Jeres advokat siger 72 timer. Jeres IT-chef siger 24. De taler om det samme angreb, og de har begge ret. Der findes to anmeldelsespligter, og de bliver ofte blandet sammen.
To pligter, to modtagere, to tærskler
Den ene kender de fleste. Er der sket et brud på persondatasikkerheden, skal I anmelde det til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer. Undtagelsen er, hvis bruddet sandsynligvis ikke medfører en risiko for de berørte personers rettigheder.
Den anden er nyere. Er I omfattet af NIS2-loven, skal en væsentlig hændelse varsles inden 24 timer, fulgt af en opdatering inden 72 timer og en endelig rapport senere.
To pligter. To modtagere. Og to helt forskellige tærskler for, hvornår de udløses.
To forskellige spørgsmål
Persondataforordningen spørger, om personoplysninger er kompromitteret, og om det udgør en risiko for de mennesker, oplysningerne handler om.
NIS2 spørger, om hændelsen har forårsaget eller kan forårsage alvorlige driftsforstyrrelser eller økonomiske tab. Eller betydelig skade på andre.
Derfor kan samme hændelse udløse begge, kun den ene eller ingen af dem.
Et ransomware-angreb, der lammer produktionen uden at berøre persondata, kan udløse NIS2-pligten. Ikke nødvendigvis persondataanmeldelsen. En mail med kundeoplysninger sendt til den forkerte modtager kan udløse persondataanmeldelsen uden at udløse NIS2.
Og et angreb, der både lammer driften og gør personoplysninger utilgængelige, kan udløse begge pligter. Med to stopure, der ikke nødvendigvis starter samtidig.
Krypterede filer er også et brud
Det sidste overrasker mange. Et databrud kræver ikke, at nogen har hentet data ud. Det tæller også, hvis data bliver slettet, ødelagt eller gjort utilgængelige. Personoplysninger, I ikke kan komme til, fordi de er krypteret af ransomware, kan i sig selv udgøre et brud.
Forveksling går galt i begge retninger
Blander I de to sammen, ender I med enten at anmelde et databrud og tro, I er færdige, mens NIS2-uret stadig tikker. Eller I varsler efter NIS2 og glemmer, at Datatilsynet også skal have besked, fordi der lå persondata i de filer, der blev låst.
Der er hjælp i processen. Virk.dk har én digital indgang, hvor en varsling automatisk sendes videre til den relevante sektormyndighed og til CSIRT’en. Samtidig kan I markere, om Datatilsynet skal underrettes om et brud på persondatasikkerheden.
Men den digitale indgang fjerner ikke jeres vurdering. Nogen skal stadig afgøre, hvad der er sket, og hvem der skal have besked. Klokken tre om natten.
Tre ting at gøre nu
Læg jeres databrudsprocedure ved siden af jeres beredskabsplan. De to dokumenter skal tale sammen. Gør de det ikke, falder vurderingen mellem to stole, præcis når presset er størst.
Skriv de to tærskler ned på ét stykke papir. Hvad udløser en anmeldelse til Datatilsynet? Hvad udløser en varsling efter NIS2? Når de to spørgsmål står ved siden af hinanden, bliver forskellen konkret.
Afklar hvem der vurderer hvad. Er det den samme person, der afgør begge dele? Eller sidder vurderingerne to steder i organisationen, uden at nogen har koordineret dem?
En NIS2-audit kan teste, om jeres to anmeldelsesprocesser hænger sammen, og om den person, der skal tage beslutningen klokken tre om natten, ved, at der er to pligter.
Hvis I blev ramt i nat, hvem ville afgøre, om det var et databrud, en NIS2-hændelse eller begge dele?
Har du brug for hjælp til at samordne jeres anmeldelsesprocesser?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
