Ustawa o krajowym systemie cyberbezpieczeństwa (Polska)

Vaatimuksen kuvaus

1. Podmiot kluczowy i podmiot ważny:

zapewnia obsługę incydentu;
zapewnia dostęp do informacji o rejestrowanych incydentach właściwemu CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowemu w zakresie niezbędnym do realizacji jego zadań;
klasyfikuje incydent jako poważny na podstawie progów uznawania incydentu za poważny;
zgłasza wczesne ostrzeżenie o incydencie poważnym niezwłocznie, nie później niż w ciągu 24 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego;
1. zgłasza incydent poważny niezwłocznie, nie później niż w ciągu 72 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego;
2. przekazuje, na wniosek właściwego CSIRT sektorowego, sprawozdanie okresowe z obsługi incydentu poważnego;
3. przekazuje właściwemu CSIRT sektorowemu sprawozdanie końcowe z obsługi incydentu poważnego, nie później niż w ciągu miesiąca od dnia zgłoszenia, o którym mowa w pkt 4a;
współdziała podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowym, przekazując niezbędne dane, w tym dane osobowe;
usuwa podatności, o których mowa w art. 32 ust. 2, oraz informuje o ich usunięciu organ właściwy do spraw cyber-bezpieczeństwa.

1(a). Dostawca usług zaufania zgłasza incydent poważny niezwłocznie, nie później niż w ciągu 24 godzin od momentu jego wykrycia do właściwego CSIRT sektorowego.

2. Wczesne ostrzeżenie, o którym mowa w ust. 1 pkt 4, zgłoszenie, o którym mowa w ust. 1 pkt 4a, sprawozdania okresowe, o którym mowa w ust. 1 pkt 4b, sprawozdanie końcowe, o którym mowa w ust. 1 pkt 4c oraz sprawozdanie z postępu obsługi incydentu poważnego, o którym mowa w art. 12b ust. 1, są przekazywane za pomocą systemu teleinformatycznego, o którym mowa w art. 46 ust. 1.

W przypadku zaistnienia poważnego cyberzagrożenia podmiot kluczowy i podmiot ważny informuje użytkowników swoich usług, na których takie cyberzagrożenie może mieć wpływ, o możliwych środkach zapobiegawczych, które użytkownicy ci mogą podjąć. Podmiot kluczowy i podmiot ważny informuje tych użytkowników o samym poważnym
Podmiot kluczowy i podmiot ważny informuje użytkowników swoich usług o incydencie poważnym, jeżeli ma on niekorzystny wpływ na świadczenie tych usług.

Kuinka täyttää vaatimus

11: Zgłaszanie incydentów do CSIRT oraz odbiorców usług

Tehtävän nimi

Prioriteetti

Tila

Teema

Politiikka

Muut vaatimukset

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Häiriöiden hallinta

Häiriöiden hallinta ja ilmoittaminen

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

23.1: Incident notifications to CSIRT and recipients of services

NIS2

Article 19: Reporting of major ICT-related incidents and voluntary notification of significant cyber threats

DORA

11 §: Poikkeamailmoitukset viranomaiselle

Kyberturvallisuuslaki

12 §: Poikkeamaa koskeva väliraportti

Kyberturvallisuuslaki

13 §: Poikkeamaa koskeva loppuraportti

Kyberturvallisuuslaki

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Häiriöilmoitusten vaiheittainen prosessi viranomaisille

1. Tehtävän vaatimuskuvaus

Organisaatio ilmoittaa ilman viivästystä lainsäädännössä määritellylle viranomaiselle (CSIRT) merkittävästi palveluidensa tarjontaan vaikuttaneista häiriöistä.

Häiriö on merkittävä, kun vähintään toinen seuraavista toteutuu:

häiriö voi aiheuttaa vakavan häiriön palvelujen toiminnassa tai vakavia taloudellisia menetyksiä palveluntarjoajalle
häiriö voi aiheuttaa merkittävää aineellista tai aineetonta vahinkoa liittyville ihmisille tai muille organisaatioille

Ilmoitukset on tehtävä vaiheittain allaolevien kuvausten mukaisesti. Lisäksi häiriön ollessa käynnissä organisaation on toimitettava viranomaisen pyytämät statuspäivitykset.

