Poważny incydent mający wpływ na bezpieczeństwo: kiedy działa art. 14

1. Czym jest poważny incydent w rozumieniu rozporządzenia

To nie „poważny problem”, lecz zdefiniowana kategoria: incydent, który negatywnie wpływa na zdolność produktu z elementami cyfrowymi do ochrony dostępności, autentyczności, integralności lub poufności danych i funkcji, albo który doprowadził do wykonania złośliwego kodu. Dwie przesłanki alternatywne: wystarczy jedna.

Praktyczna różnica wobec wykorzystywanej podatności tkwi w punkcie wyjścia. Tam punktem wyjścia jest wada produktu, którą ktoś wykorzystał. Tutaj — zdarzenie: nieuprawniony dostęp do infrastruktury aktualizacji, skompromitowany klucz podpisujący, złośliwy pakiet, który trafił do łańcucha dystrybucji. Wada mogła nigdy nie istnieć.

2. Dwa łańcuchy, nie jeden

Art. 14 utrzymuje oba łańcuchy oddzielnie, a ich mylenie oznacza uchybienie terminom. Obowiązek uruchamiają dwa zdarzenia:

• aktywnie wykorzystywana podatność produktu, czyli poparta dowodami, że ktoś użył jej bez upoważnienia;
• poważny incydent mający wpływ na bezpieczeństwo produktu, także bez wykorzystanej podatności.

Dwa pierwsze terminy są identyczne — 24 i 72 godziny — ostatni już nie, podobnie jak treść poszczególnych zgłoszeń. Rozróżnienie między podatnością zgłoszoną a wykorzystywaną nie pomaga w kwalifikacji incydentu: to dwie różne osie.

3. Od kiedy biegną godziny

Od momentu powzięcia wiedzy. Nie od otwarcia sprawy, nie od zebrania sztabu kryzysowego, nie od chwili zrozumienia skali. Od chwili, w której producent dowiaduje się o incydencie: zgłoszenie na adres publiczny, alert monitoringu, który ktoś przeczytał, telefon od klienta.

To moment, który trzeba będzie umieć wskazać organowi, wraz z dowodem, kiedy został ustalony. Późne ustalenie nie wydłuża terminów: przesuwa je jedynie na papierze — a to właśnie papier będzie oglądany.

4. Trzy zgłoszenia i termin, który się zmienia

Łańcuch jest ten z art. 14, z jedną różnicą w sprawozdaniu końcowym:

• wczesne ostrzeżenie w ciągu 24 godzin od powzięcia wiedzy: deklarują Państwo, że wystąpił poważny incydent, wraz z posiadaną wiedzą;
• zgłoszenie aktualizujące w ciągu 72 godzin: wstępna ocena, dotkliwość, skutki oraz podjęte środki naprawcze lub ograniczające;
• sprawozdanie końcowe w ciągu miesiąca od zgłoszenia aktualizującego: opis incydentu, dotkliwość i skutki, przyczyny, zastosowane środki.

W tym miejscu oba łańcuchy się rozchodzą. Przy wykorzystywanej podatności sprawozdanie końcowe kotwiczy się w dacie udostępnienia środka naprawczego, plus czternaście dni. Przy poważnym incydencie — w zgłoszeniu aktualizującym, plus miesiąc. Prowadzenie incydentu według kalendarza podatności oznacza uchybienie terminowi o tygodnie.

5. Komu się zgłasza

Dwóm odbiorcom przewidzianym w rozporządzeniu: CSIRT wyznaczonemu przez państwo członkowskie oraz ENISA. Złożenie odbywa się przez jednolitą platformę zgłoszeniową ustanowioną w art. 16, z poświadczeniami EU Login: to kroki administracyjne, które przygotowuje się wcześniej, nie w ciągu dwudziestu czterech godzin.

Terminy rozporządzenia użyte na tej stronie — poważny incydent, moment powzięcia wiedzy, środek naprawczy, jednolita platforma zgłoszeniowa — znajdują się w słowniku, każdy z właściwym artykułem.

6. Co przygotować wcześniej

Poważny incydent kwalifikuje się pod presją, a kwalifikację dokumentuje się w trakcie, nie odtwarza po fakcie. Cztery rzeczy robią różnicę:

• jeden kanał, do którego trafiają zgłoszenia zewnętrzne, ze znacznikiem czasu przy każdym wpływie;
• spisane kryterium odróżniające awarię od incydentu mającego wpływ na bezpieczeństwo;
• punkt kontaktowy wobec wyznaczonego CSIRT i poświadczenia EU Login, już zweryfikowane;
• rejestr decyzji: uzasadnione „nie, to nie jest poważny incydent” liczy się jako należyta staranność, a milczące „nie” nie liczy się wcale.

Żadnej z tych czterech rzeczy nie buduje się w dniu zdarzenia.

Ta strona opisuje rozporządzenie w sposób ogólny; nie stanowi porady prawnej ani oceny konkretnego przypadku. Kwalifikacja zdarzenia i wynikające z niej terminy pozostają obowiązkiem producenta.