Докладване на инциденти по NIS2 в рамките на 24 и 72 часа: процедура, отговорности и проверка на готовността

Процедурата за докладване на инциденти в рамките на 24 и 72 часа не трябва да започва с формуляра и да приключва с прехвърляне на отговорността към ИТ отдела. Нейната ефективност зависи от това кога организацията приема, че е узнала за инцидента, кой оценява въздействието, кой взема решението и дали уведомлението може да бъде подготвено и изпратено при непълна информация, отсъствие на ключови лица или отказ на основни системи. Затова готовността трябва да бъде изградена като междуфункционален процес и впоследствие проверена чрез учение под времеви натиск.

Защо срокът започва да тече по-рано, отколкото ръководството предполага

Началото на срока не трябва да се обвързва с окончателно техническо потвърждение или с предаването на случая на лицето, оправомощено да извърши уведомяването. Организацията трябва да разграничава събитие — наблюдавана аномалия или предупреждение — от инцидент, който засяга поверителността, целостта, наличността или автентичността на активи и услуги. Следващото ниво е инцидент, който отговаря на законовите критерии за докладване. Следователно не всяка аларма задейства режима за 24- и 72-часово докладване, но всеки сигнал трябва да бъде класифициран по предварително определени правила.

Най-същественият риск от забавяне възниква, когато процедурата не определя момента, в който организацията се счита за узнала за инцидента. Първият сигнал може да бъде получен от сервизен екип, оператор на производствена линия, системен администратор, доставчик на услуги или звено за обслужване на клиенти. Ако срокът започва да се отчита едва след уведомяване на член на ръководството или координатора по сигурността, се създава изкуствена пауза между реалното установяване на нарушението и формалната реакция. Затова процедурата трябва да определя източниците на вътрешни и външни сигнали, критериите за ескалация и ролята, която решава дали нарушението е надхвърлило прага на обикновена техническа неизправност.

Ако доставчикът, който поддържа производствена система, съобщи на сервизния екип за загуба на наличност и съмнение за външна намеса, причината, пълният обхват и очакваното време за възстановяване може все още да не са известни. Това не е основание да се изчаква окончателният технически доклад. За ескалация са достатъчни данни за момента на установяване на сигнала, засегнатите услуги и обекти, наблюдаваното въздействие, възможните последици и предприетите ограничителни мерки. Въз основа на тази информация оправомощеното лице извършва първоначална оценка и документира решението дали да бъде задействана процедурата за докладване.

Етапите от 24 и 72 часа трябва да се разглеждат като последователно допълване на знанията за един и същ инцидент: първо се подава ранно предупреждение въз основа на наличните данни, а след това оценката се допълва с по-точни констатации. Това не са две независими административни задължения. Конкретните срокове, праговете за квалифициране и каналите за докладване трябва всеки път да се потвърждават спрямо действащото национално законодателство, транспониращо NIS2, и изискванията на компетентния орган, вместо процедурата да се основава единствено на директивата. Ефективността на приетите механизми може да бъде проверена чрез Одит по NIS2 в производствено предприятие – как да проверите дали организацията е готова за новите задължения.

Къде организацията губи първите часове

Първите часове често се губят не в технически анализ, а в изчакване. Сигналът остава в системата за обслужване, извън работно време няма действаща схема за контакт, доставчикът подготвя становище, отделите спорят за мащаба на въздействието, а лицето с правомощия за решение не е достъпно. Забавянето се увеличава и от ръчното събиране на данни от множество източници. Проблемът възниква основно на границата между ИТ, оперативните технологии, производството, качеството, правния отдел, комуникациите, защитата на данните, снабдяването и ръководството, тъй като всяка от тези функции разполага само с част от необходимата информация.

В производствено предприятие загубата на достъп до системата за планиране, съчетана с нестабилна работа на част от оборудването, не дава веднага цялостна картина. Причината може да е отказ на взаимозависими системи, нарушение в оперативните технологии или инцидент с по-широк обхват. Организацията трябва едновременно да защитава операциите и непрекъснатостта на производството, да установява засегнатите активи и обекти и да изпълнява ескалацията. Техническото ограничаване на последствията не може да чака формалното решение, но и решението за докладване не трябва да се отлага до установяване на причината или пълното отстраняване на нарушението.

