NIS2 incidensbejelentés 24 és 72 órán belül: eljárás, felelősségek és felkészültségi gyakorlat

A 24 és 72 órás incidensbejelentési eljárás nem kezdődhet egy űrlap kitöltésével, és nem érhet véget az informatikai terület felelősségénél. Az eredményesség azon múlik, mikor tekinti a szervezet úgy, hogy tudomást szerzett az incidensről, ki értékeli annak hatását, ki hozza meg a döntést, és elkészíthető, illetve elküldhető-e a bejelentés hiányos adatok, kulcsszereplők távolléte vagy az alapvető rendszerek kiesése esetén is. A felkészültséget ezért szervezeti egységeken átívelő folyamatként kell kialakítani, majd időnyomás alatt végrehajtott gyakorlattal kell igazolni.

Miért indul el az óra korábban, mint ahogyan azt a vezetés feltételezi?

A határidő kezdetét nem célszerű a teljes körű műszaki megerősítéshez vagy ahhoz kötni, amikor az ügy eljut a bejelentésre jogosult személyhez. A szervezetnek különbséget kell tennie az esemény – vagyis egy észlelt rendellenesség vagy figyelmeztetés – és a biztonsági incidens között, amely az eszközök vagy szolgáltatások bizalmasságát, sértetlenségét, rendelkezésre állását vagy hitelességét érinti. A következő szintet a jogszabály szerinti bejelentési feltételeket teljesítő incidens jelenti. Nem minden riasztás indítja el tehát a 24 és 72 órás eljárást, de minden jelzést előre meghatározott szabályok szerint minősíteni kell.

A késedelem legnagyobb kockázata akkor keletkezik, ha az eljárás nem határozza meg egyértelműen, mikor szerzett tudomást a szervezet az incidensről. Az első információ érkezhet a szervizhez, egy gyártósori operátorhoz, a rendszergazdához, a szolgáltatóhoz vagy az ügyfélszolgálathoz. Ha az időt csak az igazgatósági tag vagy a biztonsági koordinátor értesítésétől számítják, mesterséges rés keletkezik a zavar tényleges felismerése és a formális intézkedés között. Az eljárásnak ezért rögzítenie kell a belső és külső jelzési forrásokat, az eszkalációs kritériumokat, valamint azt a szerepkört, amely eldönti, hogy a zavar túllépte-e a szokásos üzemzavar küszöbét.

Ha a termelési rendszert üzemeltető szolgáltató elérhetőségkiesésről és feltételezett külső beavatkozásról tájékoztatja a szervizt, előfordulhat, hogy az ok, a teljes kiterjedés és a helyreállítás várható időpontja még nem ismert. Ez nem indokolja a végleges műszaki jelentés megvárását. Az eszkalációhoz elegendő lehet a jelzés észlelésének időpontja, az érintett szolgáltatások és telephelyek, a megfigyelt hatás, a lehetséges következmények, valamint a már megtett kárenyhítő intézkedések ismerete. Ezek alapján a felhatalmazott személy előzetes értékelést végez, és dokumentálja a bejelentési útvonal elindításáról vagy mellőzéséről szóló döntést.

A 24 és 72 órás szakaszt ugyanazon incidensről rendelkezésre álló ismeretek fokozatos bővítéseként kell kezelni: először a rendelkezésre álló információk alapján korai figyelmeztetés történik, majd a pontosabb megállapításokkal kiegészül az értékelés. Nem két egymástól független adminisztratív kötelezettségről van szó. A konkrét határidőket, minősítési küszöböket és bejelentési csatornákat minden esetben a NIS2-t átültető, hatályos nemzeti szabályozás és az illetékes hatóság követelményei alapján kell ellenőrizni; az eljárás nem épülhet kizárólag az irányelvre. A kialakított megoldások működőképessége a NIS2-audit gyártóvállalatnál – hogyan ellenőrizhető, hogy a szervezet felkészült-e az új kötelezettségekre? című anyagban bemutatott megközelítéssel is értékelhető.

Hol veszíti el a szervezet az első órákat?

Az első órák gyakran nem műszaki elemzéssel, hanem várakozással telnek. A jelzés az ügykezelő rendszerben marad, munkaidőn kívül nem működik a kapcsolattartási lánc, a szolgáltató szakvéleményt készít, a szervezeti egységek vitatják a hatás mértékét, miközben a döntésre jogosult személy nem elérhető. A késedelmet tovább növeli a több forrásból származó adatok kézi összegyűjtése. A probléma elsősorban az informatika, az üzemeltetési technológia, a termelés, a minőségirányítás, a jog, a kommunikáció, az adatvédelem, a beszerzés és a felső vezetés kapcsolódási pontjain keletkezik, mert minden terület csak az információ egy részével rendelkezik.

