NIS2 priglasitev incidentov v Sloveniji: praktičen vodnik korak za korakom

1. Kdaj se sproži obveznost priglasitve

Obveznost priglasitve se ne nanaša na vsak varnostni dogodek, ampak na pomembne incidente.

Zakon o informacijski varnosti (ZInfV-1, Uradni list RS št. 40/25) v 5. členu opredeljuje incident kot dogodek, ki je ogrozil razpoložljivost, avtentičnost, celovitost ali zaupnost shranjenih, prenesenih ali obdelanih podatkov ali storitev, ki jih omrežni in informacijski sistemi zagotavljajo ali so prek njih dostopni. Isti člen ločeno opredeljuje tudi skorajšnji incident (dogodek, ki bi lahko ogrozil navedene lastnosti, a se ni uresničil ali se je uspešno preprečil) in pomembno kibernetsko grožnjo.

Obveznost priglasitve pomembnih incidentov je v ZInfV-1 vezana na prvi odstavek 29. člena, na katerega se izrecno sklicuje 30. člen. Natančna merila, po katerih se incident šteje za pomemben, v izvlečku nacionalnega besedila, ki je podlaga tega članka, niso zajeta — dobesedno besedilo 29. člena naj potrdi [Preverite to: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir).].

Na tej točki je torej treba biti pošten do bralca: kar sledi, ni nacionalno besedilo, ampak izhodišče iz direktive. Direktiva (EU) 2022/2555 v art 23(3) določa, da se incident šteje za pomemben, če:

• je povzročil ali lahko povzroči hujše motnje v delovanju storitev ali finančno izgubo za zadevni subjekt, ali
• je prizadel ali lahko prizadene druge fizične ali pravne osebe s povzročitvijo znatne premoženjske ali nepremoženjske škode.

To dvojno merilo uporabite kot delovni filter pri triažiranju, dokončno pravno oceno praga pa oprite na nacionalno določbo.

2. Komu priglasite incident: pristojna skupina CSIRT in URSIV

Po 30. členu ZInfV-1 bistveni in pomembni subjekti priglasitev pomembnih incidentov predložijo pristojni skupini CSIRT. CSIRT je po 5. členu ZInfV-1 skupina, ki se odziva na incidente, sprejema prijave o kršitvah varnosti, izvaja analize in pomaga priglasiteljem pri obvladovanju incidentov.

Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (10. člen ZInfV-1). Subjekt torej praviloma komunicira s CSIRT, ta pa po devetem odstavku 30. člena o pomembnem incidentu nemudoma obvesti URSIV.

Kanal: deseti odstavek 30. člena določa, da se priglasitve pomembnih incidentov in medsebojno sodelovanje izvajajo tudi po namenski digitalni platformi, ki jo vzpostavi pristojni nacionalni organ. Točen elektronski naslov, obrazec oziroma postopek vpisa pri pristojni skupini CSIRT: [Preverite to: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir).].

Praktičen nasvet: kontaktne podatke pristojne skupine CSIRT in dostope do platforme pridobite in preverite vnaprej, ne v prvih urah incidenta. 24-urni rok se ne ustavi, ker iščete pravi naslov.

3. V kakšni obliki in v katerih fazah: štiri (do pet) faz

Prvi odstavek 30. člena ZInfV-1 določa stopenjsko poročanje. Vsebina posameznih faz:

Zgodnje sporočilo je namenoma kratko: ni analiza vzroka, ampak signal. Ne odlašajte z njim, da bi zbrali več podatkov — podatke boste dopolnili v priglasitvi incidenta in končnem poročilu.

Loči se tudi prostovoljna priglasitev po 35. členu ZInfV-1 (na katero se sklicuje peti odstavek 30. člena) — ta pot je na voljo tudi tam, kjer obvezna priglasitev ni sprožena.

