Prijava incidenata prema NIS 2: 24 sata, 72 sata, 1 mjesec
Značajne incidente prijavljujete u tri koraka: rano upozorenje u roku od 24 sata od saznanja, obavijest o incidentu u 72 sata te završno izvješće najkasnije mjesec dana nakon obavijesti.
Što je značajan incident?
Incident je značajan ako je (a) uzrokovao ili može uzrokovati ozbiljan poremećaj u radu ili financijski gubitak za subjekt, ili (b) utjecao ili može utjecati na druge osobe uzrokujući znatnu materijalnu ili nematerijalnu štetu. Primjeri: ransomware koji zaustavlja proizvodnju, kompromitacija administratorskih računa, dulji prekid ključne usluge.
Tri koraka prijave
| Rok | Što se dostavlja |
|---|---|
| 24 sata od saznanja | Rano upozorenje: postoji li sumnja na nezakonitu ili zlonamjernu radnju i može li incident imati prekogranični učinak. |
| 72 sata od saznanja | Obavijest o incidentu: ažuriranje ranog upozorenja, početna procjena ozbiljnosti i učinka, pokazatelji kompromitacije ako su poznati. |
| Na zahtjev | Privremeno izvješće o statusu. |
| 1 mjesec od obavijesti | Završno izvješće: detaljan opis, vrsta prijetnje ili uzrok, primijenjene i tekuće mjere ublažavanja, prekogranični učinak. Ako incident još traje, dostavlja se izvješće o napretku, a završno nakon rješavanja. |
Kome se prijavljuje?
Prijave se dostavljaju nacionalnom CSIRT-u ili nadležnom tijelu prema postupku propisanom hrvatskim Zakonom i Uredbom. Točne kanale i obrasce provjerite na stranicama Nacionalnog CERT-a. Prema potrebi obavještavaju se i primatelji vaših usluga na koje incident utječe.
Kako se pripremiti prije incidenta
- Definirajte kriterije značajnosti i tko ih ocjenjuje (24 sata teče od saznanja, ne od početka napada).
- Imenujte tim za incidente i zamjene za godišnje odmore i vikende.
- Pripremite predloške za rano upozorenje i obavijest.
- Osigurajte zapise (logove) i forenzičke mogućnosti.
- Provedite tabletop vježbu barem jednom godišnje.
- Ugradite u ugovore s dobavljačima obvezu brze dojave incidenata.
Izvori
- Direktiva (EU) 2022/2555 (NIS 2) – EUR-Lex
- Narodne novine – Zakon o kibernetičkoj sigurnosti (NN 14/2024) i Uredba (NN 135/2024)
- ENISA – Agencija EU za kibernetičku sigurnost
- Nacionalni CERT
Sadržaj je informativan i ne predstavlja pravni savjet. Provjerite aktualni tekst propisa.