Raportarea incidentelor NIS2 în 24 și 72 de ore: procedură, responsabilități și exercițiu de pregătire

Procedura de raportare a incidentelor în termenele de 24 și 72 de ore nu poate începe cu un formular și nici nu se poate încheia prin atribuirea întregii responsabilități departamentului IT. Eficacitatea ei depinde de momentul în care organizația consideră că a luat cunoștință de incident, de persoana care evaluează impactul, de autoritatea care decide și de capacitatea de a pregăti și transmite raportarea chiar și atunci când informațiile sunt incomplete, persoanele-cheie lipsesc sau sistemele principale sunt indisponibile. Prin urmare, pregătirea trebuie construită ca un proces interdepartamental și verificată ulterior printr-un exercițiu desfășurat sub presiunea timpului.

De ce termenul începe să curgă mai devreme decât presupune conducerea

Începutul termenului nu trebuie legat exclusiv de confirmarea tehnică integrală sau de momentul în care cazul ajunge la persoana autorizată să transmită raportarea. Organizația trebuie să distingă între un eveniment — o anomalie observată sau o alertă — și un incident de securitate care afectează confidențialitatea, integritatea, disponibilitatea ori autenticitatea activelor și serviciilor. Următorul nivel îl reprezintă incidentul care îndeplinește criteriile legale de raportare. Așadar, nu orice alertă activează mecanismul de 24 și 72 de ore, însă fiecare semnal trebuie încadrat pe baza unor reguli stabilite.

Cel mai mare risc de întârziere apare atunci când procedura nu definește momentul în care organizația consideră că a luat cunoștință de incident. Prima informație poate ajunge la echipa de service, la un operator de linie, la un administrator, la un furnizor de servicii sau la departamentul de relații cu clienții. Dacă timpul este calculat numai din momentul informării unui membru al conducerii sau a coordonatorului de securitate, apare un decalaj artificial între identificarea reală a perturbării și reacția formală. Procedura trebuie să indice sursele interne și externe de notificare, criteriile de escaladare și rolul care stabilește dacă perturbarea a depășit nivelul unei defecțiuni obișnuite.

Dacă furnizorul care asigură mentenanța unui sistem de producție informează echipa de service despre pierderea disponibilității și despre suspiciunea unei acțiuni externe, cauza, amploarea completă și durata estimată pentru restabilirea funcționării pot rămâne necunoscute. Acest lucru nu justifică așteptarea raportului tehnic final. Pentru escaladare sunt suficiente informațiile privind momentul identificării semnalului, serviciile și locațiile afectate, impactul observat, consecințele posibile și măsurile de limitare deja aplicate. Pe această bază, persoana autorizată efectuează evaluarea preliminară și documentează decizia de activare sau de neactivare a fluxului de raportare.

Etapele de 24 și 72 de ore trebuie tratate ca o dezvoltare progresivă a informațiilor despre același incident: mai întâi se transmite o avertizare timpurie pe baza elementelor disponibile, apoi evaluarea este completată cu constatări mai precise. Nu sunt două obligații administrative independente. Termenele concrete, pragurile de încadrare și canalele de transmitere trebuie confirmate de fiecare dată în legislația națională în vigoare care transpune NIS2 și în cerințele autorității competente, fără ca procedura să se bazeze exclusiv pe directivă. Eficacitatea soluțiilor adoptate poate fi verificată în cadrul unui audit NIS2 într-o companie de producție – cum verificăm dacă organizația este pregătită pentru noile obligații.

Unde pierde organizația primele ore

Primele ore sunt pierdute frecvent nu cu analiza tehnică, ci cu așteptarea. Sesizarea rămâne în sistemul de ticketing, fluxul de contact nu funcționează în afara programului, furnizorul pregătește o opinie, departamentele discută amploarea impactului, iar persoana cu autoritate de decizie nu este disponibilă. Colectarea manuală a datelor din surse multiple amplifică întârzierea. Problema apare în special la interfața dintre IT, tehnologia operațională, producție, calitate, juridic, comunicare, protecția datelor, achiziții și conducere, deoarece fiecare dintre aceste funcții deține numai o parte din informații.

Într-o companie de producție, pierderea accesului la sistemul de planificare, combinată cu funcționarea instabilă a unor echipamente, nu oferă imediat o imagine completă. Poate indica o defecțiune a unor sisteme interdependente, o perturbare a tehnologiei operaționale sau un incident cu o amploare mai mare. Organizația trebuie să protejeze în paralel operațiunile și continuitatea producției, să identifice activele și locațiile afectate și să mențină escaladarea. Limitarea consecințelor tehnice nu poate aștepta decizia formală, dar nici decizia privind raportarea nu trebuie amânată până la stabilirea cauzei sau la eliminarea completă a perturbării.