Egy gyártóvállalatnál a tervezési rendszerhez való hozzáférés elvesztése és egyes berendezések instabil működése kezdetben nem ad teljes képet. Lehet egymástól függő rendszerek meghibásodása, az üzemeltetési technológia zavara vagy szélesebb körű incidens. A szervezetnek párhuzamosan kell védenie a működést és a termelés folytonosságát, azonosítania az érintett eszközöket és telephelyeket, valamint végrehajtania az eszkalációt. A műszaki hatások korlátozása nem várhat a formális döntésre, de a bejelentésről szóló döntést sem szabad az ok teljes feltárásáig vagy a zavar teljes megszüntetéséig halasztani.

A szűk keresztmetszeteket legjobban olyan forgatókönyv-alapú gyakorlat tárja fel, amely éjszakai eseményt és egy kulcsszereplő elérhetetlenségét is modellezi. Mérni kell az első jelzéstől az eszkalációig, a minősítésig, a döntéshozó eléréséig és a minimális adatkészlet összegyűjtéséig eltelt időt. Az informatikai és elektronikus hírközlési szolgáltatókkal kötött szerződések feltételeit szintén ellenőrizni kell. A szolgáltató támogathatja az információk összeállítását, de a szervezet nevében történő bejelentéshez egyértelmű jogalap, megfelelő felhatalmazás és a hatályos eljárással való összhang szükséges. A rendszer üzemeltetése önmagában nem ruházza át a felelősséget.

A felkészültség értékelésének az egész szervezetre ki kell terjednie, nem csak az informatikai részlegre: vizsgálni kell a szerepköröket, az információáramlást, a szolgáltatókat, az üzemeltetési technológiát és a válságkezelést. E mechanizmusok működésének bizonyítékai legyenek összhangban a NIS2- és KSC-dokumentáció az ellenőrzés előtt: mely szabályzatokra, nyilvántartásokra és bizonyítékokra van valóban szükség? című anyagban leírt terjedelemmel.

Eljárás a jelzéstől a bejelentésig

Az eljárásnak az első jelzéstől a dokumentált beküldésig kell vezetnie a folyamatot anélkül, hogy a döntést a műszaki elemzés lezárásához kötné. A folyamat magában foglalja a jelzés fogadását, időpontjának és forrásának rögzítését, az előzetes minősítést, a bizonyítékok megőrzését és a szolgáltatásra gyakorolt hatás értékelését. Ezt követi az eszkaláció, a döntéshozatal, a közlemény elkészítése, a megfelelő csatornán történő beküldés és a visszaigazolás megőrzése. Minden szakaszhoz folyamatgazdát, helyettest, belső határidőt és előírt feljegyzést kell rendelni. A belső határidőknek időtartalékot kell biztosítaniuk a jóváhagyásra és az esetleges beküldési problémák kezelésére, ezért nem eshetnek egybe a jogszabályi határidő végével.

Az első, legfeljebb 24 órás szakaszban a megerősített információk minimális csomagjára van szükség: a szervezet azonosítása, az észlelés időpontja, az érintett szolgáltatás, a megfigyelt következmények, az ismert kiterjedés és a megtett intézkedések. A bizonytalan információkat előzetesként kell megjelölni, feltüntetve azok forrását és ellenőrzésük módját. Az okra, a teljes kiterjedésre vagy az esemény lezárásának időpontjára vonatkozó ismeretek hiánya nem vezethet látszólagos teljesség kialakításához, és nem tarthatja fel automatikusan a közleményt. Az eljárásban meg kell határozni, ki hagyja jóvá a bejelentést, ki jár el helyettesként, és hogyan történik a korábban közölt információk frissítése.

