klient küsib, kuidas me küberohtude korral reageerime, kuidas selle täitsin

Intsidendi reageerimisplaan: protsess, mitte ainult dokument

Küsimus intsidendi reageerimisplaani kohta käsitleb seda, kuidas organisatsioon reageerib hetkel, kui turvaväärtus avastamisel avastab turvaakordi: kellele antakse teade, kes otsustab eskalatsiooni üle, kuidas algatatakse taastamine ja kuidas teavitatakse kliente või järelevalvajaid. Vormis käsitletakse sageli tõendusmaterjali ennast — intsidendi reageerimisplaani või protseduuri kirjeldust — kuid enamik ostjapooli testib kaudselt ka seda, kas plaani on kunagi kasutatud või testitud. Vastus "jah, plaan on olemas" ilma harjutuse või tegeliku intsidendita on faktiliselt õige, kuid nõrk; märkige, et protseduur on kehtestatud ja mida saate selle kohta tõendada, nagu katseraporti või hindamist pärast varasemat intsidente.

Kui ametlikult testitud plaan puudub, on "ei" lühike selgitusega parem kui täidetud "jah" ilma aluseks oleva dokumentita. Mõned kliendid küsivad konkreetselt teatamistähtaegade kohta nende suhtes ostjana — see on lepingulise kokkuleppe küsimus, mitte automaatselt sama tähtaeg kui seaduslik teatamiskohustus. Ärge ajage neid kahte omavahel segamini vastuses: see, mida lubate oma kliendile SLA-s, on eraldi sellest, mis võib-olla tuleb teatada järelevalvajale. See küsimus on sageli seotud turvalisusincidendi käsitlemise menetlusestja küsimusega, kas taastamine ja varundamine on hästi korraldatud kaudu varundused ja hädaolukorra käitumise ette nägemine — format jagab selle mõnikord mitmele küsimusele, mis dokumendis kokku kuuluvad.

Õiguslik alus: direktiivi NIS2 artikkel 21 lõige 2 ja Lisa A

Intsidentide käsitlemine on nimetatud eraldi meetmena artiklis 21 lõige 2 NIS2 direktiivis, riskianalüüsi ja ärikontinuumuse kõrval — see on üks neist kümnest meetmest, mida direktiiv eristab. ISO/IEC 27001 arendab seda välja Liite A juhtimisvahendites, kus intsidendi juhtimiseks on eraldi kategooria detekteerimise, reageerimise ja hindamise nõudmistega. Küberturvalisuse seadus paneb selle kohustuse Eesti õigusesse ja jõustub eeldatavasti 15. augustil 2026; kuni selleni on kinnipidimine direktiivi endale orienteerumise aluseks vastuste põhjendamisel.