Rozdział 6. Zgłaszanie incydentów

Incydent jest to zdarzenie, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych.

Wyjaśnienia wymaga wskazanie w definicji, że incydent to zdarzenie „które ma lub może mieć” – ta fakultatywność jest obecna od 2018 r. i przede wszystkim związana jest z zapewnieniem, że zespoły CSIRT albo osoby odpowiedzialne za obsługę incydentów w podmiocie będą otrzymywały informację o zdarzeniu, które wystąpiło i nie można było mu zapobiec, a zagraża bezpieczeństwu systemów. Dzięki temu można już rozpocząć proces zarządzania incydentem i na końcu wyciągnąć wnioski, które zapobiegną poważniejszym zdarzeniom w przyszłości. Takie podejście do incydentu pozwala zidentyfikować słabości organizacji, a także wdrożyć działania prewencyjne, poprawiające poziom bezpieczeństwa, jeszcze przed tym, zanim zdarzenie wywoła niekorzystne skutki.

Takie ukształtowanie przepisu jest zarazem zgodne z brzmieniem art. 3 rozporządzenia wykonawczego 2024/2690, w którym w kilku miejscach wskazano, że incydent uznaje się za incydent poważny (w przypadku podmiotów z sektora infrastruktury cyfrowej) jeśli „incydent spowodował lub może spowodować …”.

Incydenty dzielą się na:

• 1)
  incydent krytyczny – incydent skutkujący znaczną szkodą dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich lub życia i zdrowia ludzi, klasyfikowany przez właściwy CSIRT MON, CSIRT NASK lub CSIRT GOV
• 2)
  incydent poważny - incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny, straty finansowe dla tego podmiotu lub wpływa na inne osoby fizyczne, osoby prawne, jednostki organizacyjne nieposiadające osobowości prawnej przez wywołanie poważnej szkody materialnej lub niematerialnej
• 3)
  incydent w cyberbezpieczeństwie na dużą skalę – incydent, którego skutki przekraczają możliwości reagowania państwa lub który ma poważny wpływ na inne państwo członkowskie Unii Europejskiej

Każdy podmiot kluczowy lub podmiot ważny ma obowiązek zarządzania każdego incydentu. Jednakże obowiązkowemu zgłoszeniu podlegają jedynie incydenty poważne.

Podmiot kluczowy lub podmiot ważny ma obowiązek zapewnić obsługę incydentu. Oznacza to m.in. obowiązek:

• •
  zgłoszenia wczesnego ostrzeżenia o incydencie poważnym, nie później niż w ciągu 24 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego,
• •
  zgłoszenia incydentu poważnego niezwłocznie, nie później niż w ciągu 72 godzin od momentu jego wykrycia, do właściwego CSIRT sektorowego,
• •
  zapewnienia dostępu do informacji o rejestrowanych incydentach właściwemu CSIRT MON, CSIRT NASK, CSIRT GOV lub CSIRT sektorowemu, w zakresie niezbędnym do realizacji jego zadań,
• •
  współdziałania podczas obsługi incydentu poważnego i incydentu krytycznego z właściwym CSIRT
• •
  przekazania, na wniosek właściwego CSIRT sektorowego, sprawozdania okresowego z obsługi incydentu poważnego
• •
  przekazania właściwemu CSIRT sektorowemu sprawozdania końcowego z obsługi incydentu poważnego, niepóźniej niż w ciągu miesiąca od dnia zgłoszenia
• •
  informowania użytkowników swoich usług o incydencie poważnym, jeżeli ma on niekorzystny wpływ na świadczenie tych usług
• •
  podejmowania działań naprawczych.

W ramach obsługi incydentów podmiot krajowego systemu cyberbezpieczeństwa może w szczególności podejmować działania w celu wykrywania źródła lub dokonywania analizy aktywności, w tym ruchu sieciowego, powodujących wystąpienie incydentu zakłócającego świadczenie usług przez ten podmiot. Uprawnienia te są niezbędne dla zapewnienia skutecznej reakcji na incydent, a w praktyce sprawiają one problemy praktyczne. Wykrycie źródła ataku często jest niezbędne do jego powstrzymania i przywrócenia normalnego funkcjonowania systemów.

Jest to moment, w którym podmiot uzyskał informacje o zdarzeniu, które kwalifikuje się jako incydent. Informacje te może uzyskać monitorując własne systemy lub pozyskując informacje od dostawcy usługi. W umowach z

dostawcami należy zawrzeć obowiązek dostawcy o niezwłocznym informowaniu o incydencie związanym z usługą dostawcy.