Ha egy üzem elveszíti a hozzáférést a megrendelések végrehajtását vezérlő rendszerhez, a koordinátor rögzíti a riasztást, az észlelés időpontját és a felhasználói visszajelzéseket, miközben a műszaki csapat biztosítja az eseménynaplókat és korlátozza a következményeket. A szolgáltatásgazda értékeli a termelésre, a logisztikára és az ügyfelekre gyakorolt hatást, a döntéshozó pedig a rendelkezésre álló adatok alapján minősíti a bejelentési kötelezettséget. Ha az incidens még tart, a nyilvántartási rendszer nem érhető el, vagy az esemény forrása a szolgáltató, az előkészített tartalék csatornát kell használni a végleges jelentés megvárása nélkül. Több vállalatból álló csoport esetén vállalatonként külön kell meghatározni az érintett szolgáltatásokat, az adott jogalanyra vonatkozó illetékességet és az egyes szervezetek nevében történő eljárásra szóló felhatalmazást.

A 72 órás szakaszig a szervezet – a mindenkor hatályos jogszabályok és űrlapok által előírt körben – kiegészíti az incidens jellegének és súlyosságának, hatásának, a rendelkezésre álló kompromittálódási indikátoroknak, valamint a kárenyhítő intézkedéseknek az értékelését. Ha a későbbi megállapítások megváltoztatják az esemény mértékét, okát vagy minősítését, a korábbi tájékoztatást ellenőrzött módon kell helyesbíteni, nem pedig nyom nélkül felülírni. Az eljárás bevezetése előtt ezért ellenőrizni kell az adott szervezeti kategória szerint illetékes hatóságot vagy reagáló csoportot, a bejelentési csatornát, a határidők számításának szabályait, valamint a frissítésre és a további jelentéstételre vonatkozó követelményeket. A személyi hatályt részletesebben a NIS2 gyártóvállalatok számára: kikre vonatkozik, milyen kötelezettségeket vezet be, és hogyan készíthető fel a szervezet anélkül, hogy a kérdést kizárólag informatikai feladatként kezelné? című anyag ismerteti.

Az információáramlás alapja egyetlen incidensnyilvántartás legyen, amely tartalmazza az idővonalat, a megállapítások egymást követő változatait, az adatforrásokat, a döntéseket és azok indokolását, a közlemények tartalmát, valamint a beküldési igazolásokat. Az e-mail és az üzenetküldő alkalmazások használhatók riasztásra, de nem hozhatnak létre egymással párhuzamos, eltérő incidensleírásokat. A folyamat felkészültségét a jelzéstől a nyilvántartásba vételig, az eszkalációig, a döntésig és a beküldésig eltelt idővel, az azonosított forrást tartalmazó bejegyzések arányával, valamint annak visszakövethetőségével kell mérni, hogy ki és milyen alapon módosította az incidens értékelését.

Szerepkörök, helyettesítések és döntési küszöbök

A bejelentési folyamatban egyértelműen el kell különíteni a feladatokat, a felelősségeket és a hatásköröket. Az eseményt észlelő személy nyilvántartásba veszi azt, és elindítja az eszkalációt. Az incidenskoordinátor vezeti az idővonalat és az információáramlást, a műszaki szakértő pedig értékeli az esemény jellegét és biztosítja az adatokat. A szolgáltatás- vagy folyamatgazda meghatározza az operatív hatást, a megfelelő jogi kompetenciával rendelkező személy értékeli a tájékoztatási kötelezettséget, a jóváhagyó dönt a bejelentésről, a felhatalmazott munkatárs pedig elvégzi a beküldést és megőrzi annak bizonyítékát. Egy személy több szerepkört is elláthat, ha ez nem teszi bizonytalanná a döntési jogosultságot, és nem hoz létre egyetlen személytől való kritikus függőséget.

A felelősségi mátrix csak akkor használható a gyakorlatban, ha a munkakör megnevezésén túl rögzíti a feladat terjedelmét, az elvárt reakcióidőt, a döntési jogkört, a helyettest és az elvárt végrehajtási bizonyítékot is. Azt is meg kell határoznia, ki dönthet hiányos adatok alapján, és hogyan oldható fel a termelés folytonossága, a biztonság és a tájékoztatási kötelezettség közötti konfliktus. A felső vezetés hagyja jóvá a reagálási modellt, az eszkalációs küszöböket és a rendelkezésre álló erőforrásokat. A teljes döntési kockázat nem ruházható át a rendszergazdára vagy a minőségirányítási megbízottra, mivel rendszerint nincs felhatalmazásuk az üzleti és jogi következmények mérlegelésére.