4. Do kdaj: vsi roki po ZInfV-1

Roki so v prvem odstavku 30. člena ZInfV-1 vezani na zaznavo pomembnega incidenta, ne na njegov nastanek:

• Zgodnje sporočilo: nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta.
• Priglasitev incidenta: nemudoma, najpozneje pa v 72 urah po zaznavi pomembnega incidenta.
• Vmesno poročilo: ko ga zahteva skupina CSIRT (zakonski fiksni rok v tej točki ni določen).
• Končno poročilo: najpozneje v enem mesecu po predložitvi priglasitve incidenta (torej po 72-urni fazi, ne po zaznavi).
• Incident, ki še poteka: ob roku za končno poročilo se predloži poročilo o napredku, končno poročilo pa najpozneje en mesec po rešitvi incidenta.

Poseben rok: po drugem odstavku 30. člena mora ponudnik storitev zaupanja glede pomembnih incidentov, ki vplivajo na zagotavljanje njegovih storitev, incident priglasiti pristojni skupini CSIRT nemudoma, najpozneje pa v 24 urah po zaznavi — torej se zanj faza »72 ur« nadomesti s 24-urnim rokom.

Beležite si natančen čas zaznave (datum, ura, kdo je zaznal, na podlagi česa). To je izhodiščna točka za vse nadaljnje roke in prvo vprašanje v morebitnem nadzoru.

5. Kaj sledi po priglasitvi

Priglasitev ni enosmerna. Po tretjem odstavku 30. člena ZInfV-1 pristojna skupina CSIRT nemudoma in po možnosti v 24 urah po prejemu zgodnjega sporočila odgovori priglasitvenemu subjektu, vključno z začetnimi povratnimi informacijami, na zahtevo subjekta pa z usmeritvami ali operativnim nasvetom glede izvajanja blažilnih ukrepov. Na zahtevo subjekta zagotovi dodatno tehnično podporo. Če obstajajo razlogi za sum, da ima incident znake kaznivega dejanja, zagotovi tudi usmeritve o poročanju organom kazenskega pregona.

Drugi posledični tokovi po 30. členu:

• pri čezmejnem ali medsektorskem pomembnem incidentu CSIRT nemudoma zagotovi informacije pristojnemu nacionalnemu organu, enotna kontaktna točka pa lahko obvesti enotne kontaktne točke drugih prizadetih držav članic in agencijo ENISA, pri čemer zaščiti varnost, poslovne interese in zaupnost podatkov subjekta (četrti odstavek);
• kadar je ozaveščenost javnosti potrebna ali je razkritje v javnem interesu, URSIV po posvetovanju z zavezancem obvesti javnost ali zahteva, da to stori zavezanec (šesti odstavek);
• URSIV vodi skupen seznam pomembnih incidentov s podatki iz končnih poročil (dvanajsti odstavek).

6. Zakaj se izplača vaditi: sankcije in priprava

Neizpolnitev obveznosti iz prvega ali drugega odstavka 30. člena je izrecno navedena kot prekršek:

• bistveni subjekt (52. člen ZInfV-1): globa od 0,5 % do 2 % skupnega letnega prometa pravne osebe v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji;
• pomembni subjekt (53. člen ZInfV-1): globa od 0,3 % do 1,4 % skupnega letnega prometa, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji.

Oba člena predvidevata tudi globe za samostojne podjetnike in za odgovorne osebe.

Minimalna priprava, ki jo naredite ta teden:

1. Določite, ali ste bistveni subjekt ali pomembni subjekt po 7. členu ZInfV-1 — od tega je odvisen tudi sankcijski okvir. 2. Zapišite triažno pravilo, kdaj dogodek štejete za pomemben incident, in kdo o tem odloči (tudi ob 3. uri zjutraj). 3. Pripravite predloge za zgodnje sporočilo, priglasitev incidenta in končno poročilo z vsebinskimi točkami iz 30. člena. 4. Preverite kanal do pristojne skupine CSIRT in dostop do namenske digitalne platforme. 5. Vzpostavite dnevnik incidenta s časovnimi žigi (čas zaznave, čas oddaje vsake faze).

Če še ne veste zanesljivo, ali ste zavezanec in katere obveznosti vas zadevajo, z brezplačnim orodjem za oceno obsega in vrzeli v nekaj minutah dobite prvo sliko svojega položaja po ZInfV-1 in seznam prioritet — vključno s tem, kaj mora biti pripravljeno, preden pride prvi incident.