Тесните места се установяват най-надеждно чрез сценарийно учение, включващо нощен вариант и недостъпност на ключово лице. Трябва да се измерва времето от първия сигнал до ескалацията, класифицирането, контакта с вземащия решение и събирането на минималния набор от данни. Необходимо е да се проверят и договорните условия с доставчиците на информационни и комуникационни услуги. Доставчикът може да подпомага подготовката на информацията, но докладването от името на организацията изисква ясно основание, надлежно упълномощаване и съответствие с действащата процедура. Самото поддържане на системата не прехвърля отговорността.

Оценката на готовността трябва да обхваща цялата организация, а не само ИТ отдела: роли, информационни потоци, доставчици, оперативни технологии и управление при кризи. Доказателствата за функционирането на тези механизми трябва да бъдат съгласувани с обхвата, описан в материала Документация по NIS2 и KSC преди проверка: какви политики, регистри и доказателства действително са необходими.

Процедура от първия сигнал до изпращането на уведомлението

Процедурата трябва да осигурява проследим път от първия сигнал до документираното изпращане, без решението да зависи от приключването на техническия анализ. Процесът включва приемане на сигнала, записване на часа и източника, първоначално класифициране, запазване на доказателствения материал и оценяване на въздействието върху услугата. След това се задейства ескалацията, взема се решение, подготвя се съобщението, изпраща се по приложимия канал и се съхранява потвърждението. Всеки етап изисква собственик, заместник, вътрешен срок и определен запис. Вътрешните срокове трябва да оставят достатъчен резерв за одобрение и за реакция при проблем с изпращането, вместо да съвпадат със законовия краен срок.

На първия етап, в рамките на 24 часа, е необходим минимален пакет от потвърдена информация: идентификация на субекта, време на откриване, засегната услуга, наблюдавани последици, известен обхват и предприети действия. Несигурната информация трябва да бъде обозначена като предварителна, като се посочат нейният източник и начинът за проверка. Липсата на данни за причината, пълния обхват или момента на приключване на събитието не трябва да води нито до привидна пълнота, нито автоматично да блокира съобщението. Процедурата трябва да определя кой одобрява уведомлението, кой го замества и как се актуализира вече подадената информация.

Когато предприятие загуби достъп до системата, управляваща изпълнението на поръчките, координаторът регистрира алармата, часа на откриване и сведенията от потребителите, докато техническият екип паралелно защитава журналите и ограничава последствията. Собственикът на услугата оценява въздействието върху производството, логистиката и клиентите, а упълномощеният за решението определя дали е налице задължение за докладване въз основа на достъпните данни. Ако инцидентът продължава, системата за регистриране е недостъпна или източникът е доставчик, трябва да се използва предварително подготвеният резервен канал, без да се чака окончателният доклад. В група от няколко дружества трябва отделно да се определят засегнатите услуги, приложимостта спрямо всяко юридическо лице и правомощието за действие от негово име.

До етапа от 72 часа организацията допълва оценката за характера и тежестта на инцидента, неговото въздействие, наличните индикатори за компрометиране и мерките за ограничаване на последствията — в обхвата, произтичащ от действащите нормативни изисквания и формуляри. Ако последващите констатации променят мащаба, причината или класификацията на събитието, първоначалната информация трябва да бъде коригирана контролирано, без да се заличава проследимостта. Преди въвеждане на процедурата трябва да бъдат проверени компетентният за съответната категория субекти орган или екип за реагиране, каналът за докладване, правилата за изчисляване на сроковете и изискванията за актуализиране и последващо отчитане. Обхватът на засегнатите субекти е разгледан по-подробно в NIS2 за производствени предприятия: кого обхваща, какви задължения въвежда и как организацията да се подготви, без темата да се свежда само до ИТ.

