Zgłoszenie incydentu w 24 godziny? Sprawdź to w sierpniu
Od 11 września 2026 r. art. 14 aktu o cyberodporności (CRA — rozporządzenie (UE) 2024/2847) nakłada na producentów produktów z elementami cyfrowymi obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów: wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, raport końcowy w 14 dni. Sektor finansowy zna ten rytm z DORA. Pytanie na sierpień brzmi prosto: czy Wasz zespół zdąży ze zgłoszeniem w 24 godziny, w weekend, po angielsku?
Trzy reżimy, jeden zegar
Terminy z CRA biegną od chwili, w której producent dowiedział się o zdarzeniu. Zgłoszenia idą przez wspólną platformę obsługiwaną przez CSIRT-y i ENISA, a obowiązek zgłoszeniowy startuje ponad rok przed pełnym stosowaniem rozporządzenia, które przypada na 11 grudnia 2027 r.
Instytucje finansowe tę dyscyplinę znają: DORA (rozporządzenie (UE) 2022/2554) jest stosowana od 17 stycznia 2025 r. i przy poważnych incydentach ICT wymaga zgłoszenia wstępnego, raportu pośredniego i raportu końcowego. W Polsce podmioty kluczowe i ważne mają po nowelizacji ustawy o KSC własne obowiązki zgłaszania incydentów, które wraz z podłączeniem do systemu S46 muszą działać najpóźniej 3 kwietnia 2027 r. Trzy reżimy, trzy formularze i jedna wspólna cecha: zegar rusza, zanim ktokolwiek poczuje się gotowy.
Piątek, 22:00
Wyobraź sobie scenę testową. W piątek o 22:00 badacz bezpieczeństwa pisze na skrzynkę wsparcia: podatność w firmware Waszego urządzenia jest właśnie wykorzystywana w atakach. 24 godziny od powzięcia wiedzy oznaczają sobotni wieczór. Kto stwierdza, że zdarzenie podlega zgłoszeniu z CRA? Kto pisze wczesne ostrzeżenie? Kto je zatwierdza, gdy szefowa działu prawnego siedzi w samolocie? Gdzie leżą kontakty i dane dostępowe do platformy zgłoszeniowej i czy osoba na dyżurze zna to miejsce?
Zespoły, które robią takie ćwiczenie, uderzają w te same ściany. Prawnik jest nieosiągalny. Szablon istnieje tylko po polsku, a o północy nikt nie ufa własnej prawniczej angielszczyźnie. Nikt wcześniej nie opisał, gdzie zaczyna się „poważny” incydent, więc spór o to, czy w ogóle zgłaszać, zjada pierwsze dwanaście godzin.
Ćwiczenie na jedno popołudnie
Znalezienie tych luk zajmuje trzy godziny i wymaga jednej strony scenariusza. Posadź przy stole inżynierów, prawnika, komunikację i menedżera dyżuru. Przejdźcie sekwencję: kto ogłasza, że incydent podlega zgłoszeniu, kto pisze, kto zatwierdza, gdzie są kontakty do platformy, jakich pól wymaga formularz. Jedna osoba notuje każde pytanie bez odpowiedzi. Ta notatka jest produktem ćwiczenia.
Potem zamknijcie braki i powtórzcie próbę przed 11 września.
Co rekomendujemy teraz
- Wpisz do kalendarza trzygodzinne ćwiczenie w ciągu najbliższych dwóch tygodni; zaproś inżynierię, dział prawny, komunikację i menedżera dyżuru.
- Spisz jednostronicową kartę decyzyjną: co uruchamia zgłoszenie z CRA, DORA i KSC w Waszej organizacji i kto decyduje, gdy pierwsza osoba jest nieosiągalna.
- Przygotuj szablony wczesnego ostrzeżenia i zgłoszenia 72-godzinnego po polsku i po angielsku, z rozpisanymi polami faktów.
- Umieść kontakty do platform, dane dostępowe i listę zastępstw tam, gdzie dyżurny sięgnie po nie w piątek o 22:00.
- Po ćwiczeniu usuńcie najpierw trzy największe braki i od razu ustalcie termin powtórki.
Źródła: Komisja Europejska: obowiązki zgłoszeniowe CRA · Rozporządzenie (UE) 2024/2847 (CRA) · gov.pl: nowelizacja ustawy o KSC