Jakie są obowiązki z zakresu obsługi incydentów?

Podmiot kluczowy lub podmiot ważny ma obowiązek zapewnić obsługę incydentu. Oznacza to m.in. obowiązek:

• •
  zgłoszenia wczesnego ostrzeżenia o incydencie poważnym, nie później niż w ciągu 24 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego,
• •
  zgłoszenia incydentu poważnego niezwłocznie, nie później niż w ciągu 72 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego,
• •
  zapewnienia dostępu do informacji o rejestrowanych incydentach właściwemu CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowemu, w zakresie niezbędnym do realizacji jego zadań,
• •
  współdziałania podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT
• •
  przekazania, na wniosek właściwego CSIRT sektorowego, sprawozdania okresowego z obsługi incydentu poważnego
• •
  przekazania właściwemu CSIRT sektorowemu sprawozdania końcowego z obsługi incydentu poważnego, niepóźniej niż w ciągu miesiąca od dnia zgłoszenia
• •
  informowania użytkowników swoich usług o incydencie poważnym, jeżeli ma on niekorzystny wpływ na świadczenie tych usług
• •
  podejmowania działań naprawczych.

W ramach obsługi incydentów podmiot krajowego systemu cyberbezpieczeństwa może w szczególności podejmować działania w celu wykrywania źródła lub dokonywania analizy aktywności, w tym ruchu sieciowego, powodujących wystąpienie incydentu zakłócającego świadczenie usług przez ten podmiot. Uprawnienia te są niezbędne dla zapewnienia skutecznej reakcji na incydent, a w praktyce sprawiają one problemy praktyczne. Wykrycie źródła ataku często jest niezbędne do jego powstrzymania i przywrócenia normalnego funkcjonowania systemów.