Czy Twoj incydent ICT jest powazny wg DORA?
Tylko powazny incydent ICT podlega obowiazkowemu zgloszeniu do KNF. Odpowiedz na pytania o siedem kryteriow RTS 2024/1772 (klienci i kontrahenci, czas trwania i przestoj, zasieg geograficzny, straty danych, krytycznosc uslug, skutki ekonomiczne, incydenty nawracajace), a dostaniesz klasyfikacje: powazny czy niepowazny, z regula z art. 8 i lista spelnionych kryteriow. Klasyfikacja wg RTS to jedyny moment, w ktorym powstaje obowiazek wobec organu nadzoru, i jedyny, w ktorym mozna go naruszyc niezauwazalnie.
Narzedzie ma charakter informacyjny i nie stanowi porady prawnej; klasyfikacje przeprowadz wg wlasciwych RTS i wewnetrznych procedur. Gotowe procedury i rejestry incydentow: pakiet DORA. Terminy i mechanika zgloszen: kalkulator zegarow zgloszen incydentu.
Najczestsze pytania o klasyfikacje incydentu DORA
Jakie sa progi powaznego incydentu ICT wg DORA?
Progi definiuje RTS 2024/1772 (art. 9): ponad 10% klientow uslugi lub ponad 100 000 klientow, ponad 30% kontrahentow finansowych lub ponad 10% dziennej liczby albo wartosci transakcji; czas trwania ponad 24 h lub przestoj funkcji krytycznej ponad 2 h; skutki w co najmniej 2 panstwach czlonkowskich; niekorzystny wplyw na dane; koszty i straty brutto ponad 100 000 EUR. Incydent jest powazny, gdy dotknal uslug krytycznych ORAZ wystapil zlosliwy nieuprawniony dostep albo spelnione sa progi co najmniej dwoch innych kryteriow (art. 8).
Ile mam czasu na zgloszenie incydentu do KNF?
Dla powaznego incydentu ICT zgloszenie wstepne skladasz w ciagu 4 godzin od klasyfikacji (maksymalnie 24 godzin od wykrycia), raport posredni po 72 godzinach, a raport koncowy w miesiac. Dokladne zegary i mechanike zgloszen przez SOID sprawdzisz w kalkulatorze zegarow zgloszen incydentu.
Czy incydent u dostawcy chmury tez trzeba klasyfikowac?
Tak. DORA obejmuje incydenty ICT niezaleznie od zrodla: systemy wlasne, dostawcy ICT i lancuch podwykonawcow. Incydent u dostawcy chmury klasyfikujesz tak samo, a zegary zgloszenia biegna dla Twojego podmiotu od powziecia wiedzy. Egzekwuj kontraktowe SLA powiadomien od dostawcy.
Co to incydent powtarzajacy sie?
To incydenty o tej samej przyczynie pierwotnej, ktore jednostkowo nie sa powazne, ale wystapily co najmniej dwukrotnie w oknie 6 miesiecy i lacznie spelniaja regule klasyfikacyjna (art. 8 ust. 2 RTS). Traktuje sie je jako jeden powazny incydent; zegar zgloszenia biegnie od klasyfikacji serii.
Czy cyberzagrozenie tez trzeba zglaszac?
Zgloszenie znaczacego cyberzagrozenia do KNF jest dobrowolne (art. 19 ust. 2 DORA), inaczej niz obowiazkowe zgloszenie powaznego incydentu. Cyberzagrozenie jest znaczace, gdy lacznie: dotyczy funkcji krytycznych, ma wysokie prawdopodobienstwo materializacji i mogloby doprowadzic do powaznego incydentu (art. 10 RTS). Przy materializacji ryzyka informujesz dotknietych klientow o srodkach ochrony.