Moment wykrycia incydentu to taki moment, w którym podmiot może stwierdzić, że dane zdarzenie jest incydentem. Mogą być takie sytuacje, że incydent został wykryty dopiero po dłuższym czasie od jego zaistnienia – wykrycie nastąpiło wskutek analizy logów czy korelacji danych z różnych zdarzeń. Momentem wykrycia będzie więc zidentyfikowanie zdarzenia jako incydent, a nie sam moment zaistnienia incydentu. Pamiętać należy, że podmiot kluczowy i podmiot ważny są obowiązane ciągle monitorować swoje systemy informacyjne pod kątem wykrycia incydentu. Dodatkowo obowiązkiem zgłoszenia do zespołów CSIRT są objęte nie wszystkie incydenty, tylko incydenty poważne. Aczkolwiek każdy incydent powinien być zarządzony przez podmiot.

Tak. Incydenty w systemach automatyki przemysłowej podlegają obowiązkowemu zgłoszeniu.

Incydentem jest zdarzenie które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych. Definicja systemu informacyjnego uwzględnia także systemy automatyki przemysłowej.

Tak, istnieje możliwość dobrowolnego zgłoszenia do zespołów CSIRT poziomu krajowego jak również CSIRT sektorowego informacji o incydentach nie podlegających obowiązkowemu zgłoszeniu, o cyberzagrożeniach, wynikach szacowania ryzyka, podatnościach, potencjalnych zdarzeniach dla cyberbezpieczeństwa czy wykorzystywanych technologiach.

Zgłoszenia te są dokonywane za pomocą systemu teleinformatycznego S46. Umożliwia to dzielenie się informacjami z zespołami CSIRT, które mogą przeanalizować je i wyciągnąć wnioski, umożliwiając lepsze wspieranie podmiotów kluczowych i podmiotów ważnych.

Przykładowo informacje o podatnościach pozwolą na opracowanie sposobów ich mitygacji. Zapewniono przy tym możliwość ochrony informacji prawnie chronionych – w tym celu podmiot kluczowy i podmiot ważny ma obowiązek oznaczyć tego rodzaju informacje.

Jest to zdarzenie, które może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych. Zgłaszanie takich zdarzeń do zespołów CSIRT jest nieobowiązkowe. W samej możliwości zgłoszeń tego rodzaju zdarzeń chodzi o to, aby móc wyciągnąć informacje z tego rodzaju sytuacji, które nie doprowadziły do strat, ale wyciągnięte z nich wnioski mogą pozwolić na zabezpieczenie się przed innymi incydentami.

Poważnym cyberzagrożeniem jest cyberzagrożenie, które przez swoje właściwości techniczne może mieć poważny wpływ na bezpieczeństwo systemów informacyjnych lub użytkowników tych systemów przez wywołanie poważnej szkody materialnej lub niematerialnej. Należy poinformować użytkowników podmiotu kluczowego lub podmiotu ważnego o możliwych środkach zapobiegawczych przed poważnym cyberzagrożeniem. Przydatny do realizacji tego obowiązku może być ten szablon:

Jest to incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub podmiot ważny – a nie jak do tej pory świadczenia usługi kluczowej przez

operatora usługi kluczowej. Ponadto incydentem poważnym będzie też taki, który powoduje straty finansowe dla podmiotu kluczowego i podmiotu ważnego albo wpływa na inne podmioty – osoby fizyczne, osoby prawne i ułomne osoby prawne – w taki sposób, że wywołuje szkodę materialną albo niematerialną.

W praktyce istotne znaczenie dla zidentyfikowania incydentu poważnego będą miały progi incydentu poważnego ustalone w rozporządzeniu Rady Ministrów.

Wczesne ostrzeżenie o incydencie poważnym jest zgłaszane w terminie 24 godzin od wykrycia incydentu. Zawiera m.in.