Основата на информационния поток трябва да бъде единен регистър на инцидента, съдържащ времева линия, последователните версии на констатациите, източниците на данни, решенията и тяхната обосновка, съдържанието на съобщенията и потвържденията за изпращане. Електронната поща и приложенията за съобщения могат да се използват за алармиране, но не трябва да създават паралелни версии на описанието на инцидента. Готовността на процеса следва да се измерва чрез времето от сигнала до регистрирането, ескалацията, решението и изпращането, дела на записите с посочен източник и възможността да се възстанови кой, кога и на какво основание е променил оценката на инцидента.

Роли, заместници и праг за вземане на решение

Процесът за докладване изисква ясно разграничаване на дейностите, отговорностите и правомощията. Лицето, което установява събитието, го регистрира и задейства ескалацията. Координаторът на инцидента поддържа времевата линия и информационния поток, а техническият експерт оценява характера на събитието и защитава данните. Собственикът на услугата или процеса определя оперативното въздействие, лицето с правна компетентност оценява задължението за уведомяване, одобряващият взема решението за докладване, а оправомощеният служител извършва изпращането и съхранява доказателството. Едно лице може да изпълнява няколко роли, ако това не размива правомощието за решение и не създава единична точка на зависимост.

Матрицата на отговорностите е практически полезна само ако освен длъжността определя обхвата на задачата, изискваното време за реакция, правомощието за вземане на решение, заместника и очакваното доказателство за изпълнение. Тя трябва също да посочва кой може да взема решение при непълни данни и как се разрешава конфликтът между непрекъснатостта на производството, сигурността и задължението за уведомяване. Ръководството утвърждава модела за реагиране, праговете за ескалация и наличните ресурси. То не може да прехвърли целия риск от решението върху системния администратор или представителя по качеството, които обичайно нямат мандат да преценяват бизнес и правните последици.

Не е необходимо всяко уведомление да бъде одобрявано от член на управителния орган, ако вътрешният модел на правомощия предвижда подходящо пълномощно или упълномощаване, съобразено с изискванията за съответния субект и канал за докладване. Заместващият механизъм изисква поименно определяне на следващото лице, денонощни данни за контакт и правило за поемане на случая след безуспешно изтичане на определения срок. Заместникът трябва действително да има достъп до регистъра, формуляра, пощенската кутия, необходимите електронни подписи и резервния канал. Самото упоменаване в процедурата, без предоставени права за достъп, не осигурява непрекъснатост.

Ако инцидентът възникне през нощта, координаторът не трябва да чака неопределено време лицето, което одобрява уведомлението. След изтичане на вътрешния срок той се свързва със заместника, а след това — с лицето, оправомощено да вземе аварийно решение. Вътрешните срокове трябва да бъдат съществено по-кратки от външните, така че да оставят резерв за проверка на данните, правна квалификация, одобрение, технически затруднения и документиране на изпращането. Времето от откриването до ескалацията, решението и подаването на уведомлението трябва да се измерва по време на ученията.

Този модел изисква финансиране на дежурства, достъпи, обучения и инструменти, поради което трябва да бъде включен в планирането, описано в Колко струва внедряването на NIS2 и uKSC – как да изградите бюджет за одит, документация, обучение и мерки за сигурност без скъпи грешки. Оставянето на един-единствен вземащ решение или притежател на необходимите права е привидна икономия: при инцидент организационната недостъпност се превръща в причина за формално забавяне.

Учение, което показва реалната готовност

Готовността за докладване на инцидент не се доказва с познаване на процедурата, а със способността тя да бъде изпълнена под времеви натиск и при непълни данни. Сценарият на учението трябва да се основава на постепенно предоставяне на информация. Първоначалният сигнал може да бъде нееднозначен, част от системите и документацията — недостъпни, доставчикът — забавен с отговора, а оперативното въздействие да нараства с всяко следващо съобщение. Така се установява дали организацията може да започне ескалация, без да чака пълен технически анализ.

Учението трябва да протича по реалистична времева линия, като се регистрират моментите на получаване и записване на сигнала, предаването му на координатора, свикването на екипа, първоначалното класифициране, подготовката на текста, одобрението и опита за изпращане. Тестът не трябва да води до реално подаване на уведомление, освен ако предварително не са договорени защитена тестова среда и начин за обозначаване на данните. Участието на външни страни изисква отделно решение. Доставчикът е целесъобразно да бъде включен, когато неговата информация, достъп или действие са необходими за класифициране на инцидента. Ръководството трябва да участва поне във вариант, който изисква бизнес решение, приемане на риск или задействане на заместващия механизъм.

