Skyldur til að tilkynna um netöryggisatvik: Hvernig á að fylgja þeim

Fyrirtækið þitt greinir óvenjulega netvirkni. Upplýsingatækniteymið þitt rannsakar og finnur óheimilan aðgang að gögnum viðskiptavina. Þú hefur taumhald á ógninni. Nú kemur að brýnni spurningu: þarftu að tilkynna þetta til yfirvalda? Hverjum nákvæmlega? Hvaða upplýsingar gefur þú upp? Hversu mikinn tíma hefur þú?

Samkvæmt NIS2 og hollenskum lögum verða margar stofnanir að tilkynna netöryggisatvik til stjórnvalda innan strangs tímafrests. Þú hefur venjulega á bilinu 24 til 72 klukkustundir eftir að atvikið var uppgötvað. Reglugerðirnar tilgreina hvaða yfirvald tekur við tilkynningunni þinni, hvaða upplýsingar þú verður að veita og kröfur um snið. Ef þú missir af frestinum eða tilkynnir til rangrar aðila áttu yfir höfði þér veruleg sektarábyrgð, aðgerða og lagalega ábyrgð sem getur náð lengra en upphaflega atvikið sjálft.

Þessi handbók sýnir þér nákvæmlega hvernig þú getur uppfyllt tilkynningarskyldu þína. Þú munt læra hvaða lög gilda um fyrirtækið þitt, hvenær atvik krefst tilkynningar, hvaða yfirvöldum á að tilkynna á hverju stigi, hvaða upplýsingar hver tilkynning þarfnast og hvernig á að byggja upp verklagsreglur sem virka í raun. Við munum sleppa lagalegu fagmáli og einbeita okkur að hagnýtum skrefum sem þú getur gripið til núna til að fylgja reglum og vernda fyrirtækið þitt.

Hverjar eru skyldur þínar til að tilkynna netöryggisatvik

Skyldur þínar varðandi tilkynningar um netöryggisatvik eru háðar stærð fyrirtækisins, geira þess og þjónustu sem það veitir. Nauðsynlegir aðilar (orka, samgöngur, bankastarfsemi, heilbrigðisþjónusta, mikilvægur innviður) og mikilvægir aðilar (póstþjónusta, sorphirða, stafrænir þjónustuaðilar, matvælaframleiðsla) eru skyltir að tilkynna samkvæmt NIS2. Ef þú rekur mikilvægan innviði eða stafræna þjónustu fyrir hollenska neytendur, þá fellur þú næstum örugglega undir þessar reglur.

Þrjú skýrslugerðarstig sem þú verður að ljúka

Þú stendur frammi fyrir þremur aðskildum tilkynningarskyldum með mismunandi frestum. Fyrsta skylda þín hefst innan sólarhrings frá því að alvarlegt atvik greinist: þú sendir snemmbúna viðvörun til CSIRT (viðbragðsteymis fyrir tölvuöryggisatvik) eða lögbærs yfirvalds. Þessi fyrsta tilkynning merkir atvikið og gefur til kynna hvort þú grunar illgjarn athæfi eða áhrif yfir landamæri.

Innan 72 klukkustunda sendir þú tilkynningu um atvikið. Þessi skýrsla inniheldur upphaflegt mat þitt á alvarleika, áhrifum, kerfum sem hafa orðið fyrir áhrifum og tiltækum vísbendingum um brot. Þú veitir tæknilegar upplýsingar sem hjálpa yfirvöldum að skilja umfang og eðli brotsins.

Fyrirtæki sem bregðast þessum frestum geta átt yfir höfði sér sektir allt að 10 milljónum evra eða 2% af alþjóðlegri ársveltu samkvæmt NIS2, hvort sem er hærra.

Lokaskýrsla þín berst innan eins mánaðar frá tilkynningu um atvikið. Þetta ítarlega skjal lýsir öllu umfangi atviksins, greiningu á rót vandans, mótvægisaðgerðum sem þú hefur innleitt og áhrifum yfir landamæri. Ef þú ert enn að vinna úr atvikinu þegar mánuðurinn rennur út skaltu senda inn framvinduskýrslu og síðan lokaskýrslu innan eins mánaðar frá því að málið var leyst.

