Jak zgłaszać do CSIRT NASK na mocy CRA

1. Kto otrzymuje Państwa zgłoszenie: CSIRT NASK, CSIRT GOV i CSIRT MON

CSIRT NASK, CSIRT GOV i CSIRT MON są trzema organami krajowymi, z kompetencjami podzielonymi sektorowo: NASK dla sfery cywilnej, GOV dla administracji państwowej, MON dla obronności. NASK działa z Warszawy i jest jednocześnie instytutem badawczym, rejestrem domeny krajowej i zespołem reagowania — połączenie rzadkie w Europie.

Łańcuch wygląda dokładnie tak: organ jako instytucja, CSIRT NASK jako zespół operacyjny, który czyta Państwa zgłoszenie i który razem z ENISA tworzy adresata przewidzianego w art. 14.

Polska nie ma jednego CSIRT krajowego, lecz trzy: CSIRT NASK dla sektora cywilnego, CSIRT GOV dla administracji państwowej — umiejscowiony w ABW — oraz CSIRT MON dla obronności. To trzy odrębne organy, których kompetencje ustawa o krajowym systemie cyberbezpieczeństwa dzieli sektorowo.

2. Kanał krajowy w praktyce

Językiem zgłoszenia jest polski. NASK publikuje ostrzeżenia i materiały techniczne po polsku, częściowo po angielsku; dla producenta zagranicznego to punkt wymagający najwięcej przygotowania spośród krajów opisanych na tych stronach.

Prywatny producent podlega z reguły CSIRT NASK. Podział nie zależy od rodzaju zdarzenia, lecz od sektora, w którym Państwo działają, a w przypadkach mieszanych — dostawca cywilny obsługujący również obronność — należy go wyjaśnić wcześniej, nie w trakcie.

CSIRT NASK · oficjalna strona

3. Otoczenie, w którym działa

Polska zbudowała swój system na ustawie z 2018 r. o krajowym systemie cyberbezpieczeństwa, później dostosowanej do NIS2. To model trójfilarowy, wprost pomyślany tak, by utrzymać łańcuch wojskowy oddzielnie od cywilnego.

Dla CRA wyznaczenie CSIRT przyjmującego zgłoszenia producentów wynika z krajowego wdrożenia rozporządzenia i nie wynika automatycznie z tego podziału. Proszę sprawdzić obowiązujące wyznaczenie przed złożeniem.

Ostatni praktyczny punkt: NASK jest także instytutem badawczym i prowadzi rejestr domeny krajowej obok CSIRT. To rozmówca o szerokich kompetencjach technicznych, ale podział między trzy CSIRT pozostaje zmienną, którą trzeba wyjaśnić najpierw, bo jako jedyna nie wynika z produktu.

4. Jak przebiega złożenie, w skrócie

Złożenie to nie e-mail do organu: odbywa się przez jednolitą platformę zgłoszeniową ustanowioną w art. 16, a dostęp wymaga wcześniej zweryfikowanych poświadczeń EU Login.

Łańcuch terminów — 24 godziny, 72 godziny, sprawozdanie końcowe — jest taki sam w całej Unii i w całości opisuje go strona o art. 14. Przy drugim wyzwalaczu artykułu termin końcowy się zmienia: opisuje go strona o poważnym incydencie.

5. Co przygotować przed incydentem

Pięć rzeczy, ułożonych na spokojnie, decyduje o tym, czy zgłoszenie trafi na czas, czy za późno. Pierwsza to punkt kontaktowy wobec CSIRT NASK, wyznaczony i zweryfikowany, z imiennie wskazanym zastępcą: w dniu zdarzenia nie szuka się, kto ma poświadczenia.

W Polsce warto z wyprzedzeniem przygotować polską wersję powtarzalnych treści technicznych i potwierdzić na piśmie, który z trzech CSIRT jest właściwy: to dwie rzeczy, których brak kosztuje godziny dokładnie wtedy, gdy ich nie ma.

I uwaga o czasie: Polska działa w CET/CEST. Dwadzieścia cztery godziny z art. 14 nie zatrzymują się w dni świąteczne, a tych jest w Polsce wiele i są skupione. Jeśli dokumentację techniczną trzeba przed złożeniem przetłumaczyć na polski, ten czas odejmuje się od dwudziestu czterech godzin, a nie dodaje.

Ten przewodnik przedstawia naszą lekturę tekstu rozporządzenia i procedur publicznych; nie stanowi porady prawnej, a szczegóły operacyjne platformy mogą się zmieniać.