Blocajele sunt cel mai bine evidențiate printr-un exercițiu bazat pe scenarii, care să includă o variantă de noapte și indisponibilitatea unei persoane-cheie. Trebuie măsurat timpul dintre primul semnal și escaladare, încadrare, contactarea decidentului și colectarea setului minim de date. Este necesară și verificarea condițiilor contractuale aplicabile furnizorilor de servicii IT și de comunicații. Furnizorul poate sprijini pregătirea informațiilor, însă raportarea în numele organizației necesită un temei clar, o împuternicire adecvată și respectarea procedurii aplicabile. Simpla administrare a sistemului nu transferă responsabilitatea.

Evaluarea pregătirii trebuie să cuprindă întreaga organizație, nu doar departamentul IT: rolurile, fluxul informațiilor, furnizorii, tehnologia operațională și managementul situațiilor de criză. Dovezile privind funcționarea acestor mecanisme trebuie să fie coerente cu domeniul prezentat în materialul Documentația NIS2 și KSC înaintea unui control: ce politici, registre și dovezi sunt necesare în realitate.

Procedura de la primul semnal până la raportare

Procedura trebuie să conducă de la primul semnal la transmiterea documentată, fără ca decizia să depindă de finalizarea analizei tehnice. Fluxul include recepționarea semnalului, înregistrarea orei și a sursei, încadrarea preliminară, protejarea materialului probator și evaluarea impactului asupra serviciului. Urmează escaladarea, luarea deciziei, pregătirea comunicării, transmiterea prin canalul corespunzător și păstrarea confirmării. Fiecare etapă are nevoie de un responsabil, un înlocuitor, un termen intern și o înregistrare definită. Termenele interne trebuie să lase suficient timp pentru aprobare și pentru gestionarea problemelor de transmitere, în loc să coincidă cu limita legală.

În prima etapă, de până la 24 de ore, este necesar un set minim de informații confirmate: identificarea entității, momentul detectării, serviciul afectat, consecințele observate, amploarea cunoscută și măsurile adoptate. Informațiile incerte trebuie marcate drept preliminare, cu indicarea sursei și a modalității de verificare. Lipsa informațiilor despre cauză, amploarea totală sau momentul încheierii incidentului nu trebuie să conducă la o imagine falsă de exhaustivitate și nici să blocheze automat comunicarea. Procedura trebuie să stabilească cine aprobă raportarea, cine preia rolul în lipsa titularului și cum sunt actualizate informațiile deja transmise.

Atunci când o unitate de producție pierde accesul la sistemul care coordonează executarea comenzilor, coordonatorul înregistrează alerta, ora detectării și informațiile furnizate de utilizatori, în timp ce echipa tehnică protejează jurnalele de evenimente și limitează consecințele. Proprietarul serviciului evaluează impactul asupra producției, logisticii și clienților, iar decidentul stabilește obligația de raportare pe baza datelor disponibile. Dacă incidentul continuă, sistemul de înregistrare nu este disponibil sau sursa evenimentului este un furnizor, trebuie utilizat canalul alternativ pregătit, fără a se aștepta raportul final. Într-un grup care include mai multe societăți trebuie stabilite separat serviciile afectate, competența aplicabilă fiecărei entități și mandatul de a acționa în numele acesteia.

Până la etapa de 72 de ore, organizația completează evaluarea privind natura și gravitatea incidentului, impactul acestuia, indicatorii de compromitere disponibili și măsurile de limitare a consecințelor — în măsura prevăzută de legislația și formularele în vigoare. Dacă constatările ulterioare modifică amploarea, cauza sau încadrarea evenimentului, informația anterioară trebuie corectată în mod controlat, fără a fi înlocuită prin pierderea trasabilității. Înainte de implementarea procedurii trebuie verificate autoritatea sau echipa de răspuns competentă pentru categoria respectivă de entitate, canalul de raportare, regulile de calcul al termenelor și cerințele privind actualizările și raportările ulterioare. Domeniul de aplicare este prezentat mai amplu în materialul NIS2 pentru companiile de producție: cui i se aplică, ce obligații introduce și cum poate fi pregătită organizația fără a reduce subiectul exclusiv la IT.

Fluxul informațional trebuie să se bazeze pe un singur registru al incidentului, care să conțină cronologia, versiunile succesive ale constatărilor, sursele datelor, deciziile și justificările lor, conținutul comunicărilor și confirmările de transmitere. E-mailul și aplicațiile de mesagerie pot fi utilizate pentru alertare, dar nu trebuie să creeze versiuni paralele ale descrierii incidentului. Pregătirea procesului trebuie măsurată prin timpul scurs de la semnal până la înregistrare, escaladare, decizie și transmitere, prin ponderea înregistrărilor care indică sursa și prin capacitatea de a reconstitui cine a modificat evaluarea incidentului și pe ce bază.