Aikainen varoitus (viimeistään 24h kuluessa häiriön havaitsemisesta)

epäilläänkö syyksi laittomia toimia
voiko häiriö aiheuttaa vaikutuksia muihin maihin

Tarkempi häiriöilmoitus (viimeistään 72h kuluessa häiriön havaitsemisesta)

päivitetään aiempaa tietoa
annetaan tämänhetkinen arvio häiriöstä, sen vakavuudesta sekä vaikutuksista
listataan mahdolliset todisteet vuodon tapahtumisesta

Lopullinen raportti (viimeistään 1kk kuluessa häiriöilmoituksesta)

yksityiskohtainen kuvaus tapahtumasta, mukaan lukien sen vakavuus ja vaikutukset
uhan tyyppi tai perimmäinen syy, joka todennäköisesti laukaisi tapahtuman
sovelletut ja meneillään olevat lieventämistoimenpiteet
mahdolliset vaikutukset muihin maihin

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Riskien hallinta ja johtaminen

Digiturvan johtaminen

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

11: Zgłaszanie incydentów do CSIRT oraz odbiorców usług

NIS2 Puola

9: Współpraca z podmiotami Krajowego Systemu Cyberbezpieczeństwa

NIS2 Puola

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Kansallisen tietoverkkoturvallisuuden tieto- ja viestintätekniikkajärjestelmän käyttö (Puola)

1. Tehtävän vaatimuskuvaus

Organizations are required to use the national ICT system for reporting incidents and data breaches and for exchanging sensitive information.

The ICT system serves as a central platform for:

Cooperation
Generating and sharing recommendations for actions to improve cybersecurity levels
Reporting and handling incidents
Estimating risk at the national level
Warning about cyber threats
Supervisory activities
Reporting personal data breaches
Exchanging information

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Häiriöiden hallinta

Häiriöiden hallinta ja ilmoittaminen

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

23.1: Incident notifications to CSIRT and recipients of services

NIS2

14 §: Poikkeamasta ja kyberuhkasta ilmoittaminen muulle kuin viranomaiselle

Kyberturvallisuuslaki

4.2.3: Inform relevant stakeholders

NSM ICT-SP

RS.CO-03: Sharing Information with stakeholders

NIST 2.0

34 § 1°: Notifications d'incidents au CSIRT et aux bénéficiaires des services

NIS2 Belgium

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Häiriöilmoitukset omien palveluiden käyttäjille

1. Tehtävän vaatimuskuvaus

Mikäli organisaation tarjoaman palvelun näkökulmasta on tarkoituksenmukaista, organisaatio ilmoittaa ilman viivästystä palveluidensa käyttäjille merkittävistä häiriöistä, jotka todennäköisesti vaikuttavat negatiivisesti kyseisten palveluiden toimittamiseen.

Häiriö on merkittävä, kun vähintään toinen seuraavista toteutuu:

häiriö voi aiheuttaa vakavan häiriön palvelujen toiminnassa tai vakavia taloudellisia menetyksiä palveluntarjoajalle
häiriö voi aiheuttaa merkittävää aineellista tai aineetonta vahinkoa liittyville ihmisille tai muille organisaatioille

Critical

High

Normal

Low

Täysin tehty

Pääosin tehty

Osin tehty

Tekemättä

Kumppanihallinta

Sopimukset ja seuranta

vaatimusta

Esimerkkejä muista vaatimuksista, joita tämä tehtävä toteuttaa

6.1.3: Yhteydet viranomaisiin

ISO 27001

RC.CO-1: Public relations

NIST

5.5: Yhteydet viranomaisiin

ISO 27001

23.1: Incident notifications to CSIRT and recipients of services

NIS2

CC2.3: Communication with external parties

SOC 2

Näe kaikki liittyvät vaatimukset ja muuta tietoa tehtävän omalta sivulta.

Siirry kohtaan >

Yhteydenpito relevantteihin viranomaisiin

1. Tehtävän vaatimuskuvaus

Organisaatio listaa relevantit viranomaistoimijat, joihin on tärkeää pitää aktiivisesti yhteyttä sekä tarvittaessa saada yhteys nopeasti. Näitä viranomaisia ovat mm. kansallisia lakeja toimeenpanevat sekä valvontaa toteuttavat viranomaiset.

Relevantteihin viranomaisiin olisi määriteltävä selkeä yhteyshenkilö, joka toimii yhteyspisteenä organisaatioon.

Politiikkaan sisältyviä tietoturvatehtäviä

Tehtävän nimi

Prioriteetti

Tila

Teema

Politiikka

Muut vaatimukset

No items found.

Vaatimuskehikot

Käyttötavat

Ominaisuudet

Muut

Vaatimuksen kuvaus

Kuinka täyttää vaatimus