• 1)
  dane podmiotu zgłaszającego – w tym firmę przedsiębiorcy, numer z właściwego rejestru, siedzibę i adres – chodzi o konieczność zapewnienia identyfikacji podmiotu zgłaszającego wczesne ostrzeżenie;
• 2)
  imię i nazwisko, numer telefonu służbowego oraz służbowy adres poczty elektronicznej osoby dokonującej zgłoszenia;
• 3)
  imię i nazwisko, numer telefonu służbowego oraz adres służbowej poczty elektronicznej osoby uprawnionej do składania wyjaśnień dotyczących zgłaszanych informacji. W zależności od okoliczności osoba dokonująca zgłoszenia może być jednocześnie osobą uprawnioną do składania wyjaśnień. Może być też inaczej, stąd zasadne jest wyodrębnienie tych kategorii osób;
• 4)
  wskazanie momentu wystąpienia i wykrycia incydentu poważnego oraz czas jego trwania – jest to istotne dla CSIRT który może również dokonać korelacji tych danych z innymi dostępnymi informacjami o innych incydentach i np. zidentyfikować działania grup wrogich aktorów;
• 5)
  wskazanie, czy incydent poważny został wywołany działaniem bezprawnym lub działaniem w złej wierze, jeżeli możliwe jest dokonanie takiej oceny – dzięki tej informacji CSIRT będzie wiedział, czy konieczne jest zaangażowanie organów ścigania;
• 6)
  określenie, czy incydent dotyczy innych państw członkowskich Unii Europejskiej – jest to konieczne do określenia ewentualnego wpływu transgranicznego.

Podmioty publiczne będące podmiotami ważnymi mają uproszczone obowiązki przy zgłaszaniu incydentów. Nie muszą zgłaszać wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu ani sprawozdania końcowego z obsługi incydentu. Zgłaszają wyłącznie zgłoszenie incydentu poważnego.

Incydenty poważne są zgłaszane do CSIRT sektorowych za pomocą systemu S46, który jest prowadzony przez Ministra Cyfryzacji.

Aby korzystać z systemu, najpierw należy uzyskać do niego dostęp. W tym celu należy wypełnić oświadczenie o dołączeniu do systemu i przekazać je za pośrednictwem formularza kontaktowego.

Instrukcja, oświadczenie oraz formularz kontaktowy znajdują się pod adresem: https://www.gov.pl/web/system-s46/uzyskaj-dostep.

Zespoły CSIRT sektorowe oraz CSIRT poziomu krajowego przekażą sobie zgłoszenie incydentu zgodnie z właściwością, jeżeli w danej sprawie nie są właściwi.

W ciągu 72 godzin od wykrycia incydentu poważnego podmiot kluczowy i podmiot ważny zgłasza incydent poważny wraz z dodatkowymi informacjami o tym incydencie:

• 1)
  opis wpływu incydentu poważnego na świadczenie usługi, w tym:

a) wskazanie usługi zgłaszającego, na które incydent poważny miał wpływ.

Aby pomóc podmiotowi zgłaszającemu incydent CSIRT musi wiedzieć na świadczenie jakich usług wpływa incydent.

b) liczbę użytkowników usługi, na których incydent poważny miał wpływ.

Chodzi o szacunkowe określenie liczby użytkowników na których oddziałuje incydent.

c) zasięg geograficzny obszaru, którego dotyczy incydent poważny.

Chodzi o określenie obszaru na który wpływa incydent poważny, przykładowo ten obszar może obejmować niedostępność usług telekomunikacyjnych na terenie dwóch powiatów, albo brak prądu w mieście wojewódzkim spowodowany awarią systemów sterowania.

d) wpływ incydentu poważnego na świadczenie usługi przez inne podmioty.

Podmiot kluczowy i podmiot ważny powinien, w ramach analizy kontekstu organizacji ustalić podmioty z którymi współpracuje i którym świadczy usługi. Będzie więc mógł określić, czy incydent wpływa na te podmioty czy nie.

• 2)
  opis przyczyn tego incydentu, sposób jego przebiegu oraz prawdopodobne skutki oddziaływania na systemy informacyjne lub świadczone usługi.

Przykładowo należy wskazać oznaki naruszenia integralności systemu (indicators of compromise).

• 3)
  informacje o podjętych działaniach zapobiegawczych;
• 4)
  informacje o podjętych działaniach naprawczych;
• 5)
  aktualizację informacji przekazanych we wczesnym ostrzeżeniu, jeżeli nastąpiła ich zmiana.

Nie zawsze wszystkie informacje będą dostępne w trakcie zgłaszania incydentu poważnego, dlatego podmiot kluczowy lub podmiot ważny będzie obowiązany zgłosić te informacje, o których wie na moment zgłoszenia. Będzie przy tym zobligowany uzupełnić te informacje później w trakcie obsługi incydentu.

Podmiot kluczowy lub podmiot ważny ma obowiązek poinformować użytkowników swoich usług o incydencie poważnym, jeżeli ma on niekorzystny wpływ na świadczenie usług.

