Jak określić moment wykrycia incydentu?

Jest to moment, w którym podmiot uzyskał informacje o zdarzeniu, które kwalifikuje się jako incydent. Informacje te może uzyskać monitorując własne systemy lub pozyskując informacje od dostawcy usługi. W umowach z

dostawcami należy zawrzeć obowiązek dostawcy o niezwłocznym informowaniu o incydencie związanym z usługą dostawcy.

Moment wykrycia incydentu to taki moment, w którym podmiot może stwierdzić, że dane zdarzenie jest incydentem. Mogą być takie sytuacje, że incydent został wykryty dopiero po dłuższym czasie od jego zaistnienia – wykrycie nastąpiło wskutek analizy logów czy korelacji danych z różnych zdarzeń. Momentem wykrycia będzie więc zidentyfikowanie zdarzenia jako incydent, a nie sam moment zaistnienia incydentu. Pamiętać należy, że podmiot kluczowy i podmiot ważny są obowiązane ciągle monitorować swoje systemy informacyjne pod kątem wykrycia incydentu. Dodatkowo obowiązkiem zgłoszenia do zespołów CSIRT są objęte nie wszystkie incydenty, tylko incydenty poważne. Aczkolwiek każdy incydent powinien być zarządzony przez podmiot.