Roluri, înlocuitori și pragul decizional

Procesul de raportare necesită separarea activităților, responsabilităților și autorităților. Persoana care detectează evenimentul îl înregistrează și inițiază escaladarea. Coordonatorul incidentului gestionează cronologia și circuitul informațiilor, iar expertul tehnic evaluează natura evenimentului și protejează datele. Proprietarul serviciului sau al procesului stabilește impactul operațional, persoana cu competențe juridice evaluează obligația de informare, aprobatorul decide raportarea, iar angajatul autorizat efectuează transmiterea și păstrează dovada. O singură persoană poate îndeplini mai multe roluri, cu condiția ca acest lucru să nu dilueze autoritatea decizională și să nu creeze un punct unic de dependență.

Matricea responsabilităților devine utilă numai dacă, pe lângă denumirea funcției, indică sarcina, timpul de reacție necesar, autoritatea decizională, înlocuitorul și dovada așteptată. Ea trebuie să stabilească și cine poate lua o decizie pe baza unor date incomplete, precum și modul de soluționare a conflictului dintre continuitatea producției, securitate și obligația de informare. Conducerea aprobă modelul de răspuns, pragurile de escaladare și resursele disponibile. Nu poate transfera integral riscul decizional administratorului de sistem sau responsabilului pentru calitate, care, de regulă, nu au mandatul de a decide asupra consecințelor comerciale și juridice.

Nu este necesar ca fiecare raportare să fie aprobată de un membru al conducerii dacă modelul intern de competențe prevede o procură sau o autorizare adecvată, conformă cerințelor aplicabile entității și canalului de raportare. Înlocuirea necesită desemnarea nominală a următoarei persoane, date de contact disponibile permanent și o regulă de preluare a cazului după expirarea fără rezultat a timpului stabilit. Înlocuitorul trebuie să aibă acces efectiv la registru, formular, căsuța poștală, semnăturile electronice necesare și canalul alternativ. Simpla mențiune în procedură, fără acordarea drepturilor de acces, nu asigură continuitatea.

Dacă incidentul apare noaptea, coordonatorul nu trebuie să aștepte pe termen nedefinit persoana care aprobă raportarea. După expirarea limitei interne, contactează înlocuitorul acesteia, apoi persoana autorizată să ia decizia în regim de urgență. Termenele interne trebuie stabilite vizibil sub termenele externe, lăsând o rezervă pentru verificarea datelor, evaluarea juridică, aprobare, dificultăți tehnice și documentarea transmiterii. Timpii dintre detectare, escaladare, decizie și transmiterea raportării trebuie măsurați în timpul exercițiilor.

Acest model necesită finanțarea serviciului de permanență, a accesurilor, instruirii și instrumentelor, motiv pentru care trebuie inclus în planificarea descrisă în materialul Cât costă implementarea NIS2 și uKSC – cum se construiește bugetul pentru audit, documentație, instruire și măsuri de securitate fără erori costisitoare. Menținerea unui singur decident sau a unui singur titular al drepturilor de acces reprezintă o economie aparentă: în timpul incidentului, indisponibilitatea organizațională devine cauza unei întârzieri formale.

Exercițiul care arată nivelul real de pregătire

Pregătirea pentru raportarea unui incident nu este confirmată de cunoașterea procedurii, ci de capacitatea de a o executa sub presiunea timpului și pe baza unor informații incomplete. Scenariul exercițiului trebuie construit prin furnizarea treptată a informațiilor. Semnalul inițial poate fi ambiguu, anumite sisteme și documente pot deveni indisponibile, furnizorul poate răspunde cu întârziere, iar impactul operațional poate crește odată cu noile comunicări. O astfel de structură arată dacă organizația poate iniția escaladarea fără să aștepte analiza tehnică integrală.

Exercițiul trebuie desfășurat pe o axă temporală realistă, înregistrând momentul primirii și consemnării semnalului, transmiterea către coordonator, convocarea echipei, încadrarea preliminară, pregătirea conținutului, aprobarea și tentativa de transmitere. Testul nu trebuie să genereze o raportare reală, cu excepția situației în care a fost convenit în prealabil un mediu sigur de testare și un mod clar de marcare a datelor. Participarea entităților externe necesită o decizie separată. Furnizorul trebuie implicat atunci când informația, accesul sau intervenția sa sunt necesare pentru încadrarea incidentului. Conducerea ar trebui să participe cel puțin la varianta care impune o decizie de afaceri, acceptarea unui risc sau activarea mecanismului de înlocuire.