Примерният сценарий може да започне със сигнал за забавяне на производствената система. След това ръководителят на учението съобщава за липса на достъп до журналите, недостъпност на одобряващото лице, противоречиви данни за броя на засегнатите процеси и липса на отговор от доставчика. Наблюдателите не подсказват на екипа, а записват реалните времена и доказателства. Те оценяват времето за достигане на сигнала до координатора, достъпността на заместниците, броя на неясно разпределените отговорности, пълнотата на времевата линия, несъответствията между източниците и възможността за използване на резервния канал. Регистрират се също роли без заместник, липсващи права и неактуални данни за контакт.

Оценяването не може да се ограничава до констатацията дали проектът на уведомлението е подготвен преди вътрешния срок. Трябва да се провери дали участниците:

• разграничават потвърдените факти от допусканията,
• посочват източниците на информация,
• документират основанието за класифициране,
• обозначават данните, които трябва да бъдат допълнени впоследствие,
• задействат заместниците съгласно приетите правила,
• могат да използват резервния канал за докладване.

Съществен резултат е и начинът на действие в условия на несигурност. Екипът не трябва нито автоматично да класифицира всяко нарушение като подлежащ на докладване инцидент, нито да блокира ескалацията до приключването на пълния технически анализ.

Учението трябва да приключи с план за коригиращи действия, а не само с протокол. За всяка слабост се определят отговорник, срок за отстраняване, измерим критерий за ефективност и елементът, който трябва да бъде проверен повторно. Необходимо е да се наблюдава делът на действията, които са приключени и чиято ефективност е потвърдена в приетия от организацията срок. Честотата на следващите учения и промяната на сценария се определят въз основа на риска, резултатите от предходния тест и организационните промени. Допълнително учение е особено обосновано при нови роли, доставчици, системи, канали за докладване или съществени пропуски. Тези договорености трябва да бъдат съгласувани с графика, описан в Внедряване на NIS2 след вписване в регистъра на KSC – план за действие до 3 април 2027 г..

Минимален стандарт за управленска готовност

Ръководството може да приеме процеса за докладване на инциденти за действащ едва след утвърждаване на цялостния му организационен модел. Той включва процедура, критерии за ескалация, актуален списък с контакти, разпределени роли и заместници, достъп до основния и резервния канал за докладване, образци на съобщения, единен регистър на инцидента, правила за защита и съхранение на доказателства и проведено учение. Липсата на който и да е от тези елементи трябва да се оценява като оперативен риск, а не като редакционен пропуск в документацията.

Доказателството за готовност не е броят на утвърдените документи, а последователната и проследима следа на действията: от откриването на събитието, през класифицирането и решението, до подготовката и изпращането на уведомлението. Тя трябва да показва времето, източниците на информация, лицата, взели решенията, основанието за класифициране и съдържанието, предадено на компетентната страна. Организацията трябва също да докаже, че може да действа при отсъствие на ключови лица, отказ на основни системи и ограничен достъп до данни.

След учението е необходим управленски преглед, който превръща констатациите в решения преди одит или проверка. Собственикът на процеса може да коригира инструкцията, регистъра или списъка с контакти в рамките на своите правомощия. Ръководството трябва да реши въпросите, които изискват приемане на остатъчния риск, финансиране на промени, допълнителни ресурси или промяна на отговорностите. За всяко действие трябва да бъдат определени собственик, срок и дата за повторна проверка на ефективността.

Докладването на инциденти трябва да бъде част от по-широкия план за внедряване, като актуалността на сроковете и изискванията се проверява във всеки конкретен случай. При оценката на зрелостта е целесъобразно да се вземе предвид и темата NIS2 и BDS EN ISO 27001: какво осигурява сертификатът и какво все още липсва за съответствие с KSC. Организацията е действително готова едва когато може да вземе, изпълни и докаже правилното решение в ограничен срок и при непълна информация.