Klokken er 02.40, og jeres IT-leverandør ringer. Han ved endnu ikke, hvor slemt det er. Men uret tæller allerede ned. I har 24 timer.
24 timer til at sige, at der er noget
Fra I får kendskab til en væsentlig hændelse, har I 24 timer til at sende en tidlig varsling. Ikke 24 timer til at forstå angrebet eller stoppe det. 24 timer til at melde, at der er noget.
Og loven skriver “uden unødigt ophold”. De 24 timer er en yderste grænse, ikke en betænkningstid, I har krav på.
Sagen her indgår i gennemgangen af hvorfor organisationen står stille, selvom systemerne kommer tilbage.
Tre nedtællinger i forlængelse af hinanden
Inden for 72 timer skal I opdatere med en indledende vurdering: Hvor alvorligt er det, hvad påvirker det, og hvilke tegn på kompromittering har I fundet. Senest en måned efter den opdatering kommer den endelige rapport.
24 timer. 72 timer. En måned. Fristerne er til at forstå. Det sværeste er at afgøre, hvornår uret gik i gang.
Muligheden er nok
En hændelse er væsentlig, hvis den har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser eller økonomiske tab. Eller hvis den har påvirket eller kan påvirke andre med betydelig skade.
“Er i stand til.” I skal ikke vente på, at skaden sker. Muligheden er nok. Uret kan starte klokken 02.40, længe før nogen ved, hvor slemt det er.
Hvad der sker, når ingen har øvet det
Uden forberedelse sker der typisk én af to ting. Enten melder I alt ind, også det der viser sig at være ingenting. Eller I venter på at blive sikre, og så brænder de 24 timer af på den ene hændelse, der faktisk betød noget.
To ting de færreste kender
I kan aftale, at jeres driftsleverandør indsender varslingen på jeres vegne. Pligten og ansvaret bliver hos jer, men I behøver ikke selv sidde med blanketten klokken tre om natten.
Og er hændelsen endeligt afsluttet inden for det første døgn, skriver SAMSIK, at I kan nøjes med at sende den endelige rapport direkte.
Selve varslingen går via Virk.dk og sendes videre til CSIRT’en og jeres tilsynsmyndighed ud fra den sektor, I vælger.
Resten er noget, I skal have på plads, før telefonen ringer.
Tre ting at gøre nu
Skriv ned, hvem der må sende varslingen. Én person med navn og en stedfortræder. Klokken tre om natten skal det ikke være et spørgsmål, der først skal afklares.
Få det på skrift med jeres driftsleverandør. Varsler de på jeres vegne, eller skal I selv? Antag ikke noget. Spørg, og gem svaret.
Tag en hændelse, I har haft, og find ud af hvornår I vidste nok til at starte nedtællingen. Så ved I, hvad I skal kigge efter næste gang. Og I finder ud af, om 24 timer er lang tid eller ingen tid overhovedet.
En NIS2-audit kan teste, om jeres varslingsproces holder, når uret tikker, og om rollerne er fordelt, før telefonen ringer.
Hvis det sker i nat, hvem hos jer ved så, at der er 24 timer, og hvem må trykke på knappen?
Har du brug for hjælp til at forberede jeres hændelsesvarsling?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