Un exemplu de scenariu poate începe cu raportarea încetinirii unui sistem de producție. Ulterior, facilitatorul dezvăluie lipsa accesului la jurnalul de evenimente, indisponibilitatea persoanei care aprobă, date contradictorii privind numărul proceselor afectate și lipsa răspunsului din partea furnizorului. Observatorii nu oferă indicații echipei, ci înregistrează timpii și dovezile reale. Ei evaluează timpul necesar pentru ca semnalul să ajungă la coordonator, disponibilitatea înlocuitorilor, numărul responsabilităților neclarificate, caracterul complet al cronologiei, diferențele dintre surse și posibilitatea folosirii canalului alternativ. De asemenea, consemnează rolurile fără înlocuitor, drepturile de acces lipsă și datele de contact neactualizate.

Evaluarea nu se poate limita la constatarea că raportarea de test a fost pregătită înainte de termenul intern. Trebuie verificat dacă participanții:

• au separat faptele confirmate de ipoteze,
• au indicat sursele informațiilor,
• au documentat baza încadrării,
• au marcat datele care necesitau completări ulterioare,
• au activat înlocuitorii conform regulilor stabilite,
• au putut utiliza canalul alternativ de raportare.

Un rezultat important îl reprezintă și modul de acțiune în condiții de incertitudine. Echipa nu trebuie nici să încadreze automat fiecare perturbare drept incident supus raportării, nici să suspende escaladarea până la finalizarea analizei tehnice complete.

Exercițiul se încheie cu un plan de acțiuni corective, nu doar cu un proces-verbal. Fiecare deficiență necesită un responsabil, un termen de remediere, un criteriu măsurabil de eficacitate și indicarea elementului care va fi retestat. Trebuie monitorizată ponderea acțiunilor finalizate și verificate ca eficace în termenul stabilit de organizație. Frecvența exercițiilor viitoare și modificarea scenariului se stabilesc pe baza riscului, a rezultatelor testului anterior și a schimbărilor organizaționale. Un exercițiu suplimentar este justificat în special de roluri, furnizori, sisteme sau canale de raportare noi, precum și de deficiențe semnificative. Aceste constatări trebuie corelate cu calendarul descris în materialul Implementarea NIS2 după înscrierea în registrul KSC – plan de acțiune până la 3 aprilie 2027.

Standardul minim de pregătire la nivelul conducerii

Conducerea poate considera că procesul de raportare a incidentelor funcționează numai după aprobarea structurii sale organizaționale complete. Aceasta include procedura, criteriile de escaladare, lista actualizată de contacte, rolurile și înlocuitorii desemnați, accesul la canalul principal și la cel alternativ de raportare, modelele de comunicare, un singur registru al incidentului, regulile de protejare și păstrare a dovezilor și un exercițiu efectuat. Absența oricăruia dintre aceste elemente trebuie evaluată ca risc operațional, nu ca simplă lacună editorială în documentație.

Dovada pregătirii nu este numărul documentelor aprobate, ci trasabilitatea coerentă a acțiunilor: de la detectarea evenimentului, prin încadrare și decizie, până la pregătirea și transmiterea raportării. Aceasta trebuie să indice timpii, sursele informațiilor, persoanele care au luat deciziile, baza încadrării și conținutul comunicat entității competente. Organizația trebuie să poată demonstra și că este capabilă să acționeze în absența persoanelor-cheie, în cazul indisponibilității sistemelor principale și atunci când accesul la date este limitat.

După exercițiu este necesară o analiză efectuată de conducere, prin care constatările sunt transformate în decizii înaintea unui audit sau control. Proprietarul procesului poate îmbunătăți instrucțiunea, registrul sau lista de contacte în limitele autorității sale. Conducerea trebuie să soluționeze însă deficiențele care necesită acceptarea riscului rezidual, finanțarea schimbărilor, resurse suplimentare sau modificarea responsabilităților. Fiecare acțiune are nevoie de un responsabil, de un termen și de o dată pentru reverificarea eficacității.

Raportarea incidentelor trebuie integrată într-un plan mai amplu de implementare, cu verificarea de fiecare dată a actualității termenelor și cerințelor. În evaluarea maturității merită analizată și tema NIS2 și SR EN ISO 27001: ce oferă certificatul și ce mai lipsește pentru alinierea la cerințele KSC. Organizația este pregătită numai atunci când poate lua, executa și demonstra decizia adecvată într-un interval limitat și pe baza unor informații incomplete.