Incydent w NIS2: masz 24 godziny. Co dokładnie musi się wydarzyć

Polska ustawa o KSC przewiduje dla podmiotów kluczowych i ważnych 24 godziny na wczesne ostrzeżenie o poważnym incydencie, 72 godziny na zgłoszenie i zasadniczo miesiąc od zgłoszenia na raport końcowy. Terminy liczy się od uzyskania informacji o zdarzeniu, które spełnia kryteria incydentu, a nie automatycznie od pierwszego surowego alertu.

Ten zegar rusza, czy jesteś gotowy, czy nie. Dlatego cała gra rozgrywa się przed incydentem, nie w jego trakcie. Rozpiszę, co musi się wydarzyć w pierwszej dobie i co musi istnieć wcześniej, żeby ta doba była do udźwignięcia. Zastrzeżenie: nie jestem prawnikiem, to nie jest porada prawna, a definicje istotności i szczegóły procedury potwierdźcie z obsługą prawną i właściwym CSIRT.

Zegar liczy się od uzyskania informacji o incydencie

Sam alert z monitoringu nie musi jeszcze oznaczać początku terminu. Kluczowy jest moment, w którym organizacja uzyskała informację pozwalającą zakwalifikować zdarzenie jako incydent. Nie wolno jednak sztucznie opóźniać analizy alertów, bo brak zdolności do ich terminowej oceny nie zatrzyma obowiązków ustawowych.

Konsekwencja jest praktyczna: musisz mieć zdolność do rozpoznania i eskalacji o każdej porze, oraz jasność, kto podejmuje decyzję o istotności. Bez tego 24 godziny potrafią zniknąć, zanim ktokolwiek zorientuje się, że biegły.

Pierwsza doba godzina po godzinie

Pokażę to jako przykładowy, dobrze poprowadzony przebieg. Godziny są umowne, chodzi o sekwencję.

Godzina zero, wykrycie. Monitoring albo człowiek zauważa coś niepokojącego. Zdarzenie ląduje w miejscu, gdzie nie zginie, z dokładnym czasem wykrycia, bo od tego czasu liczy się wszystko dalej.

Pierwsze godziny, ocena istotności. Wyznaczona osoba ocenia, czy to jest incydent w rozumieniu ustawy i czy jest poważny. To decyzja, która musi mieć właściciela z góry, bo w środku zdarzenia nie ma czasu na ustalanie, kto o tym decyduje. Jeśli poważny, uruchamiacie ścieżkę zgłoszeniową.

Kilka pierwszych godzin, zebranie faktów. Co się stało, kiedy wykryto, jakie systemy i usługi są dotknięte, jaki jest wstępny wpływ na świadczone usługi. Na wczesne ostrzeżenie nie potrzebujesz pełnej analizy, potrzebujesz uczciwego obrazu tego, co już wiadomo, z zaznaczeniem, co jeszcze jest niepewne.

Przed upływem 24 godzin, wczesne ostrzeżenie. Wysyłacie wczesne ostrzeżenie do właściwego CSIRT. To krótki komunikat: że incydent wystąpił, wstępna ocena, czy podejrzewacie działanie złośliwe lub skutki transgraniczne. To nie jest pełny raport, tylko sygnał "dzieje się, pracujemy nad tym".

Dalej, do 72 godzin, zgłoszenie właściwe z aktualną oceną i wpływem, a zasadniczo do miesiąca od zgłoszenia raport końcowy z opisem przyczyny, przebiegu i podjętych działań.

Ważny wyjątek: podmiot publiczny zakwalifikowany jako ważny może podlegać uproszczonemu trybowi. Wtedy przekazuje zgłoszenie w 72 godziny, bez 24-godzinnego wczesnego ostrzeżenia i raportu końcowego. Status i właściwy tryb trzeba potwierdzić przed incydentem.

Co musi istnieć, zanim incydent się wydarzy

Ta pierwsza doba jest do udźwignięcia tylko wtedy, gdy wcześniej przygotowałeś pięć rzeczy.

Definicję incydentu. Co u Was jest incydentem i co czyni go poważnym. Bez tego każde zdarzenie uruchamia dyskusję zamiast procedury.

Wyznaczone osoby. Kto ocenia istotność, kto pisze zgłoszenie, kto je zatwierdza, kto ma dostęp do systemu zgłoszeń CSIRT. Role obsadzone imiennie, z zastępstwami, bo incydenty nie umawiają się na godziny pracy odpowiedzialnej osoby.

Dostępy przećwiczone. Konto w systemie zgłoszeniowym, dane logowania w miejscu, do którego dotrzesz pod presją. Pierwsze logowanie do systemu CSIRT nie może odbywać się w trzynastej godzinie liczonej doby.

Rejestr incydentów. Miejsce, w którym rejestrujecie zdarzenia, także te, które ostatecznie nie były poważne. Audytor pyta o proces, nie tylko o wysłane zgłoszenia, a rejestr pokazuje, że oceniacie zdarzenia systematycznie.

Przećwiczona ścieżka. Chociaż jeden przebieg na sucho, żeby okazało się, gdzie proces się zacina, zanim zacina się na prawdziwym incydencie.

Ważna granica: przygotowanie, nie automat

Tu muszę powiedzieć wprost, czego moje narzędzie nie robi, bo to kwestia zaufania. Rejestr incydentów w narzędziu służy do przygotowania zgłoszenia: zbiera fakty, pilnuje terminów, trzyma treści i historię. Nie wysyła niczego do CSIRT automatycznie. Decyzję o zgłoszeniu i samo wysłanie wykonuje człowiek, świadomie. Zgłoszenie do organu jest aktem, za który odpowiada osoba, nie skrypt, i tak ma zostać. Narzędzie ma sprawić, że gdy człowiek podejmuje tę decyzję, ma wszystko gotowe pod ręką, a nie że podejmuje ją za niego.

Sekcja uczciwa: większość zdarzeń nie jest poważna

Nie każdy alert to incydent i nie każdy incydent jest poważny w rozumieniu ustawy. Zdecydowana większość zdarzeń kończy się na ocenie "to nie kwalifikuje się do zgłoszenia" i to jest normalne. Prowadzenie rejestru także dla nich nie jest biurokracją, tylko dowodem, że macie działający proces, który świadomie odsiewa to, co poważne, od szumu. Audytorowi taki rejestr mówi więcej niż pojedyncze wysłane zgłoszenie.

W praktyce

Jeśli chcesz zobaczyć, jak wygląda rejestr incydentów z licznikami terminów 24h, 72h i miesiąca, prowadzony jako przygotowanie zgłoszenia, a nie jego automat, wejdź do demo.

24 godziny brzmi groźnie, dopóki nie jesteś przygotowany, i przestaje, gdy jesteś. Cała różnica polega na tym, czy pięć rzeczy z tej listy istnieje przed incydentem, czy dopiero podczas niego próbujesz je zbudować, patrząc na tykający zegar.

Źródła

• Ministerstwo Cyfryzacji: obowiązki podmiotów kluczowych i ważnych
• Oficjalne FAQ do ustawy o KSC
• ELI: ustawa o zmianie ustawy o KSC z 2026 r.