Viðbótarskyldur umfram upphaflega skýrslugjöf

Þú verður einnig að upplýsa viðkomandi aðila þegar verulegt atvik hefur áhrif á þjónustuþega. Þessi tilkynning berst án ótilhlýðilegrar tafar og inniheldur hagnýt skref sem þjónustuþegar geta gripið til til að vernda sig. Fyrir traustþjónustuaðila styttist 72 klukkustunda glugginn í 24 klukkustundir fyrir atvik sem hafa áhrif á traustþjónustu.

CSIRT-stofnunin þín eða lögbær yfirvöld bregðast við innan sólarhrings frá því að hún móttekur viðvörunina þína og veita fyrstu endurgjöf og leiðbeiningar um mótvægisaðgerðir.

Skref 1. Finndu út hvaða lög ESB og hollenskt gildir um þig

Þú þarft að ákvarða hvaða regluverk gildir um skyldur þínar varðandi tilkynningar um netöryggisatvik áður en atvik á sér stað. NIS2 (tilskipunin um net- og upplýsingaöryggi) gildir víða um Holland, en DORA (lög um stafræna rekstrarþol) og sérstakar hollenskar innleiðingarreglur skapa viðbótarskyldur fyrir ákveðna geira. Byrjaðu á að meta fyrirtækið þitt út frá viðmiðum hvers ramma.

Athugaðu hvort NIS2 eigi við um fyrirtækið þitt

NIS2 á við ef þú telst nauðsynlegur aðili eða mikilvægur aðili . Nauðsynlegir aðilar eru meðal annars stofnanir í orkumálum, samgöngum, bankastarfsemi, fjármálainnviðum, heilbrigðismálum, drykkjarvatni, skólpi, stafrænum innviðum, opinberri stjórnsýslu og geimferðum. Mikilvægir aðilar eru meðal annars póstþjónusta, meðhöndlun úrgangs, efnaiðnaður, matvælaframleiðsla, framleiðslufyrirtæki, stafrænir þjónustuaðilar og rannsóknarstofnanir.

Stærð fyrirtækisins skiptir aðeins máli fyrir stafræna þjónustuaðila (DSP). Þú fellur undir NIS2 sem DSP ef þú rekur netmarkað, skýjaþjónustu eða leitarvél með að minnsta kosti 50 starfsmönnum og annað hvort 10 milljónir evra í ársveltu eða 10 milljónir evra í heildareignum . Allir aðrir nauðsynlegir og mikilvægir aðilar standa frammi fyrir skyldum óháð stærð.

Ef þú rekur mikilvæga innviði eða varst áður tilnefndur samkvæmt gömlu NIS-tilskipuninni (Wbni), þá átt þú sjálfkrafa rétt á lögum samkvæmt NIS2.

Hollenska ríkisstjórnin heldur utan um skrá yfir tilnefnda aðila. Hafðu samband við lögbæra yfirvöld í þínum geira (skýrsla um orku og stafræna innviði til RDI; skýrsla um fjármálaþjónustu til AFM og DNB; skýrsla um heilbrigðisþjónustu til IGJ) til að staðfesta stöðu þína. Þú ættir að staðfesta þetta fyrir janúar 2026 þegar hert framfylgd hefst.

Kannaðu hvort DORA nái yfir fjármálaþjónustu þína

DORA gildir sérstaklega um fjármálastofnanir og upplýsinga- og samskiptatækniþjónustuaðila sem þjóna þeim. Þú fellur undir DORA ef þú starfar sem lánastofnun, greiðsluþjónustuaðili, tryggingafélag, fjárfestingarfyrirtæki, þjónustuaðili dulritunareigna eða rafeyrisstofnun. Þessi reglugerð gildir samhliða NIS2 með sínum eigin skýrslugerðarkröfum.

