Jak zgłaszać do CERT-Bund na mocy CRA

1. Kto otrzymuje Państwa zgłoszenie: BSI i CERT-Bund

Bundesamt für Sicherheit in der Informationstechnik (BSI) jest federalnym urzędem ds. bezpieczeństwa informacji, a CERT-Bund zespołem działającym w jego strukturze. BSI ma siedzibę w Bonn, zatrudnia znacznie ponad tysiąc osób i jest zarazem jednostką certyfikującą.

Łańcuch wygląda dokładnie tak: organ jako instytucja, CERT-Bund jako zespół operacyjny, który czyta Państwa zgłoszenie i który razem z ENISA tworzy adresata przewidzianego w art. 14.

BSI jest urzędem federalnym z siedzibą w Bonn i największym zapleczem technicznym wśród europejskich agencji cyberbezpieczeństwa. CERT-Bund to jego zespół operacyjny: przyjmuje zgłoszenia, koreluje je i wydaje ostrzeżenia. Dla producenta BSI jest instytucją, a CERT-Bund tym, kto naprawdę czyta przesłany tekst.

2. Kanał krajowy w praktyce

Językiem zgłoszenia jest niemiecki. BSI publikuje ostrzeżenia i biuletyny po niemiecku i prowadzi odrębne kanały dla podmiotów z sektorów regulowanych oraz dla producentów: który obowiązuje na potrzeby CRA, wynika z wdrożenia krajowego.

Kto już zgłasza jako podmiot NIS, zna tę ścieżkę. CRA jej nie zastępuje i się w niej nie zawiera: dwa odrębne obowiązki o różnych przesłankach, które mogą powstać jednocześnie z tego samego zdarzenia.

CERT-Bund · oficjalna strona

3. Otoczenie, w którym działa

Niemcy potwierdziły BSI jako centralny organ krajowy w ustawie wdrażającej NIS2. Powstał ekosystem, w którym CERT-Bund jest okienkiem operacyjnym dla większości cyberobowiązków zgłoszeniowych.

Dla CRA nie jest to odpowiedź automatyczna: wyznaczenie CSIRT przyjmującego zgłoszenia producentów wynika z krajowego wdrożenia rozporządzenia. Proszę sprawdzić obowiązujące wyznaczenie przed złożeniem; nie należy go wyprowadzać z NIS2.

Ostatni praktyczny punkt: BSI jest zarazem jednostką certyfikującą i utrzymuje długoletnie programy krajowe obok swojej roli w ramach europejskich. Jeśli produkt należy do krytycznych i wymaga certyfikacji, rozmówcą jest ten sam urząd, który przyjmuje zgłoszenia. W Niemczech to skupienie jest wyraźniejsze niż gdzie indziej.

4. Jak przebiega złożenie, w skrócie

Złożenie to nie e-mail do organu: odbywa się przez jednolitą platformę zgłoszeniową ustanowioną w art. 16, a dostęp wymaga wcześniej zweryfikowanych poświadczeń EU Login.

Łańcuch terminów — 24 godziny, 72 godziny, sprawozdanie końcowe — jest taki sam w całej Unii i w całości opisuje go strona o art. 14. Przy drugim wyzwalaczu artykułu termin końcowy się zmienia: opisuje go strona o poważnym incydencie.

5. Co przygotować przed incydentem

Pięć rzeczy, ułożonych na spokojnie, decyduje o tym, czy zgłoszenie trafi na czas, czy za późno. Pierwsza to punkt kontaktowy wobec CERT-Bund, wyznaczony i zweryfikowany, z imiennie wskazanym zastępcą: w dniu zdarzenia nie szuka się, kto ma poświadczenia.

W Niemczech warto wcześnie ustalić, czy Państwa firma jest już zarejestrowana w BSI z tytułu innych obowiązków: punkt kontaktowy i poświadczenia mogą się częściowo pokrywać, a spokojne ustalenie tego jest lepsze niż odkrycie w dniu zdarzenia.

I uwaga o czasie: Niemcy działają w CET/CEST, a kraje związkowe mają różne dni wolne. Dwadzieścia cztery godziny z art. 14 nie znają świąt — ani regionalnych, ani ogólnokrajowych. Jeśli dyżur idzie według kalendarza lokalnego, proszę sprawdzić, czy obejmuje też dni zamknięcia biura w jednym tylko kraju związkowym.

Ten przewodnik przedstawia naszą lekturę tekstu rozporządzenia i procedur publicznych; nie stanowi porady prawnej, a szczegóły operacyjne platformy mogą się zmieniać.