Ali moram prijaviti varnostni incident iz lanskega leta v seznamu vprašanj

Starejši incident običajno spada v odgovor

Da, v večini primerov starega incidenta iz prejšnjega leta tudi zdaj prijavite, če vprašanje na seznamu izrecno ni omejeno na določeno časovno obdobje. Vprašalniki se običajno nanašajo na splošno situacijo: ali se je incident zgodil in kako je bil obravnavan. Majhen incident iz prejšnjega leta spada pod to, tudi če je medtem razrešen in nima več posledic. Če je v vprašanju navedeno časovno obdobje — »v zadnjih dvanajstih mesecih« ali »to koledarsko leto« — je to vodilno, in vključite samo tisto, kar spada v to obdobje.

Pogosto je bolj pomembno, kako ste se na incident odzvali, kot sam incident. Naročnik, ki sprašuje po incidentih, želi dejansko vedeti, ali obstaja proces: ali je bil zaznan, ali je bil razrešen, ali se je iz njega kaj naučili. To se ujema z postopek za obravnavo varnostnih incidentov. Če imate tak postopek in ste ga sledili, je majhen incident iz prejšnjega leta prijava ni problem — pravzaprav kaže, da proces deluje. Če dvomite, ali so podrobnosti preobčutljive za deljenje, namesto da sami prilagajate odgovor uporabite gumb za zaupnost pri odgovoru.

Zakaj je to ločeno od obveznosti prijave v Zakonu o kibernetski varnosti

To vprašanje v vprašalniku se razlikuje od zakonske obveznosti prijave nadzorniku. Članek 21(2) Direktive NIS2 navaja obvladovanje incidentov kot eno od desetih obveznih ukrepov za subjekte, ki spadajo pod direktivo; Zakon o kibernetski varnosti to razlaga kot slovensko izvedbo z obveznostjo prijave pristojnemu organu. Ali je ta obveznost prijave stosna podjetju, je odvisno od tega, ali samo spada pod direktivo — to je mogoče preveriti pri vprašanju, ali podjetje spada pod direktivo NIS2. Vprašanje na vprašalniku naročnika je od tega ločeno: ne sprašuje po zakonski prijavi, ampak po preglednosti do naročnika glede tega, kako zrelo je incidentni proces.