Nem szükséges minden bejelentést igazgatósági tagnak jóváhagynia, ha a belső hatásköri modell megfelelő meghatalmazásról vagy felhatalmazásról rendelkezik, összhangban az adott szervezetre és bejelentési csatornára irányadó követelményekkel. A helyettesítéshez név szerint ki kell jelölni a következő személyt, biztosítani kell a napi 24 órában használható elérhetőségi adatokat, és meg kell határozni, mikor veszi át az ügyet, ha az elsődleges kapcsolattartó az előírt időn belül nem érhető el. A helyettesnek tényleges hozzáféréssel kell rendelkeznie a nyilvántartáshoz, az űrlaphoz, a postafiókhoz, a szükséges elektronikus aláírásokhoz és a tartalék csatornához. A felhatalmazások tényleges megadása nélkül a puszta eljárási előírás nem biztosít működési folytonosságot.

Ha az incidens éjszaka történik, a koordinátor nem várhat korlátlan ideig a jóváhagyó személyre. A belső kapcsolattartási határidő lejárta után annak helyettesét, majd a rendkívüli döntésre jogosult személyt kell értesítenie. A belső határidőket egyértelműen rövidebbre kell szabni a külső határidőknél, megfelelő tartalékot hagyva az adatok ellenőrzésére, a jogi minősítésre, a jóváhagyásra, a műszaki nehézségek kezelésére és a beküldés dokumentálására. Az észleléstől az eszkalációig, a döntésig és a bejelentés továbbításáig eltelt időt a gyakorlatokon mérni kell.

A modellhez biztosítani kell az ügyeleti rendszer, a hozzáférések, a képzések és az eszközök finanszírozását, ezért ezt figyelembe kell venni a Mennyibe kerül a NIS2 és az uKSC bevezetése – hogyan tervezhető meg az audit, a dokumentáció, a képzések és a védelmi intézkedések költségvetése költséges hibák nélkül? című anyagban ismertetett tervezés során. Az egyetlen döntéshozóra vagy egyetlen jogosultsággal rendelkező személyre épülő megoldás csak látszólagos megtakarítás: incidens esetén a szervezeti elérhetetlenség a formális késedelem közvetlen okává válhat.

Gyakorlat, amely feltárja a tényleges felkészültséget

Az incidensbejelentési felkészültséget nem az eljárás ismerete, hanem annak időnyomás alatt, hiányos információkkal történő végrehajthatósága igazolja. A gyakorlat forgatókönyvében az információkat fokozatosan célszerű rendelkezésre bocsátani. A kezdeti jelzés lehet kétértelmű, egyes rendszerek és dokumentumok nem érhetők el, a szolgáltató késve válaszolhat, az operatív hatás pedig a további közlésekkel együtt súlyosbodhat. Ez a felépítés megmutatja, képes-e a szervezet az eszkalációt a teljes műszaki elemzés megvárása nélkül megkezdeni.

A gyakorlatot valósághű idővonalon kell végrehajtani, rögzítve a jelzés fogadásának és nyilvántartásba vételének, a koordinátor értesítésének, a csapat összehívásának, az előzetes minősítésnek, a szöveg elkészítésének, jóváhagyásának és a beküldési kísérletnek az időpontját. A próbának nem szabad valódi bejelentést eredményeznie, kivéve, ha előzetesen egyeztették a biztonságos tesztkörnyezetet és az adatok megfelelő megjelölését. Külső felek bevonásáról külön döntést kell hozni. A szolgáltatót akkor érdemes bevonni, ha információja, hozzáférése vagy intézkedése nélkülözhetetlen az incidens minősítéséhez. A felső vezetésnek legalább abban a változatban részt kell vennie, amely üzleti döntést, kockázatelfogadást vagy helyettesítés aktiválását igényli.

Egy példaforgatókönyv a termelési rendszer lassulásának bejelentésével kezdődhet. Ezt követően a gyakorlat vezetője közli, hogy az eseménynapló nem érhető el, a jóváhagyó személy elérhetetlen, az érintett folyamatok számáról ellentmondásos adatok állnak rendelkezésre, a szolgáltató pedig nem válaszol. A megfigyelők nem adnak tanácsot a csapatnak, hanem rögzítik a tényleges időket és bizonyítékokat. Értékelik, mennyi idő alatt jutott el a jelzés a koordinátorhoz, elérhetők voltak-e a helyettesek, hány felelősségi kérdés maradt tisztázatlan, teljes volt-e az idővonal, milyen eltérések voltak a források között, és használható volt-e a tartalék csatorna. Feljegyzik továbbá a helyettes nélküli szerepköröket, a hiányzó jogosultságokat és az elavult kapcsolattartási adatokat.