Fjármálaþjónustuaðilar tilkynna umtalsverð atvik bæði til AFM (í gegnum AFM gáttina) og DNB (í gegnum My DNB) auk RDI. Þú verður einnig að skrá alla samninga við þriðja aðila í upplýsinga- og samskiptatækni vegna mikilvægra eða mikilvægra verkefna í gegnum þessar gáttir innan tilgreindra tímaramma.

Metið skyldur ykkar sem stafrænn þjónustuaðili

Hollenska innleiðingin Wbni setur sérstakar skyldur ef þú býður upp á netmarkaði, skýjatölvuþjónustu eða leitarvélar . Þú tilkynnir atvik bæði til RDI og CSIRT-DSP (sérhæfðs viðbragðsteymis fyrir stafræna þjónustuaðila). Ólíkt nauðsynlegum aðilum í öðrum geirum stendur þú frammi fyrir stærðarmörkum: 50+ starfsmenn og velta eða eignir yfir 10 milljónir evra.

Þjónustuveitendur trausts þurfa að tilkynna um alvarleg atvik sem hafa áhrif á traustþjónustu innan sólarhrings í stað hefðbundins 72 klukkustunda sem gildir fyrir aðra aðila.

Skref 2. Skilgreina hvenær atvik er tilkynningarskylt

Þú þarft skýr viðmið til að ákvarða hvort atvik fer yfir tilkynningarmörk. Lögin skilgreina alvarleg atvik sem þau sem valda alvarlegum rekstrartruflunum, fjárhagslegu tjóni eða verulegu tjóni fyrir aðra. Skyldur þínar varðandi tilkynningar um netöryggisatvik hefjast þegar þú greinir atvik sem uppfyllir þessi skilyrði, ekki þegar þú lýkur rannsókn þess. Þetta þýðir að þú verður að taka ákvarðanir um tilkynningar fljótt, oft með ófullnægjandi upplýsingum.

Metið alvarleikamörk fyrir fyrirtækið ykkar

Atvik telst verulegt þegar það raskar kjarnaþjónustu þinni eða hefur veruleg fjárhagsleg áhrif . NIS2 skiptist í tvo meginflokka: atvik sem raska starfsemi þinni verulega eða valda fjárhagslegu tjóni og atvik sem hafa áhrif á aðra aðila með því að valda verulegu efnislegu eða óefnislegu tjóni. Þú tilkynnir þegar hvorugur flokkurinn á við.

Rekstrarröskun þýðir að þú getur ekki veitt viðskiptavinum þjónustu, mikilvæg kerfi bila eða þú missir aðgang að nauðsynlegum gögnum. Fjárhagstjón felur í sér beinan kostnað eins og lausnargjald, endurheimtarkostnað, tekjutap eða sektir samkvæmt reglugerðum. Lögin tilgreina ekki nákvæm mörk í evrum, þannig að þú metur út frá stærð fyrirtækisins og hlutfallslegum áhrifum atviksins.

Skráðu innri þröskulda áður en atvik á sér stað. Þetta skapar samræmi í ákvörðunum um tilkynningar og sýnir fram á að þú fylgir reglum í góðri trú ef yfirvöld draga síðar mat þitt í efa.

Hafðu þessa vísbendinga í huga þegar þú metur mikilvægi:

• ÞjónustuframboðGeta viðskiptavinir fengið aðgang að þjónustu ykkar? Hve lengi hafa kerfin verið niðri?
• Heiðarleiki gagnaHefur óheimill aðgangur átt sér stað? Hvaða gagnaflokkar urðu fyrir áhrifum?
• Landfræðilegt umfangHefur atvikið áhrif á marga staði eða lönd?
• Áhrif viðskiptavinaHversu margir notendur eða viðtakendur standa frammi fyrir truflunum á þjónustu?
• Recovery tímiBýst þú við lausn innan nokkurra klukkustunda, daga eða vikna?

