Клиент пита как реагираме на кибератака, как го попълнявам

План за реагиране на инциденти: процес, а не само документ

Въпросът относно плана за реагиране на инциденти се отнася до това как организацията реагира след като бъде установен инцидент в областта на киберсигурността: кой се уведомява, кой решава относно ескалацията, как се стартира възстановяването и как се съобщава на клиентите или регулаторните органи. Често един формат изисква самия доказателствен документ — плана за реагиране на инциденти или описанието на процедурата — но повечето закупуващи страни косвено тестват и дали планът е бил използван или е бил тестван. Отговор "да, има план" без предходно учение или истински инцидент е фактически верен, но слаб; посочете че съществува процедура и какво можете да докажете за нея, като например протокол от тест или оценка след по-ранен инцидент.

Ако липсва формално тестван план, тогава "не" с кратко обяснение е по-добре от попълнен "да" без подкрепящ документ. Някои клиенти питат конкретно относно сроковете на уведомяване към тях като получател — това е договорено съглашение, а не автоматично същия срок като законова задължение за уведомяване. Не бъркайте тези две в отговора: това което обещавате на клиента си в SLA е отделно от това което евентуално трябва да се съобщи на регулаторен орган. Този въпрос често е свързан с процедурата за обработка на инциденти в областта на сигурността, и с въпроса дали възстановяването и превключването са добре организирани чрез резервни копия и резервна система — един формат понякога разделя това на няколко въпроса които в досието принадлежат един на друг.

Нормативна база: член 21 параграф 2 на NIS2 и Приложение A

Управлението на инциденти е посочено като отделна мярка в член 21 параграф 2 на Директива NIS2, наред с анализа на риска и непрекъснатостта на бизнеса — това е една от десетте мерки които директивата разграничава. ISO/IEC 27001 разработва това в контролните мерки на Приложение A, където управлението на инциденти образува своя собствена категория с изисквания относно откриването, отговора и оценката. Законът за киберсигурността въвежда това задължение в българското право и се очаква да влезе в сила на 15 август 2026 г.; до този момент придържането към самата директива е основата при обосноваването на отговор.