Zgłoszenie incydentu w 24 godziny - czego potrzebujesz, zanim się wydarzy

Większość rozmów o ustawie o KSC kręci się wokół wpisu do wykazu. To zrozumiałe, bo termin 3 października jest blisko. Mniej mówi się o tym, że ta sama data uruchamia drugi obowiązek, który potrafi zaskoczyć w najgorszym momencie.

Art. 33 ust. 4 ustawy zmieniającej daje podmiotom, które wcześniej były operatorami usług kluczowych, sześć miesięcy na przejście na nowe zasady zgłaszania incydentów. Sześć miesięcy od 3 kwietnia to właśnie 3 października 2026.

Trzy terminy, nie jeden

Ustawa nie mówi o jednym zgłoszeniu, tylko o sekwencji. Art. 11 ust. 1 w brzmieniu nadanym nowelizacją:

• 24 godziny od wykrycia - wczesne ostrzeżenie do właściwego CSIRT sektorowego (pkt 4)
• 72 godziny od wykrycia - właściwe zgłoszenie incydentu poważnego (pkt 4a)
• miesiąc od zgłoszenia - sprawozdanie końcowe z obsługi (pkt 4c)

Do tego dochodzi sprawozdanie okresowe, jeżeli CSIRT o nie wystąpi (pkt 4b).

Co to znaczy w praktyce

Dwadzieścia cztery godziny brzmi jak dużo, dopóki nie rozłoży się tego na czynności. Realny incydent wygląda tak: ktoś zgłasza dziwne zachowanie systemu, ktoś inny sprawdza logi, ktoś trzeci decyduje, czy to w ogóle incydent, a potem ktoś musi ustalić, czy jest poważny w rozumieniu ustawy.

Definicja z art. 2 pkt 7 jest szeroka. Incydent poważny to taki, który powoduje lub może spowodować poważne obniżenie jakości albo przerwanie ciągłości usługi, straty finansowe podmiotu, albo poważną szkodę u innych osób.

Słowa "może spowodować" przesuwają próg wcześniej, niż wiele firm zakłada. Nie trzeba czekać na skutek.

Czego potrzebujesz, zanim się wydarzy

Procedura napisana po incydencie jest bezużyteczna. Oto minimum, które trzeba mieć wcześniej.

Ustalone, kto podejmuje decyzję

Nie "zespół bezpieczeństwa", tylko konkretna osoba z zastępcą i numerem telefonu. Decyzja o kwalifikacji incydentu jako poważnego musi zapaść w godzinach, nie po naradzie.

Wiedza, do którego CSIRT zgłaszasz

Ustawa mówi o właściwym CSIRT sektorowym. Dla większości podmiotów prywatnych będzie to CSIRT NASK, ale sektor decyduje. To trzeba ustalić raz i zapisać, a nie sprawdzać w trakcie incydentu.

Logi, które przetrwają incydent

Zgłoszenie po 72 godzinach wymaga opisu przebiegu. Bez centralnego zbierania logów odtworzenie chronologii z maszyny, która została przeinstalowana, jest niemożliwe.

To jest miejsce, gdzie obowiązek zgłaszania spotyka się z wymaganiami z art. 8. Monitorowanie nie jest potrzebne po to, żeby ładnie wyglądać w dokumentacji, tylko po to, żeby dało się napisać zgłoszenie.

Wzór zgłoszenia przygotowany wcześniej

Pusta kartka o drugiej w nocy to najgorszy moment na zastanawianie się, jakie informacje są wymagane. Szablon z polami do wypełnienia skraca to do kilkunastu minut.

Gdzie to najczęściej pęka

Z obserwacji infrastruktury w firmach o podobnej wielkości, trzy rzeczy powtarzają się najczęściej.

Logi trzymane tylko lokalnie. Maszyna, która padła, zabiera ze sobą dowody. Centralne zbieranie logów rozwiązuje to za cenę jednego serwera.

Brak retencji odpowiedniej do terminu. Sprawozdanie końcowe składa się miesiąc po zgłoszeniu. Jeżeli logi rotują się po siedmiu dniach, przy pisaniu sprawozdania nie ma już czego czytać.

Alerty, których nikt nie czyta. System monitorowania wysyłający setki powiadomień dziennie jest równoznaczny z brakiem monitorowania. Wykrycie liczone od momentu, w którym ktoś faktycznie zauważył, a nie od momentu, w którym system wygenerował alert numer 400.

Od czego zacząć w tym tygodniu

1. Ustal i zapisz, kto kwalifikuje incydent jako poważny oraz kto go zgłasza, wraz z zastępstwem
2. Sprawdź, który CSIRT sektorowy jest dla Ciebie właściwy, i zapisz to w widocznym miejscu
3. Sprawdź, jak długo trzymasz logi i czy przetrwają miesiąc od incydentu

Dopiero potem warto rozmawiać o narzędziach. Kolejność odwrotna kończy się wdrożonym systemem monitorowania, którego nikt nie umie użyć pod presją czasu.