Meta áhrif yfir landamæri og keðjuverkandi áhrif

Þú verður að tilkynna atvik sem hugsanleg áhrif þvert á landamæri, jafnvel þótt áhrif innanlands virðist lítil. Atvik sem hefur áhrif á starfsemi þína í Hollandi gæti haft áhrif á viðskiptavini, samstarfsaðila eða framboðskeðjur í öðrum aðildarríkjum ESB. Þetta leiðir til tilkynningarskyldu þar sem yfirvöld samhæfa viðbrögð þvert á landamæri.

Keðjuverkandi áhrif skipta jafn miklu máli. Atvik þitt verður tilkynningarskylt þegar það truflar þjónustu sem þú veitir öðrum nauðsynlegum eða mikilvægum aðilum, óháð beinum áhrifum á notendur. Til dæmis, ef þú veitir skýjaþjónustu til sjúkrahúss og öryggisbrot þitt hefur áhrif á sjúklingakerfi þeirra, þá tilkynnir þú út frá rekstraráhrifum þeirra, ekki bara þínu eigin tapi.

Þjónustuveitendur traustþjónustu standa frammi fyrir strangari viðmiðunarmörkum . Öll atvik sem hafa áhrif á veitingu traustþjónustu (stafrænar undirskriftir, vottorð, tímastimplar) þurfa tafarlausa tilkynningu innan sólarhrings. Þú þarft ekki að bíða með að meta hvort áhrifin uppfylli almenn viðmið um mikilvægi.

Skref 3. Búðu til verklagsreglur fyrir tilkynningu atvika

Þú þarft skjalfestar verklagsreglur sem tilgreina nákvæmlega hver gerir hvað, hvenær og hvernig við atvik. Viðbragðsáætlun þín verður að innihalda skýr tilkynningarferli sem virkjast sjálfkrafa þegar teymið þitt greinir alvarlegt atvik. Þessar verklagsreglur þýða tilkynningarskyldur þínar um netöryggisatvik úr óhlutbundnum lagalegum kröfum yfir í raunverulegar aðgerðir sem starfsfólk þitt getur framkvæmt undir álagi.

Búðu til flokkunarfylki fyrir atvik

Flokkunarmatrixinn þinn hjálpar viðbragðsaðilum að ákvarða tilkynningarskyldu innan nokkurra mínútna frá því að atvik greinist. Búðu til töflu sem kortleggur tegundir atvika og alvarleikastig miðað við tilkynningarskyldu, fresti og viðtakandaheimildir. Þetta fjarlægir ágiskanir og tryggir samræmdar ákvarðanir innan fyrirtækisins.

Uppfærið þessa töflu í hvert skipti sem reglugerðir breytast eða fyrirtækið bætir við nýjum þjónustum. Prófið hana ársfjórðungslega með raunhæfum aðstæðum til að bera kennsl á eyður eða ruglingspunkta.

Hannaðu tilkynningarvinnuflæðið þitt

Verkflæðið þitt verður að tilgreina nákvæma röð aðgerða frá atviksgreiningu til loka skýrslugerðar. Skráðu hverjir hefja skýrslugerð, hverjir fara yfir og samþykkja tilkynningar, hverjir senda þær inn og hverjir hafa samband við yfirvöld. Skipaðu varafólki fyrir hvert hlutverk til að standa straum af fjarverum.

Vinnuflæði þitt ætti að gera ráð fyrir að atvik eigi sér stað utan opnunartíma þegar framkvæmdastjórn er hugsanlega ekki tiltæk strax. Innbyggðu samþykktarkerfi sem koma í veg fyrir tafir.

