Hoe u onder de CRA meldt bij CSIRT NASK

1. Wie uw melding ontvangt: CSIRT NASK, CSIRT GOV en CSIRT MON

CSIRT NASK, CSIRT GOV en CSIRT MON zijn de drie nationale autoriteiten, met bevoegdheden verdeeld naar sector: NASK voor het civiele domein, GOV voor de rijksoverheid, MON voor defensie. NASK werkt vanuit Warschau en is tegelijk onderzoeksinstituut, nationaal domeinregister en responsteam: een in Europa zeldzame combinatie.

De keten is precies deze: de autoriteit als instelling, CSIRT NASK als operationeel team dat uw melding leest en dat samen met ENISA de in art. 14 bedoelde ontvanger vormt.

Polen heeft niet één nationaal CSIRT maar drie: CSIRT NASK voor de civiele sector, CSIRT GOV voor de rijksoverheid — ondergebracht bij de ABW — en CSIRT MON voor defensie. Het zijn drie afzonderlijke autoriteiten, met bevoegdheden die de wet op het nationale cyberbeveiligingsstelsel per sector verdeelt.

2. Het nationale kanaal in de praktijk

De taal van de melding is Pools. NASK publiceert waarschuwingen en technisch materiaal in het Pools, deels in het Engels; voor een buitenlandse fabrikant is dit het punt dat de meeste voorbereiding vraagt onder de landen die deze pagina's behandelen.

Een particuliere fabrikant valt in de regel onder CSIRT NASK. De verdeling hangt niet af van het type gebeurtenis maar van de sector waarin u werkt, en in gemengde gevallen — een civiele leverancier die ook defensie bedient — hoort ze vooraf te worden uitgeklaard, niet tijdens.

CSIRT NASK · officiële website

3. Het landschap eromheen

Polen bouwde zijn stelsel op de wet van 2018 over het nationale cyberbeveiligingsstelsel, later afgestemd op NIS2. Het is een drie-pijlermodel, uitdrukkelijk bedoeld om de militaire keten gescheiden te houden van de civiele.

Voor de CRA volgt de aanwijzing van het CSIRT dat fabrikantenmeldingen ontvangt de nationale uitvoering van de verordening en vloeit zij niet automatisch voort uit die verdeling. Controleer de geldende aanwijzing voordat u indient.

Nog één praktisch punt: NASK is tevens een onderzoeksinstituut en beheert naast het CSIRT het nationale domeinregister. Het is een technisch breed aanspreekpunt, maar de verdeling over de drie CSIRT's blijft de variabele die u het eerst moet uitklaren, omdat het de enige is die u niet uit uw product kunt afleiden.

4. Hoe indienen werkt, kort

Indienen is geen e-mail aan de autoriteit: het loopt via het centraal meldingsplatform van art. 16, en toegang vraagt vooraf gevalideerde EU Login-inloggegevens.

De keten van termijnen — 24 uur, 72 uur, eindverslag — is in de hele Unie dezelfde en staat volledig op de pagina over art. 14. Bij de andere trigger van het artikel verandert de slottermijn: die staat op de pagina over het ernstige incident.

5. Wat vóór een incident voor te bereiden

Vijf dingen, rustig geregeld, maken het verschil tussen een tijdig ingediende melding en een te late. Het eerste is het contactpunt bij CSIRT NASK, aangewezen en gevalideerd, met een benoemde vervanger: op de dag van het geval zoekt u niet wie de inloggegevens heeft.

In Polen loont het de Poolse versie van terugkerende technische inhoud tijdig gereed te hebben en schriftelijk te bevestigen welk van de drie CSIRT's het uwe is: dat zijn de twee dingen die, als ze ontbreken, uren kosten precies wanneer die er niet zijn.

En een noot over tijd: Polen zit op CET/CEST. De vierentwintig uur van art. 14 stoppen niet op feestdagen, en die zijn in Polen talrijk en geclusterd. Moet technische documentatie vóór indiening in het Pools worden vertaald, dan gaat die tijd van de vierentwintig uur af, niet erbovenop.

Deze gids geeft onze lezing van de verordeningstekst en de openbare procedures weer; hij vormt geen juridisch advies, en de operationele details van het platform kunnen veranderen.