधि)।
• CSIRT या प्राधिकरण को कौन जमा करता है, जिसके पास रिपोर्टिंग पोर्टल की पहुँच पहले से परखी गई हो।
• सामग्री की स्वीकृति कौन देता है, बिना स्वीकृति को अड़चन बनाए। प्रारंभिक चेतावनी में कम विवरण की आवश्यकता होती है।
• प्रबंधन को कौन सूचित करता है, जो अनुच्छेद 20 के तहत जवाबदेह हैं।

चरण 3: इसे अपनी घटना प्रक्रिया से जोड़ें

अपनी मौजूदा घटना प्रतिक्रिया योजना में एक रिपोर्टिंग निर्णय बिंदु जोड़ें: ट्रायेज के समय पूछें "क्या यह महत्वपूर्ण हो सकती है?", और वहीं से समय-घड़ी का लॉग शुरू करें। जानकारी मिलने का समय सावधानी से दर्ज करें; यही वह क्षण है जहाँ से हर समय-सीमा गिनी जाती है।

चरण 4: अन्य घड़ियों का समन्वय करें

एक महत्वपूर्ण घटना अक्सर एक से अधिक दायित्व उत्पन्न करती है:

• GDPR: यदि व्यक्तिगत डेटा का उल्लंघन हुआ है, तो 72 घंटे के भीतर पर्यवेक्षी प्राधिकरण को सूचित करें (अनुच्छेद 33)।
• अनुबंध: ग्राहक सूचना की शर्तें, जो अक्सर 24 से 72 घंटे की होती हैं।
• अन्य व्यवस्थाएँ: कार्ड डेटा के लिए भुगतान ब्रांड, क्षेत्रीय नियामक, और वित्तीय संस्थाओं के लिए DORA।

एक समन्वयक इस सूची का स्वामी होना चाहिए, ताकि कोई घड़ी इसलिए न छूटे कि किसी दूसरी टीम ने मान लिया कि वह उसकी जिम्मेदारी है।

चरण 5: टेम्पलेट और अभ्यास

तीनों रिपोर्टों के लिए आवश्यक फ़ील्ड वाले टेम्पलेट तैयार करें, जिनमें कंपनी का विवरण पहले से भरा हो। फिर कम से कम वर्ष में एक बार अभ्यास करें, आदर्श रूप से शुक्रवार की शाम से शुरू करके, और उसका समय नापें।

एक अभ्यास परिदृश्य

प्रक्रिया की जाँच के लिए, इस तरह का एक छोटा अभ्यास करें, आदर्श रूप से शुक्रवार की देर रात से शुरू करके:

1. घंटा 0: निगरानी प्रणाली एक फ़ाइल सर्वर पर असामान्य एन्क्रिप्शन गतिविधि दिखाती है, जो ग्राहक-सामने की सेवा को सहारा देता है।
2. घंटा 2: ऑन-कॉल इंजीनियर कई सर्वरों पर रैंसमवेयर की पुष्टि करता है; कुछ ग्राहकों के लिए सेवा बाधित है।
3. निर्णय बिंदु: क्या यह महत्वपूर्ण है? अपनी सूची लागू करें और निर्णय व समय दर्ज करें।
4. घंटा 24 से पहले: टेम्पलेट का उपयोग करके प्रारंभिक चेतावनी जमा करें, जिसमें दुर्भावनापूर्ण गतिविधि के संदेह और संभावित सीमा-पार प्रभाव का उल्लेख हो।
5. घंटा 72 से पहले: प्रारंभिक आकलन और समझौते के संकेतकों के साथ सूचना जमा करें।
6. समानांतर घड़ियाँ: क्या व्यक्तिगत डेटा GDPR सूचना को ट्रिगर करता है? क्या अनुबंधों में ग्राहक को सूचित करना आवश्यक है?

हर चरण का समय नापें। जो कमियाँ मिलें (किसके पास पोर्टल की पहुँच है, कौन स्वीकृति दे सकता है, टेम्पलेट कहाँ हैं), वही प्रक्रिया की असली कमज़ोरियाँ हैं।

रिकॉर्ड रखें

हर उस घटना का लॉग रखें जिसका महत्व आपने आँका, जिसमें वे घटनाएँ भी शामिल हों जिन्हें आपने रिपोर्ट न करने का निर्णय लिया, कारण सहित। पर्यवेक्षक पूछेंगे कि आप निर्णय कैसे लेते हैं, न कि केवल यह कि आपने क्या रिपोर्ट किया।

घटना प्रतिक्रिया और रिपोर्टिंग विषय पेज विभिन्न फ़्रेमवर्क में आवश्यकताओं की तुलना करते हैं, और NIS2 गाइड विनियमन के बाकी हिस्से को कवर करती है।

प्रश्न

NIS2 के तहत महत्वपूर्ण घटना किसे माना जाता है?

अनुच्छेद 23(3) के अनुसार, ऐसी घटना जिसने इकाई के लिए गंभीर परिचालन बाधा या वित्तीय हानि पैदा की है या कर सकती है, या जिसने दूसरों को प्रभावित किया है या कर सकती है, जिससे पर्याप्त भौतिक या अभौतिक क्षति हुई है या हो सकती है। कार्यान्वयन विनियमन कुछ डिजिटल प्रदाताओं के लिए अधिक विशिष्ट सीमाएँ तय करता है।

NIS2 के तहत रिपोर्ट किसे करें?

आपके सदस्य राज्य के NIS2 कानून के तहत नियुक्त राष्ट्रीय CSIRT या सक्षम प्राधिकरण। कुछ देश एकल रिपोर्टिंग बिंदु का उपयोग करते हैं।