Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

Incydent poważny

Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego.

incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, straty finansowe dla tego podmiotu lub wpływa na inne osoby fizyczne, osoby prawne, jednostki organizacyjne nieposiadające osobowości prawnej przez wywołanie poważnej szkody materialnej lub niematerialnej

art. 2 pkt 7 ustawy o KSC

Czy incydent jest poważny, podmiot ocenia sam, na podstawie progów uznawania incydentu za poważny (art. 11 ust. 1 pkt 3 ustawy o KSCUstawa o KSC Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.). Od wykrycia incydentu poważnego biegną terminy wobec właściwego CSIRT sektorowegoCSIRT sektorowy Zespół reagowania na incydenty dla jednego sektora lub podsektora, ustanowiony przez organ właściwy. To do niego podmiot kluczowy lub ważny zgłasza incydent poważny.:

  • wczesne ostrzeżenieWczesne ostrzeżenie Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin. niezwłocznie, nie później niż w ciągu 24 godzin (art. 11 ust. 1 pkt 4 ustawy o KSC),
  • zgłoszenie incydentu nie później niż w ciągu 72 godzin (art. 11 ust. 1 pkt 4a ustawy o KSC),
  • sprawozdanie końcowe nie później niż w ciągu miesiąca od dnia zgłoszenia (art. 11 ust. 1 pkt 4c ustawy o KSC).

Na wniosek CSIRT sektorowego podmiot przekazuje też sprawozdania okresowe z obsługi incydentu (art. 11 ust. 1 pkt 4b ustawy o KSC). Dostawca usług zaufania zgłasza incydent poważny w ciągu 24 godzin od wykrycia (art. 11 ust. 1a ustawy o KSC).

Jeśli incydent dotyczy też danych osobowych, obok zgłoszenia z ustawy o KSC może być potrzebne zgłoszenie naruszenia ochrony danych na podstawie RODORODO Rozporządzenie (UE) 2016/679 o ochronie danych osobowych. Tematy RODO omawiam na pawel.rosol.pl; tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych.. To dwa odrębne obowiązki z różnymi adresatami.

Gdzie pada to pojęcie

Wpisy o tym pojęciu: tag Incydent poważny.

Stan prawny na dzień publikacji: . Wpis nie był od tego czasu weryfikowany pod kątem zmian w przepisach. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).