Построение процедуры отчётности об инцидентах для сроков NIS2 в 24 и 72 часа

Статья 23 NIS2 устанавливает три срока подачи отчётности о существенных инцидентах. Предварительное уведомление в течение 24 часов с момента осведомлённости, уведомление об инциденте в течение 72 часов и итоговый отчёт в течение одного месяца. ISO 27001 и большинство стандартов требуют управления инцидентами, но ни один не требует уведомлять регулятора по такому графику. Ниже описано, как построить процедуру, которая это обеспечивает.

Три отчёта

Отчёт	Срок	Содержание
Предварительное уведомление	24 часа с момента осведомлённости	Предположительно ли инцидент вызван злонамеренными действиями и может ли он иметь трансграничные последствия
Уведомление об инциденте	72 часа с момента осведомлённости	Обновление, первоначальная оценка серьёзности и воздействия, а также индикаторы компрометации, если они доступны
Итоговый отчёт	Один месяц после уведомления	Подробное описание, вероятная первопричина, применённые и продолжающиеся меры по смягчению, трансграничное воздействие

Орган власти также может запросить промежуточные обновления. Если инцидент всё ещё продолжается по истечении месяца, вы представляете отчёт о ходе работ, а итоговый отчёт — в течение месяца после завершения работ по устранению.

Шаг 1: определите, что «существенный» означает для вашей организации

Критерий статьи 23(3) широкий: серьёзное нарушение операционной деятельности или финансовый ущерб либо значительный ущерб другим лицам. Для отдельных цифровых провайдеров Имплементирующий регламент устанавливает более конкретные критерии. Превратите их в короткий контрольный перечень для принятия решения, которым сможет воспользоваться дежурный руководитель за считанные минуты, с примерами, и явно укажите, что при сомнениях отправляется предварительное уведомление.

Шаг 2: назначьте ответственных

• Кто принимает решение о существенности (и заместитель, в любое время суток).
• Кто подаёт отчёт в CSIRT или орган власти, с заранее проверенным доступом к порталу подачи.
• Кто утверждает содержание, не превращая утверждение в узкое место. Предварительное уведомление требует мало деталей.
• Кто информирует руководство, которое согласно статье 20 несёт ответственность.

Шаг 3: свяжите это с процессом управления инцидентами

Добавьте точку принятия решения о необходимости отчётности в существующий план реагирования на инциденты: на этапе сортировки спросите «может ли это быть существенным?» и начните журнал отсчёта срока именно там. Тщательно фиксируйте время осведомлённости: именно от этого момента отсчитывается каждый срок.

Шаг 4: согласуйте другие сроки

Существенный инцидент часто влечёт более одной обязанности:

• GDPR: уведомить надзорный орган в течение 72 часов, если нарушена безопасность персональных данных (статья 33).
• Договоры: условия уведомления клиентов, часто от 24 до 72 часов.
• Другие режимы: платёжные системы для данных карт, отраслевые регуляторы и DORA для финансовых организаций.

Один координатор должен вести этот перечень, чтобы ни один срок не был пропущен из-за того, что другая команда считала его своим.

Шаг 5: шаблоны и практика

Подготовьте шаблоны для каждого из трёх отчётов с обязательными полями, предварительно заполненными реквизитами компании. Затем проводите учения не реже раза в год, желательно начиная в пятницу вечером, и засекайте время.

Практический сценарий

Чтобы проверить процедуру, проведите короткое учение такого рода, желательно начиная поздно вечером в пятницу:

1. Час 0: мониторинг фиксирует необычную активность шифрования на файловом сервере, который обслуживает клиентский сервис.
2. Час 2: дежурный инженер подтверждает программу-вымогатель на нескольких серверах; сервис деградирует для части клиентов.
3. Точка решения: является ли это существенным? Примените контрольный перечень и зафиксируйте решение и время.
4. До истечения 24 часов: подайте предварительное уведомление по шаблону, указав предполагаемую злонамеренную активность и возможное трансграничное воздействие.
5. До истечения 72 часов: подайте уведомление с первоначальной оценкой и индикаторами компрометации.
6. Параллельные сроки: требует ли персональные данные уведомления по GDPR? Требуют ли договоры уведомления клиентов?

Засеките время на каждом шаге. Пробелы, которые вы найдёте (кто имеет доступ к порталу, кто может утвердить, где лежат шаблоны), и есть реальные слабые места процедуры.

Ведите записи

Фиксируйте каждый инцидент, который вы оценивали на существенность, включая те, которые решили не сообщать, с обоснованием. Надзорные органы спросят, как вы принимаете решения, а не только о том, что вы сообщили.

Тематические страницы Incident Response и Reporting сравнивают требования по стандартам, а руководство по NIS2 охватывает остальную часть регламента.

Вопросы

Что считается существенным инцидентом по NIS2?

По статье 23(3) это инцидент, который вызвал или может вызвать серьёзное нарушение операционной деятельности или финансовый ущерб для организации, либо который затронул или может затронуть других лиц, причинив значительный материальный или нематериальный ущерб. Имплементирующий регламент устанавливает более конкретные пороговые значения для отдельных цифровых провайдеров.

Кому сообщать по NIS2?

Национальному CSIRT или компетентному органу, назначенному в соответствии с законом вашего государства-члена о NIS2. В некоторых странах используется единая точка подачи отчётности.