Incydent poważny w rozumieniu znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa zgłasza się przez system S46 do właściwego zespołu CSIRT. Podmiot ważny publiczny ma na to 72 godziny. Podmiot kluczowy i ważny wysyła wcześniej wczesne ostrzeżenie w 24 godziny, potem zgłoszenie w 72 godziny i sprawozdanie końcowe w miesiąc. Jeśli incydent dotyczy danych osobowych, to samo zdarzenie może być też naruszeniem RODO - wtedy biegną dwa terminy i powstają dwa odrębne zgłoszenia.
Incydent a incydent poważny
Nie każdy incydent jest poważny. Ustawa definiuje oba pojęcia, a o tym, kiedy incydent staje się poważny, mają rozstrzygać progi z rozporządzenia wydanego na podstawie art. 11 ust. 4. Do końca października 2026 takiego rozporządzenia do nowej ustawy nie znaleźliśmy. Dotychczasowe przepisy wykonawcze obowiązują najdłużej do 3 kwietnia 2027.
W praktyce oznacza to, że ocenę trzeba dziś przeprowadzić samodzielnie, ostrożnie i z zapisanym uzasadnieniem. Lepiej zgłosić incydent, który okaże się mniej groźny, niż spóźnić się z poważnym. Każdy incydent, także ten uznany za niepoważny, trafia do rejestru.
Przy ocenie warto od razu zapisać fakty, które i tak będą potrzebne w zgłoszeniu i w rejestrze: kiedy zdarzenie wykryto i kto je wykrył, których systemów i usług dotyczy, jak długo trwa przerwa, ilu mieszkańców lub pracowników odczuło skutki, czy dane zostały utracone albo ujawnione i czy zdarzenie dotyka innych podmiotów, na przykład gminy albo dostawcy.
Terminy według rodzaju podmiotu
| Etap | Podmiot kluczowy | Podmiot ważny | Podmiot ważny publiczny |
|---|---|---|---|
| Wczesne ostrzeżenie | 24 h | 24 h | nie dotyczy |
| Zgłoszenie incydentu poważnego | 72 h | 72 h | 72 h (art. 12c) |
| Sprawozdanie końcowe | w miesiąc od zgłoszenia | w miesiąc od zgłoszenia | nie dotyczy |
| Gdy obsługa incydentu trwa | sprawozdanie z postępu, końcowe w miesiąc od zakończenia obsługi | jak kluczowy | nie dotyczy |
Terminy dla podmiotów kluczowych i ważnych wynikają z art. 11 i 12b. Ustawa wiąże ich bieg z wykryciem incydentu poważnego. Bezpieczniej liczyć je od najwcześniejszego momentu, w którym ktokolwiek w jednostce zauważył zdarzenie, a nie od chwili, gdy kierownik o nim usłyszał.
Typ podmiotu i jego obowiązki opisujemy w artykule Podmiot ważny publiczny w KSC.
S46 i zespoły CSIRT
Zgłoszenia przekazuje się przez system S46 (art. 11 ust. 2). Do czasu, gdy CSIRT sektorowy osiągnie zdolność operacyjną, adresatem jest CSIRT NASK, CSIRT GOV albo CSIRT MON (art. 44 ustawy nowelizującej). Który zespół jest właściwy dla Twojej jednostki i kto ma dostęp do S46, warto ustalić teraz, a nie w trakcie incydentu.
Jeśli gmina zapewnia wspólną obsługę obowiązków albo zawarła porozumienie z jednostkami (art. 16e ust. 5-6), zgłoszenie może wysyłać zespół gminy. Jednostka musi wtedy wiedzieć, jak szybko go powiadomić.