Búið til sniðmát fyrir gátlista sem teymið ykkar fylgir:

1. Atvik greint: Leiðtogi öryggisteymis metur flokkunarkerfi innan tveggja klukkustunda
2. Tilkynnanlegt atvik staðfest: CISA tilkynnt tafarlaust, hefst við undirbúningur fyrir snemmbúna viðvörun
3. Snemmbúin viðvörun drög að: Innifalið tegund atviks, uppgötvunartíma, grunaða orsök, hugsanleg áhrif yfir landamæri
4. Lögfræðileg yfirferð: Lögfræðingur fer yfir drög innan 4 klukkustunda til að tryggja nákvæmni og heildstæðni.
5. Innsending: CISO eða fulltrúi sendir inn í gegnum opinbera vefgátt innan sólarhringsfrests
6. Svar yfirvalda: Öryggisteymi framfylgir leiðbeiningum sem berast innan sólarhrings
7. Tilkynning um atvik: Tækniteymi undirbýr ítarlegt mat fyrir 60 klukkustunda mark
8. Lokaskil: Öllum gögnum skal skilað fyrir 72 klukkustunda frest

Útbúið skýrslusniðmát fyrir hvert stig

Sniðmát tryggja að skýrslurnar þínar innihaldi allar nauðsynlegar upplýsingar og stytta undirbúningstíma. Búið til aðskilin sniðmát fyrir viðvörunarskýrslu, atvikstilkynningar og lokaskýrslu sem innihalda alla skyldusviði sem NIS2 og hollensk yfirvöld tilgreina.

Sniðmát fyrir snemmbúna viðvörun þarfnast: tímastimpils fyrir greiningu, flokks atviks, samantektar á kerfum sem hafa orðið fyrir áhrifum, vísbendingar um grun um illgjarn athæfi (já/nei), vísbendingar um áhrif yfir landamæri (já/nei), upplýsingar um helstu tengiliði. Tilkynning um atvik bætir við: alvarleikamat, umfang áhrifa, fjölda notenda sem hafa orðið fyrir áhrifum, vísbendingar um brot, fyrstu skref sem tekin voru til að draga úr áhrifum. Lokaskýrslur innihalda: heildartímalínu atviksins, greiningu á rót orsökum, ítarlegt áhrifamat, innleiddar öryggisráðstafanir, lærdóm af reynslu og fyrirbyggjandi tillögur.

Vistaðu þessi sniðmát sem útfyllanleg eyðublöð sem teymið þitt getur nálgast samstundis. Geymdu þau í viðbragðsvettvangi þínum, öryggiswiki og afritum án nettengingar til að tryggja aðgengi að þeim ef kerfið er bilað.

Skref 4. Innleiða skýrslugerð í þjálfun og stjórnun

Tilkynningarferlar ykkar bregðast ef starfsfólk skilur ekki hlutverk sitt eða ef stjórnunarfyrirkomulag styður ekki við hraða ákvarðanatöku. Þið þurfið kerfisbundna þjálfun og eftirlit á stjórnarstigi til að tryggja að fyrirtækið ykkar framkvæmi tilkynningarskyldur sínar um netöryggisatvik rétt í hvert skipti. Þetta þýðir að samþætta tilkynningarskyldur í núverandi öryggisþjálfunaráætlanir og skapa skýra ábyrgð á stjórnunarstigi.

Þjálfa allt starfsfólk í uppgötvun og stigvaxandi málum

Þú verður að þjálfa alla starfsmenn til að þekkja hugsanleg öryggisatvik og vita nákvæmlega hvernig eigi að stigmagna þau. Tæknimenn þínir þurfa ítarlega þjálfun í flokkunarkerfinu og skýrslugerðarferlum, en starfsmenn sem ekki eru tæknimenn þurfa einfaldari leiðbeiningar sem beinast að því að greina óvenjulega virkni og hafa samband við rétta fólkið strax.

Haldið ársfjórðungslegar æfingar á borðum sem líkja eftir raunverulegum atvikum sem krefjast skýrslugjafar. Leiðið viðbragðsteymið í gegnum allt ferlið, frá uppgötvun til lokaskýrslu. Notið þessar æfingar til að bera kennsl á galla í verklagsreglum, prófa sniðmát og staðfesta að varamenn skilji hlutverk sitt. Skráið lærdóminn eftir hverja æfingu og uppfærið verklagsreglur í samræmi við það.

