Jak zgłaszać do CERT-FR na mocy CRA

1. Kto otrzymuje Państwa zgłoszenie: ANSSI i CERT-FR

Agence nationale de la sécurité des systèmes d’information (ANSSI) jest organem krajowym, a CERT-FR jej centrum operacyjnym. ANSSI ma siedzibę w Paryżu i słynie ze szczegółowych ram regulacyjnych oraz rygorystycznego użycia języka francuskiego.

Łańcuch wygląda dokładnie tak: organ jako instytucja, CERT-FR jako zespół operacyjny, który czyta Państwa zgłoszenie i który razem z ENISA tworzy adresata przewidzianego w art. 14.

ANSSI jest francuskim krajowym organem ds. bezpieczeństwa systemów informacyjnych, podległym Sekretariatowi Generalnemu Obrony i Bezpieczeństwa Narodowego. CERT-FR to jego centrum operacyjne: przyjmuje, kwalifikuje i rozsyła. Łańcuch dowodzenia jest krótki i wprost państwowy.

2. Kanał krajowy w praktyce

Językiem zgłoszenia jest francuski. ANSSI publikuje ostrzeżenia i biuletyny po francusku i zajmuje znane stanowisko co do języka w kontaktach z administracją: dokumentacja techniczna wyłącznie po angielsku może wymagać francuskiego streszczenia.

CERT-FR rozróżnia zgłoszenia podmiotów regulowanych i spontaniczne zgłoszenia osób trzecich. Producent niebędący operatorem o żywotnym znaczeniu korzysta z kanału ogólnego; który formularz obowiązuje, lepiej sprawdzić wcześniej.

CERT-FR · oficjalna strona

3. Otoczenie, w którym działa

Francja wdrożyła NIS2, potwierdzając ANSSI jako organ właściwy i poszerzając krąg podmiotów regulowanych. Model pozostaje scentralizowany: jeden organ, jeden CSIRT krajowy, szerokie kompetencje.

Dla CRA wyznaczenie CSIRT przyjmującego zgłoszenia producentów i tak wynika z krajowego wdrożenia rozporządzenia, co jest odrębne od zakresu NIS2. Proszę sprawdzić obowiązujące wyznaczenie przed złożeniem.

Ostatni praktyczny punkt: ANSSI prowadzi także francuskie programy kwalifikacji i certyfikacji oraz uczestniczy w ramach europejskich. Jeśli produkt należy do krytycznych, ten sam podmiot, który przyjmuje zgłoszenia, zna również ścieżkę certyfikacji.

4. Jak przebiega złożenie, w skrócie

Złożenie to nie e-mail do organu: odbywa się przez jednolitą platformę zgłoszeniową ustanowioną w art. 16, a dostęp wymaga wcześniej zweryfikowanych poświadczeń EU Login.

Łańcuch terminów — 24 godziny, 72 godziny, sprawozdanie końcowe — jest taki sam w całej Unii i w całości opisuje go strona o art. 14. Przy drugim wyzwalaczu artykułu termin końcowy się zmienia: opisuje go strona o poważnym incydencie.

5. Co przygotować przed incydentem

Pięć rzeczy, ułożonych na spokojnie, decyduje o tym, czy zgłoszenie trafi na czas, czy za późno. Pierwsza to punkt kontaktowy wobec CERT-FR, wyznaczony i zweryfikowany, z imiennie wskazanym zastępcą: w dniu zdarzenia nie szuka się, kto ma poświadczenia.

We Francji warto z wyprzedzeniem przygotować francuskie streszczenie treści technicznych do przekazania: tłumaczenie pod presją, w dwadzieścia cztery godziny, to najprostszy sposób na wprowadzenie błędu do dokumentu, który zostaje w aktach.

I uwaga o czasie: Francja działa w CET/CEST i ma gęsty kalendarz świąt wiosną. Dwadzieścia cztery godziny z art. 14 nie zatrzymują się. Wyznaczony — a nie tylko domniemany — zastępca odróżnia dyżur, który wytrzymuje, od takiego, który istnieje tylko w schemacie organizacyjnym.

Ten przewodnik przedstawia naszą lekturę tekstu rozporządzenia i procedur publicznych; nie stanowi porady prawnej, a szczegóły operacyjne platformy mogą się zmieniać.