Incydent poważny a naruszenie ochrony danych
Jedno zdarzenie może być jednocześnie incydentem poważnym w rozumieniu ustawy o KSC i naruszeniem ochrony danych osobowych w rozumieniu RODO. To dwa odrębne reżimy:
| Ustawa o KSC | RODO | |
|---|---|---|
| Czego dotyczy | bezpieczeństwa systemów informacyjnych i usług | danych osobowych |
| Adresat | CSIRT NASK, GOV albo MON przez S46 | Prezes UODO |
| Termin | 72 h, a dla kluczowego i ważnego także 24 h i miesiąc | 72 h od stwierdzenia naruszenia (art. 33 RODO) |
| Kiedy nie zgłaszać | incydent, który nie jest poważny | naruszenie, które raczej nie powoduje ryzyka dla osób |
| Ewidencja | rejestr incydentów SZBI | ewidencja naruszeń (art. 33 ust. 5 RODO) |
Przykłady:
- Zaszyfrowanie serwera z danymi mieszkańców przez złośliwe oprogramowanie może być i incydentem poważnym, i naruszeniem RODO. Biegną dwa zegary, powstają dwa zgłoszenia.
- Wielogodzinna niedostępność systemu dziedzinowego bez utraty i ujawnienia danych może być incydentem w rozumieniu KSC, ale nie naruszeniem ochrony danych.
- Pismo z danymi wysłane na zły adres to sprawa RODO, a nie KSC.
Jedno zgłoszenie nie zastępuje drugiego. Gdy naruszenie niesie wysokie ryzyko dla osób, RODO wymaga też zawiadomienia tych osób (art. 34). W ocenie zdarzenia od początku powinien uczestniczyć inspektor ochrony danych.
Rejestr incydentów - także bez danych osobowych
Ewidencja naruszeń RODO obejmuje tylko zdarzenia z danymi osobowymi. Rejestr incydentów SZBI jest szerszy: obejmuje awarie, ataki, próby włamań i błędy konfiguracji, nawet jeśli żadne dane osobowe nie ucierpiały. Rejestr pokazuje też, które incydenty uznano za poważne i dlaczego, kiedy je zgłoszono i jaką sygnaturę nadano zgłoszeniu.
Taki rejestr jest materiałem do przeglądu SZBI i do analizy ryzyka. Po roku pokazuje, które systemy zawodzą najczęściej i gdzie zabezpieczenia trzeba wzmocnić.
Co przygotować zawczasu
- procedurę obsługi incydentów - kto wykrywa, kto ocenia, kto decyduje, kto zgłasza i w jakim czasie,
- osobę do kontaktów (art. 9) i jej zastępstwo,
- dostęp do S46 i wiedzę, który CSIRT jest właściwy,
- listę dostawców ICT z kontaktami awaryjnymi i obowiązkiem informowania jednostki o zdarzeniach,
- powiązanie z instrukcją postępowania przy naruszeniu RODO, żeby jedno zdarzenie przeszło przez obie ścieżki bez dublowania pracy,
- kryteria oceny, które zastąpi się progami z rozporządzenia, gdy zostanie wydane,
- ćwiczenie - przejście procedury na wymyślonym zdarzeniu,
- informację dla kierownika - kierownik odpowiada za wykonanie obowiązków osobiście (art. 8c-8e).
Jak pomaga Cyberenu
W Cyberenu incydent i naruszenie to ten sam wpis z jedną numeracją, bo jedno zdarzenie bywa jednym i drugim. Wpis prowadzi zegar 72 godzin dla Prezesa UODO i - zależnie od rodzaju podmiotu - wczesne ostrzeżenie, zgłoszenie i sprawozdanie końcowe z przypomnieniem przed terminem. Zgłoszenie do S46 wysyła człowiek, a system zapisuje jego datę i sygnaturę. Rejestr incydentów i procedura obsługi są częścią SZBI, a ewidencja naruszeń i raport z naruszenia - dokumentacji RODO. Cały zakres obowiązków opisujemy w artykule Wdrożenie SZBI krok po kroku. Formy współpracy opisuje oferta, a pytania możesz zadać przez formularz kontaktowy.
