Якщо ви є оператором основної послуги, про значний інцидент кібербезпеки ви повідомляєте Національне управління безпеки через єдину інформаційну систему кібербезпеки. Раннє попередження потрібно надіслати щонайпізніше протягом 24 годин від виявлення, повідомлення з первинною оцінкою — протягом 72 годин, а підсумковий звіт — щонайпізніше через місяць після повідомлення. Поряд із повідомленням ви повинні усувати інцидент, забезпечити докази, а про злочин, про який вам стане достовірно відомо, повідомити поліцію або орган досудового розслідування.
Коли в компанії відмовляють системи або вона виявляє, що до даних дістався хтось сторонній, перші години належать технікам. Закон № 69/2018 Z. z. про кібербезпеку, однак, вимагає від оператора основної послуги, щоб поряд із технічним втручанням відбувалися й правові кроки з твердими строками. Строки обчислюються від виявлення інциденту, а не від моменту, коли керівництво має повну картину, тому порядок дій варто знати раніше, ніж він стане потрібним.
Про що повідомляють і про що ні
Обов’язок має оператор основної послуги, тобто той, кого внесено до реєстру, який веде Національне управління безпеки. Чи належите ви до них, ми розглядаємо у відповіді чи поширюється на нас NIS2. Інцидентом кібербезпеки є кожна подія, що загрожує доступності, автентичності, цілісності або конфіденційності даних чи послуг у мережах та інформаційних системах. Однак обов’язково повідомляють лише про значний інцидент:
Значним інцидентом кібербезпеки вважається масштабний інцидент кібербезпеки та інцидент кібербезпеки, який a) спричинив або може спричинити значне порушення функціонування оператора основної послуги, або шкоду, іншу майнову втрату чи упущену вигоду у великому розмірі […]
Значним є також інцидент, який уразив або може уразити інших осіб тим, що спричинить їм шкоду в істотному розмірі. Отже, вирішальною є і загроза, а не лише шкода, яка вже настала. Поряд з інцидентами закон зобов’язує повідомляти також про значну кіберзагрозу, подію, відвернену в останню мить, і деякі вразливості загальнодоступних систем (§ 24 ч. 5). Про менш значні події можна повідомити добровільно.
Три повідомлення у твердих строках
Повідомлення за § 24 закону № 69/2018 Z. z. подається через єдину інформаційну систему кібербезпеки і має кілька частин. Щонайпізніше протягом 24 годин від виявлення надсилається раннє попередження, у якому ви зазначаєте насамперед, чи міг інцидент бути спричинений протиправним діянням і чи може він мати транскордонний вплив. Щонайпізніше протягом 72 годин від виявлення настає черга повідомлення з первинною оцінкою інциденту, його значності та наслідків. На запит підрозділу CSIRT у визначений строк потрібно доповнити оновлену інформацію про перебіг. Оператор із фінансового сектору, на якого поширюється Регламент (ЄС) 2022/2554 (DORA), виконує обов’язок повідомлення через компетентний орган за цим регламентом і в його строки (§ 24 ч. 8).
Щонайпізніше через місяць після повідомлення подається підсумковий звіт із докладним описом інциденту, його причини, виду загрози, вжитих заходів і можливого транскордонного впливу (§ 24 ч. 3 літ. d)). Якщо інцидент на той час ще триває, закон передбачає подальші оновлення та оновлений підсумковий звіт. Повідомлення при цьому не замінює заходів безпеки, яких ви маєте дотримуватися й надалі (§ 24 ч. 7).
Поряд із повідомленням: усунення, докази та поліція
До повідомлення закон додає й інші обов’язки (§ 19 ч. 6). Інцидент ви повинні усувати та співпрацювати з управлінням і відповідним центральним органом. Під час інциденту потрібно забезпечити докази так, щоб їх можна було використати в кримінальному провадженні, а якщо вам стане достовірно відомо, що було вчинено злочин, повідомити про це орган досудового розслідування або Поліцейський корпус. Побоювання щодо конфіденційності повідомлення не гальмують: повідомлення про інциденти в обсязі, визначеному законом, не є порушенням обов’язку зберігати конфіденційність (§ 12 ч. 4). Якщо інцидент унеможливив би виконання договору з постачальником, оператор інформує його про інцидент у необхідному обсязі (§ 19 ч. 4).
Якщо інцидент уразив також персональні дані, окремо потрібно оцінити обов’язки щодо Органу із захисту персональних даних і суб’єктів даних. Це інший режим із власними правилами, і він належить до захисту персональних даних.
Що загрожує в разі пропуску строку
Неповідомлення про значний інцидент за § 24 ч. 1 або 3 є адміністративним правопорушенням, за яке управління може накласти штраф до 7 000 000 євро або до 1,4 % загального світового річного обороту, залежно від того, що є більшим (§ 31 ч. 2 літ. c)). Щодо оператора критичної основної послуги верхньою межею є 10 000 000 євро або 2 % обороту (§ 31 ч. 3). Визначаючи розмір, управління враховує насамперед спосіб, тривалість і наслідки порушення.
Що ми рекомендуємо зробити
Порядок дій під час інциденту налаштуйте заздалегідь: хто оцінює інцидент як значний, хто подає повідомлення і хто вирішує про повідомлення поліції. Закон вимагає також визначити контактну особу для приймання та обліку повідомлень (§ 20 ч. 4 літ. e)). Правову частину, включно з внутрішніми процедурами та розподілом відповідальності, ми підготуємо в межах послуги NIS2 та кібербезпека. Як перенести повідомлення про інциденти на IT-постачальників, ми пишемо у статті NIS2 у договорах із постачальниками.
Ця відповідь містить загальну інформацію про законодавство станом на 12 вересня 2026 р. Вона не є юридичною послугою та не замінює оцінювання конкретної справи. Обставини вашої ситуації можуть відрізнятися. Забронюйте консультацію, щоб обговорити їх.
