Menyusun prosedur pelaporan insiden untuk tenggat 24 dan 72 jam NIS2

Pasal 23 NIS2 menetapkan tiga tenggat pelaporan untuk insiden signifikan. Peringatan dini dalam 24 jam sejak Anda mengetahui insiden, pemberitahuan insiden dalam 72 jam, dan laporan akhir dalam satu bulan. ISO 27001 dan sebagian besar kerangka kerja mensyaratkan manajemen insiden, tetapi tidak ada yang mewajibkan pemberitahuan kepada regulator dalam jangka waktu tersebut. Berikut cara menyusun prosedur yang memenuhinya.

Tiga laporan

Laporan	Tenggat	Konten
Peringatan dini	24 jam sejak diketahui	Apakah insiden diduga bersifat jahat, dan apakah insiden tersebut berpotensi berdampak lintas batas
Pemberitahuan insiden	72 jam sejak diketahui	Pembaruan, penilaian awal atas tingkat keparahan dan dampak, serta indikator kompromi jika tersedia
Laporan akhir	Satu bulan setelah pemberitahuan	Deskripsi rinci, kemungkinan akar penyebab, mitigasi yang diterapkan dan yang masih berjalan, dampak lintas batas

Otoritas juga dapat meminta pembaruan berkala, dan jika insiden masih berlangsung setelah satu bulan, Anda memberikan laporan kemajuan dan laporan akhir dalam satu bulan sejak penanganan.

Langkah 1: tentukan "signifikan" bagi organisasi Anda

Uji dalam Pasal 23(3) bersifat luas: gangguan operasional yang serius atau kerugian finansial, atau kerusakan besar bagi pihak lain. Untuk penyedia digital tertentu, Peraturan Pelaksana menetapkan kriteria yang lebih spesifik. Ubah kriteria tersebut menjadi daftar periksa keputusan singkat yang dapat diterapkan oleh pimpinan tugas siaga Anda dalam hitungan menit, lengkap dengan contoh, dan nyatakan dengan jelas bahwa jika ragu, Anda mengirimkan peringatan dini.

Langkah 2: tetapkan orangnya

• Siapa yang memutuskan signifikansi (dan wakilnya, kapan pun waktunya).
• Siapa yang mengirimkan ke CSIRT atau otoritas, dengan akses ke portal pelaporan yang sudah diuji sebelumnya.
• Siapa yang menyetujui konten, tanpa menjadikan persetujuan sebagai hambatan. Peringatan dini hanya memerlukan sedikit detail.
• Siapa yang memberi tahu manajemen, yang berdasarkan Pasal 20 bertanggung jawab.

Langkah 3: hubungkan dengan proses insiden Anda

Tambahkan titik keputusan pelaporan ke rencana respons insiden yang sudah ada: pada tahap triase, tanyakan "apakah ini bisa signifikan?", dan mulai catat waktu dimulainya tenggat di sana. Catat waktu saat Anda mengetahui insiden dengan cermat; saat itulah setiap tenggat dihitung.

Langkah 4: koordinasikan tenggat lainnya

Sebuah insiden signifikan sering memicu lebih dari satu kewajiban:

• GDPR: beritahukan otoritas pengawas dalam 72 jam jika data pribadi dilanggar (Pasal 33).
• Kontrak: ketentuan pemberitahuan kepada pelanggan, sering kali 24 hingga 72 jam.
• Rezim lain: merek pembayaran untuk data kartu, regulator sektor, dan DORA untuk entitas keuangan.

Satu koordinator sebaiknya memegang daftar ini, agar tidak ada tenggat yang terlewat karena tim lain mengira itu bukan tanggung jawabnya.

Langkah 5: templat dan latihan

Siapkan templat untuk ketiga laporan dengan kolom yang diperlukan, yang sudah terisi detail perusahaan. Lalu jalankan latihan setidaknya setahun sekali, idealnya dimulai pada Jumat malam, dan ukur waktunya.

Skenario latihan

Untuk menguji prosedur, jalankan latihan singkat seperti ini, idealnya dimulai larut malam pada hari Jumat:

1. Jam 0: pemantauan mendeteksi aktivitas enkripsi yang tidak biasa pada server berkas yang mendukung layanan yang dihadapi pelanggan.
2. Jam 2: insinyur siaga memastikan ransomware pada beberapa server; layanan menurun bagi sebagian pelanggan.
3. Titik keputusan: apakah ini signifikan? Terapkan daftar periksa Anda dan catat keputusan beserta waktunya.
4. Sebelum jam 24: kirim peringatan dini menggunakan templat, dengan mencatat dugaan aktivitas jahat dan kemungkinan dampak lintas batas.
5. Sebelum jam 72: kirim pemberitahuan dengan penilaian awal dan indikator kompromi.
6. Tenggat paralel: apakah data pribadi memicu pemberitahuan GDPR? Apakah kontrak mensyaratkan pemberitahuan kepada pelanggan?

Ukur waktu setiap langkah. Celah yang Anda temukan (siapa yang memiliki akses portal, siapa yang dapat menyetujui, di mana templatnya disimpan) adalah kelemahan prosedur yang sebenarnya.

Simpan catatan

Catat setiap insiden yang Anda nilai signifikansinya, termasuk yang Anda putuskan untuk tidak dilaporkan, beserta alasannya. Auditor akan menanyakan bagaimana Anda memutuskan, bukan hanya apa yang Anda laporkan.

Halaman topik Respons Insiden dan Pelaporan membandingkan persyaratan di berbagai kerangka kerja, dan panduan NIS2 membahas sisa regulasinya.

Pertanyaan

Apa yang termasuk insiden signifikan menurut NIS2?

Berdasarkan Pasal 23(3), insiden yang telah menimbulkan atau dapat menimbulkan gangguan operasional yang serius atau kerugian finansial bagi entitas, atau yang telah berdampak atau dapat berdampak pada pihak lain dengan menyebabkan kerusakan material atau non-material yang signifikan. Peraturan Pelaksana menetapkan ambang batas yang lebih spesifik untuk penyedia digital tertentu.

Kepada siapa Anda melapor berdasarkan NIS2?

CSIRT nasional atau otoritas kompeten yang ditunjuk berdasarkan undang-undang NIS2 di negara anggota Anda. Beberapa negara menggunakan satu titik pelaporan tunggal.