Öryggisvitundarþjálfun fyrir almennt starfsfólk ætti að ná yfir eftirfarandi nauðsynlegar upplýsingar:

• Hvað telst hugsanlegt öryggisatvik (óvenjulegir tölvupóstar, óheimilar aðgangstilraunir, týnd gögn)
• Hvern á að hafa samband við strax (gefðu upplýsingar um öryggisteymið þitt allan sólarhringinn)
• Hvað á ekki að gera (ekki reyna að rannsaka sjálfan þig, ekki eyða sönnunargögnum, ekki bíða til mánudags)
• Af hverju hraði skiptir máli (reglufestar frestir hefjast þegar atvik eru greind, ekki tilkynnt)

Þjálfa starfsfólk í því að það að greina og tilkynna grunsamlega virkni verndar bæði fyrirtækið og þau sjálf gegn ábyrgð , en uppfyllir ekki aðeins kröfur um reglufylgni.

Samþætta skýrslugerð við núverandi stjórnarhætti

Stjórn þín og framkvæmdastjórn þurfa reglulegar uppfærslur á getu til að tilkynna atvik og raunverulegum atvikum. Skipuleggðu ársfjórðungslegar stjórnarhætti sem ná yfir tilkynningarferla þína, öll atvik sem áttu sér stað, svör yfirvalda sem bárust og úrbætur á verklagsreglum sem gerðar voru. Þetta skapar ábyrgð og tryggir að stjórnendur skilji tilkynningarskyldu.

Úthlutaðu tiltekinni framkvæmdastjórn ábyrgð á að fylgja reglum um skýrslugjöf atvika. Þessi einstaklingur (venjulega upplýsingastjóri þinn eða yfirmaður áhættustýringar) heyrir beint undir stjórn um viðbúnað, viðheldur samskiptum við lögbær yfirvöld og á fjárhagsáætlun fyrir skýrslugerðartól og þjálfun. Skýrt ábyrgðarvald kemur í veg fyrir rugling í raunverulegum atvikum þegar ákvarðanir verða að taka fljótt.

Hafðu skýrslugerðarmælingar inn í öryggismælaborðin þín: tími frá uppgötvun til snemmbúinnar viðvörunar, hlutfall atvika sem uppfylla frest, viðbragðstíma yfirvalda og leiðréttingaraðgerðir sem lokið er. Fylgstu með þessu mánaðarlega til að bera kennsl á þróun og tækifæri til úrbóta.

Halda áfram

Þú hefur nú lokið við að uppfylla skyldur þínar varðandi tilkynningar um netöryggisatvik samkvæmt NIS2 og hollenskum lögum. Þú veist hvaða reglugerðir gilda um fyrirtækið þitt, hvenær atvik fara yfir tilkynningarmörk, hvaða yfirvöld fá tilkynningar, hvaða upplýsingar hver tilkynning verður að innihalda og hvernig á að byggja upp verklagsreglur sem virka undir álagi. Næsta skref er tafarlaus innleiðing.

Byrjið á að fara yfir núverandi viðbragðsáætlun ykkar gagnvart kröfunum sem hér eru settar fram. Uppfærið flokkunartöfluna , útbúið skýrslusniðmát og þjálfið viðbragðsteymið ykkar í nýju vinnuflæðunum. Skipuleggið fyrstu æfinguna innan næstu 30 daga til að prófa verklagsreglur áður en raunverulegt atvik á sér stað. Skjalið allt sem þið búið til svo teymið geti nálgast það samstundis þegar þörf krefur.

Lögleg samræmi í netöryggi krefst bæði tæknilega þekkingu og lagaþekkinguEf þú þarft aðstoð við að túlka hvernig þessar reglur eiga við í þínum aðstæðum, tengilið Law & More til sérhæfðrar leiðsagnar. Teymi þeirra aðstoðar hollensk fyrirtæki við að takast á við flóknar kröfur um netöryggi og byggja upp viðbragðsramma fyrir atvik sem verndar bæði rekstur þinn og lagalega stöðu.