Niekorzystny wpływ to taki, który przynosi straty dla użytkowników, np. tracą czas, pieniądze, czy w niektórych przypadkach zdrowie. Stąd też w takich sytuacjach należy ich informować o incydencie poważnym.

Wystarczy jedno zgłoszenie w systemie S46. CSIRT sektorowe mają obowiązek wzajemnego poinformowania się o incydencie

Tak. Zostały one określone w Rozporządzeniu wykonawczym Komisji (UE) 2024/2690 odniesieniu do:

• •
  dostawców usług DNS,
• •
  rejestrów nazw TLD,
• •
  dostawców usług chmurowych,
• •
  dostawców usług ośrodka przetwarzania danych,
• •
  dostawców sieci dostarczania treści,
• •
  dostawców usług zarządzanych,
• •
  dostawców usług zarządzanych w zakresie bezpieczeństwa,
• •
  dostawców internetowych platform handlowych,
• •
  wyszukiwarek internetowych
• •
  platform usług sieci społecznościowych
• •
  dostawców usług zaufania

https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R2690.

Progi uznania incydentu za incydent poważny zostaną określone w drodze rozporządzenia przez Radę Ministrów. Przy czym w tym rozporządzeniu nie będą określone progi incydentów dla podmiotów, dla których progi te ustaliła Komisja Europejska w bezpośrednio stosowalnym akcie wykonawczym wydanym na podstawie art. 23 ust. 11 dyrektywy NIS 2. Prawo krajowe nie może wkraczać w kwestie uregulowane bezpośrednio stosowalnym akcie prawa unijnego.

Dane przekazywane w zgłoszeniu incydentu mogą stanowić tajemnice prawnie chronione w tym tajemnicę przedsiębiorstwa. Jednocześnie są one potrzebne aby zespół CSIRT był w stanie efektywnie pomóc podmiotowi. Dlatego podmiot kluczowy lub podmiot ważny zgłaszający incydent ma obowiązek przekazać we wczesnym ostrzeżeniu lub w zgłoszeniu incydentu informacje stanowiące tajemnice prawnie chronione. Jednocześnie zespoły CSIRT są obowiązane zachować te informacje w tajemnicy. Informacje te powinny być stosownie oznaczone we wczesnym ostrzeżeniu lub zgłoszeniu incydentu, aby CSIRT wiedział które informacje w szczególny sposób musi chronić.

Informacje niejawne dotyczące incydentu poważnego są zgłaszane za pomocą systemu teleinformatycznego, który otrzymał akredytację bezpieczeństwa teleinformatycznego lub inną drogą przewidzianą w ustawie o ochronie informacji niejawnych.

Tak, po konsultacji z podmiotem, w którym wystąpił incydent poważny gdy jest to niezbędne, aby zapobiec wystąpieniu incydentu albo zapewnić obsługę incydentu.

Podmiot kluczowy lub podmiot ważny obowiązany jest złożyć sprawozdanie okresowe (na wniosek) i sprawozdanie końcowe.

Sprawozdanie okresowe dotyczy działań podjętych w trakcie obsługi incydentu poważnego. Jest ono przekazywane na wniosek CSIRT sektorowego.

Sprawozdanie końcowe przekazuje się w ciągu miesiąca od dnia zgłoszenia incydentu. Podsumowuje ono obsługę incydentu poważnego. Zawiera ono:

1) szczegółowy opis incydentu poważnego, w tym spowodowane zakłócenia i szkody;

2) rodzaj zagrożenia lub przyczynę, która prawdopodobnie była źródłem incydentu;

3) zastosowane i wdrażane środki ograniczające ryzyko;

4) transgraniczne skutki incydentu, jeżeli wystąpiły.

Podsumowując sprawozdanie końcowe opisuje co się stało, przyczynę, działania następcze oraz transgraniczne skutki incydentu. Dzięki takiemu sprawozdaniu zarówno podmiot kluczowy i podmiot ważny jak i zespół CSIRT są w stanie wyciągnąć wnioski z incydentu na przyszłość, ewentualnie wrócić do dokumentacji obsługi konkretnego incydentu, jeżeli w przyszłości pojawi się inny podobny incydent. Świadomość tego jak postąpiło się z podobnym incydentem pomoże przy obsłudze kolejnych tego typu zdarzeń.

Jeżeli jednak obsługa incydentu poważnego nie zakończyła się w terminie miesiąca podmiot zgłaszający incydent poważny przesyła sprawozdanie z postępu obsługi incydentu, a sprawozdanie końcowe w terminie miesiąca od zakończenia obsługi tego incydentu.