Az értékelés nem korlátozódhat annak megállapítására, hogy a próbabejelentés elkészült-e a belső határidőn belül. Azt is ellenőrizni kell, hogy a résztvevők:

• elkülönítették-e a megerősített tényeket a feltételezésektől,
• feltüntették-e az információforrásokat,
• dokumentálták-e a minősítés alapját,
• megjelölték-e a később kiegészítendő adatokat,
• az elfogadott szabályok szerint aktiválták-e a helyettesítéseket,
• képesek voltak-e használni a tartalék bejelentési csatornát.

Az is lényeges eredmény, hogy a csapat miként működik bizonytalanság mellett. Nem minősíthet automatikusan minden zavart bejelentésköteles incidensnek, de az eszkalációt sem tarthatja vissza a teljes körű műszaki elemzés befejezéséig.

A gyakorlatot nem pusztán jegyzőkönyvvel, hanem helyesbítő intézkedési tervvel kell lezárni. Minden feltárt hiányossághoz felelőst, megszüntetési határidőt, mérhető eredményességi kritériumot és ismételten tesztelendő elemet kell rendelni. Nyomon kell követni a szervezet által elfogadott határidőn belül lezárt és eredményesen visszaellenőrzött intézkedések arányát. A következő gyakorlatok gyakoriságát és a forgatókönyvek változtatását a kockázatok, az előző gyakorlat eredményei és a szervezeti változások alapján kell meghatározni. További gyakorlat indokolt különösen új szerepkörök, szolgáltatók, rendszerek vagy bejelentési csatornák bevezetése, illetve jelentős hiányosságok feltárása esetén. A megállapítások legyenek összhangban a A NIS2 bevezetése a KSC-jegyzékbe történő felvétel után – intézkedési terv 2027. április 3-ig című anyagban ismertetett ütemezéssel.

A vezetői felkészültség minimális követelményei

A felső vezetés csak akkor tekintheti működőképesnek az incidensbejelentési folyamatot, ha jóváhagyta annak teljes szervezeti rendszerét. Ez magában foglalja az eljárást, az eszkalációs kritériumokat, a naprakész kapcsolattartási listát, a kijelölt szerepköröket és helyetteseket, az elsődleges és a tartalék bejelentési csatornához való hozzáférést, a közleménysablonokat, az egységes incidensnyilvántartást, a bizonyítékok biztosítására és megőrzésére vonatkozó szabályokat, valamint a végrehajtott gyakorlatot. Bármely elem hiányát működési kockázatként, nem pedig egyszerű dokumentációs hiányosságként kell értékelni.

A felkészültséget nem a jóváhagyott dokumentumok száma, hanem az esemény észlelésétől a minősítésen és döntésen át a bejelentés elkészítéséig és elküldéséig vezető, összefüggő bizonyítéklánc igazolja. Ennek tartalmaznia kell az időpontokat, az információforrásokat, a döntéshozó személyeket, a minősítés alapját és az illetékes szervezetnek továbbított tartalmat. A szervezetnek azt is igazolnia kell, hogy kulcsszereplők távolléte, az alapvető rendszerek meghibásodása és korlátozott adathozzáférés esetén is képes működni.

A gyakorlatot vezetőségi átvizsgálásnak kell követnie, amely még az audit vagy hatósági ellenőrzés előtt konkrét döntésekké alakítja a megállapításokat. A folyamatgazda saját hatáskörén belül módosíthatja az utasítást, a nyilvántartást vagy a kapcsolattartási listát. A felső vezetésnek kell döntenie azokról a hiányosságokról, amelyek maradványkockázat elfogadását, változtatások finanszírozását, további erőforrásokat vagy a felelősségek módosítását igénylik. Minden intézkedéshez felelőst, határidőt és az eredményesség ismételt ellenőrzésének időpontját kell rendelni.

Az incidensbejelentést a szélesebb körű bevezetési tervbe kell illeszteni, minden esetben ellenőrizve a határidők és követelmények aktualitását. Az érettség értékelésekor érdemes figyelembe venni a NIS2 és MSZ EN ISO 27001: mit biztosít a tanúsítvány, és mi hiányzik még a KSC-követelmények teljesítéséhez? című anyag szempontjait is. A szervezet akkor tekinthető felkészültnek, ha korlátozott idő és hiányos információk mellett is képes meghozni, végrehajtani és bizonyítani a megfelelő döntést.