ustawa o KSC · art. 11–12c · RODO art. 33
Terminy zgłoszenia incydentu: 24 h, 72 h i miesiąc
Incydent poważny zgłasza się do właściwego CSIRT sektorowego w trzech krokach, a naruszenie danych osobowych osobno do Prezesa UODO. Wpisz godzinę wykrycia, a kalkulator pokaże wszystkie terminy i czas, który został.
Kalkulator zakłada, że incydent uznano za poważny. Nie ocenia, czy tak jest. Czas lokalny przeglądarki.
Trzy terminy wobec CSIRT
Terminy liczą się od wykrycia incydentu poważnego. Wczesne ostrzeżenie, zgłoszenie i sprawozdania przekazuje się przez system teleinformatyczny prowadzony przez ministra właściwego do spraw informatyzacji (art. 11 ust. 2).
Wczesne ostrzeżenie
Dane podmiotu i osób kontaktowych, moment wystąpienia i wykrycia, czas trwania, czy incydent wywołało działanie bezprawne, czy dotyczy innych państw UE.
art. 11 ust. 1 pkt 4 · art. 12 ust. 1Zgłoszenie incydentu
Wpływ na usługę, liczba użytkowników, zasięg geograficzny, przyczyny i przebieg, działania zapobiegawcze i naprawcze. Informacje znane w chwili zgłoszenia uzupełnia się w trakcie obsługi.
art. 11 ust. 1 pkt 4a · art. 12 ust. 3 i 5Sprawozdanie końcowe
Liczone od dnia zgłoszenia. Szczegółowy opis, rodzaj zagrożenia lub prawdopodobna przyczyna, zastosowane środki, skutki transgraniczne.
art. 11 ust. 1 pkt 4c · art. 12aTermin zgłoszenia naruszenia do UODO
Jeśli incydent dotyczy danych osobowych, administrator zgłasza naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Zgłoszenia nie trzeba dokonywać, jeśli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób. Do zgłoszenia złożonego po 72 godzinach dołącza się wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 RODO).
To odrębny obowiązek. Ten sam wyciek danych może wymagać zgłoszenia do CSIRT według ustawy o KSC i do UODO według RODO, każde w swoim trybie. Więcej w artykule o rejestrze naruszeń ochrony danych osobowych.
Co grozi za spóźnione zgłoszenie
Niewykonanie obowiązków z art. 11 ust. 1, w tym niezgłoszenie wczesnego ostrzeżenia, zgłoszenia i sprawozdania końcowego, jest zagrożone karą pieniężną (art. 73 ust. 1 pkt 5–9). Podmiot kluczowy może zapłacić do 10 mln euro lub 2% przychodów, podmiot ważny do 7 mln euro lub 1,4% przychodów (art. 73 ust. 3 i 4). Niezależnie od tego karę może dostać kierownik podmiotu: do 300% wynagrodzenia, a w podmiocie publicznym do 100% (art. 73a ust. 1 pkt 9, ust. 4 i 5).
Terminy liczone przy każdym incydencie
W rejestrze incydentów LYNX360 terminy wczesnego ostrzeżenia i zgłoszenia do UODO są wyliczane od godziny wykrycia, a zespół widzi je w karcie incydentu. Wolisz arkusz? Pobierz bezpłatny wzór rejestru incydentów, który liczy te same terminy w Excelu.
Pytania o terminy zgłoszeń
Od kiedy liczy się termin 24 godzin na wczesne ostrzeżenie?
Od momentu wykrycia incydentu poważnego (art. 11 ust. 1 pkt 4 ustawy o KSC). Nie od chwili jego wystąpienia i nie od momentu, w którym zespół zakończył analizę. Dlatego godzinę wykrycia warto zapisywać w rejestrze od razu.
Co, jeśli w chwili zgłoszenia nie znamy wszystkich szczegółów?
Przekazuje się informacje znane w chwili zgłoszenia i uzupełnia je w trakcie obsługi incydentu (art. 12 ust. 5 ustawy o KSC). CSIRT może też poprosić o uzupełnienie (art. 12 ust. 7).
Czy urząd gminy musi składać wczesne ostrzeżenie?
Podmiot ważny będący podmiotem publicznym przekazuje zgłoszenie incydentu poważnego, ale nie przekazuje wczesnego ostrzeżenia ani sprawozdań (art. 12c ustawy o KSC). Jeśli urząd jest podmiotem kluczowym, stosuje pełne terminy.
Ile czasu jest na zgłoszenie naruszenia danych do UODO?
72 godziny od stwierdzenia naruszenia, w miarę możliwości (art. 33 ust. 1 RODO). Zgłoszenie złożone później musi zawierać wyjaśnienie przyczyn opóźnienia. Zgłoszenia nie trzeba składać, jeśli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla osób.
Gdzie składa się zgłoszenie incydentu poważnego?
Do właściwego CSIRT sektorowego, za pomocą systemu teleinformatycznego prowadzonego przez ministra właściwego do spraw informatyzacji (art. 11 ust. 1 pkt 4 i ust. 2 ustawy o KSC).