Jak zgłaszać do CERT.at na mocy CRA

1. Kto otrzymuje Państwa zgłoszenie: CERT.at i GovCERT Austria

CERT.at jest austriackim CSIRT krajowym, umiejscowionym w nic.at na podstawie mandatu publicznego, a GovCERT Austria obsługuje administrację: dwa zespoły, dwa kręgi odbiorców. CERT.at działa z Wiednia, a jego umiejscowienie w rejestrze domeny to wybór austriacki, nie europejska norma.

Łańcuch wygląda dokładnie tak: organ jako instytucja, CERT.at jako zespół operacyjny, który czyta Państwa zgłoszenie i który razem z ENISA tworzy adresata przewidzianego w art. 14.

CERT.at jest austriackim CSIRT krajowym i nie jest komórką ministerialną: działa w ramach nic.at, rejestru domeny krajowej, na podstawie mandatu publicznego. Obok funkcjonuje GovCERT Austria, obsługujący administrację. Dla prywatnego producenta naturalnym adresatem jest CERT.at.

2. Kanał krajowy w praktyce

Językiem zgłoszenia jest niemiecki; CERT.at publikuje ostrzeżenia także po angielsku i na co dzień pracuje w obu językach. Ta dwujęzyczność jest praktycznym ułatwieniem dla producenta z anglojęzyczną dokumentacją techniczną.

Układ austriacki jest zatem z założenia dwugłowy — zespół cywilny i rządowy — a właściwość wynika z tego, kim Państwo są, a nie z rodzaju zdarzenia. To nie szczegół organizacyjny: to zmienia drzwi, do których się puka.

CERT.at · oficjalna strona

3. Otoczenie, w którym działa

Austria zbudowała swój system wokół krajowej ustawy wdrażającej NIS oraz koordynacji między Kancelarią Federalną, Ministerstwem Spraw Wewnętrznych i CERT.at. To model rozproszony z lekkim centrum koordynacji.

Dla CRA oznacza to, że wyznaczenie CSIRT przyjmującego zgłoszenia producentów trzeba sprawdzić w obowiązującym wdrożeniu krajowym, a nie wyprowadzać ze struktury NIS. Proszę je sprawdzić przed złożeniem.

Ostatni praktyczny punkt: Austria opiera się w znacznym stopniu na koordynacji europejskiej i sieciach CSIRT, a nie na własnych programach krajowych. Dla producenta oznacza to mniej lokalnych osobliwości i bliższe trzymanie się wspólnej praktyki europejskiej.

4. Jak przebiega złożenie, w skrócie

Złożenie to nie e-mail do organu: odbywa się przez jednolitą platformę zgłoszeniową ustanowioną w art. 16, a dostęp wymaga wcześniej zweryfikowanych poświadczeń EU Login.

Łańcuch terminów — 24 godziny, 72 godziny, sprawozdanie końcowe — jest taki sam w całej Unii i w całości opisuje go strona o art. 14. Przy drugim wyzwalaczu artykułu termin końcowy się zmienia: opisuje go strona o poważnym incydencie.

5. Co przygotować przed incydentem

Pięć rzeczy, ułożonych na spokojnie, decyduje o tym, czy zgłoszenie trafi na czas, czy za późno. Pierwsza to punkt kontaktowy wobec CERT.at, wyznaczony i zweryfikowany, z imiennie wskazanym zastępcą: w dniu zdarzenia nie szuka się, kto ma poświadczenia.

W Austrii warto z góry ustalić, który z dwóch zespołów jest Państwa rozmówcą, i uzyskać pisemne potwierdzenie kanału: wyjaśnianie tego w biegu dwudziestoczterogodzinnego terminu to najgorszy możliwy moment.

I uwaga o czasie: Austria działa w CET/CEST i dzieli z Niemcami dużą część kalendarza świąt. Termin dwudziestu czterech godzin biegnie mimo to. Dyżur oparty na jednej osobie w kraju z długimi weekendami prędzej czy później termin przegapi.

Ten przewodnik przedstawia naszą lekturę tekstu rozporządzenia i procedur publicznych; nie stanowi porady prawnej, a szczegóły operacyjne platformy mogą się zmieniać.