Zgłoszenie incydentu do CSIRT — jakie terminy obowiązują i co musi zawierać

Organizacje przygotowują się zwykle na techniczną stronę incydentu: odtworzenie danych, przywrócenie usługi, ustalenie zasięgu. Obowiązek sprawozdawczy pojawia się w ich planach dopiero na końcu, choć w praktyce jego termin upływa jako pierwszy. Wczesne ostrzeżenie trzeba przekazać w chwili, gdy zespół techniczny wciąż ustala, co się właściwie stało.

Rozbieżność między tymi dwoma rytmami jest źródłem większości uchybień. Nie wynikają one z lekceważenia przepisu, lecz z założenia, że najpierw ustala się fakty, a potem informuje organ. Regulacja przyjmuje odwrotną kolejność: najpierw sygnał, potem ustalenia.

Konsekwencja tego uchybienia jest niewspółmierna do jego przyczyny. Incydent obsłużony sprawnie, lecz zgłoszony po terminie, w dokumentacji nadzorczej wygląda tak samo jak incydent zatajony. Organ ocenia dowód wykonania obowiązku, a nie sprawność działań technicznych.

Z perspektywy kierownictwa jest to więc przede wszystkim kwestia procesu decyzyjnego, a nie zdolności technicznych. Organizacja dysponująca skromnymi zasobami, lecz jasno przypisaną odpowiedzialnością i gotowym szablonem, dochowa terminu bez trudu. Organizacja z rozbudowanym zespołem, w której nikt nie ma mandatu do wysłania pierwszego pisma, terminu nie dochowa mimo posiadanych środków.

Obowiązek zgłoszenia nie dotyczy każdego zdarzenia bezpieczeństwa. Uruchamia go dopiero incydent poważny, a jego definicja opiera się na skutkach, nie na technicznym przebiegu. Znaczenie ma to, co zdarzenie spowodowało lub może spowodować, a nie sposób, w jaki do niego doszło.

Dyrektywa (UE) 2022/2555 wskazuje dwie przesłanki. Pierwsza dotyczy samego podmiotu: incydent spowodował lub może spowodować dotkliwe zakłócenie operacyjne świadczonych usług albo straty finansowe. Druga dotyczy otoczenia: incydent wpłynął lub może wpłynąć na inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe lub niemajątkowe.

Obie przesłanki zawierają zwrot o możliwości wystąpienia skutku. Oznacza to, że obowiązek powstaje również wtedy, gdy szkoda ostatecznie nie nastąpiła, a zdarzenie mogło ją wywołać. Czekanie na potwierdzenie realnej szkody jest jednym z częstszych powodów przekroczenia terminu.

W praktyce oznacza to konieczność ustalenia progów jeszcze przed wystąpieniem zdarzenia. Progi opisuje się w kategoriach zrozumiałych dla organizacji: czas niedostępności usługi, liczba dotkniętych odbiorców, rodzaj przetwarzanych danych, wpływ na zobowiązania umowne. Ocena prowadzona bez takich punktów odniesienia zamienia się w dyskusję o wrażeniach, prowadzoną akurat wtedy, gdy nikt nie ma na nią czasu.

Progi warto ustalić wspólnie z właścicielami procesów, a nie wyłącznie w obszarze technicznym. To oni potrafią powiedzieć, po ilu godzinach niedostępności systemu zatrzymuje się produkcja albo przestaje działać obsługa klienta — i to ich ocena, a nie ocena administratora, odpowiada kryterium dotkliwego zakłócenia z przepisu.

Sprawozdawczość incydentowa ma budowę kaskadową. Zamiast jednego dokumentu składanego po zakończeniu sprawy powstają trzy, o rosnącej szczegółowości i malejącej presji czasu. Konstrukcja ta odpowiada realiom obsługi incydentu, w której wiedza narasta stopniowo.

Pierwszy dokument to wczesne ostrzeżenie, przekazywane niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia incydentu poważnego (art. 11 ust. 1 pkt 4 ustawy o KSC). Drugi to zgłoszenie incydentu poważnego, składane nie później niż w ciągu 72 godzin od wykrycia (pkt 4a). Trzeci to sprawozdanie końcowe, składane w ciągu miesiąca od dnia tego zgłoszenia (pkt 4c).

Między drugim a trzecim dokumentem właściwy CSIRT może zażądać sprawozdania okresowego z bieżącym stanem obsługi (pkt 4b). Jeżeli po upływie miesiąca incydent nadal trwa, zamiast sprawozdania końcowego składa się sprawozdanie z postępu, a końcowe przekazuje się w ciągu miesiąca od zakończenia obsługi (art. 12b).

Warto zauważyć, że kaskada nie jest ciągiem niezależnych pism, lecz jednym rosnącym opisem tego samego zdarzenia. Każdy kolejny dokument aktualizuje poprzedni, więc rozbieżności między nimi wymagają wyjaśnienia. Z tego powodu wersje przekazywane organowi trzeba przechowywać razem z datą wysyłki, a nie nadpisywać jednym plikiem roboczym.

Wczesne ostrzeżenie jest dokumentem celowo ubogim. Nie wymaga ustalenia przyczyny, zasięgu ani liczby dotkniętych systemów, ponieważ w pierwszej dobie żadna z tych informacji zwykle nie jest jeszcze pewna. Jego zadaniem jest uruchomienie kanału informacyjnego, a nie opisanie zdarzenia.

Art. 12 ust. 1 ustawy o KSC wymienia sześć elementów: dane podmiotu, dane osoby zgłaszającej, dane osoby, która może udzielić wyjaśnień, moment wystąpienia i wykrycia incydentu oraz czas jego trwania, informację, czy incydent mógł zostać spowodowany działaniem bezprawnym lub w złej wierze, oraz informację, czy może on wpłynąć na inne państwa członkowskie UE. Ocena przyczyny i zasięgu ma tu charakter wstępny i może zostać zrewidowana w kolejnym dokumencie. W tym samym piśmie można poprosić CSIRT o wsparcie (art. 12 ust. 2).

Ubóstwo tego dokumentu bywa źródłem nieporozumienia. Zespoły odkładają zgłoszenie, ponieważ uznają, że nie mają jeszcze nic konkretnego do przekazania. Tymczasem brak konkretów jest w tym momencie stanem oczekiwanym, a jedynym błędem jest cisza.

Wczesne ostrzeżenie nie przesądza również o dalszej kwalifikacji zdarzenia. Jeżeli pogłębiona analiza wykaże, że incydent nie spełnia przesłanek poważnego, informacja o tym trafia do kolejnego dokumentu w kaskadzie. Ryzyko związane ze zgłoszeniem zdarzenia, które ostatecznie okazało się mniej istotne, jest nieporównanie mniejsze niż ryzyko przekroczenia terminu.

Zgłoszenie incydentu poważnego aktualizuje wczesne ostrzeżenie i po raz pierwszy zawiera ocenę merytoryczną. Zgodnie z art. 12 ust. 3 ustawy o KSC obejmuje ono wpływ incydentu na świadczoną usługę (której usługi dotyczy, liczbę użytkowników, zasięg geograficzny, wpływ na inne podmioty), opis przyczyn i przebiegu incydentu oraz podjęte działania zapobiegawcze i naprawcze.

Dobrą praktyką, choć nie wymogiem ustawowym, jest dołączenie wskaźników naruszenia (IoC), czyli technicznych śladów pozwalających rozpoznać to samo zdarzenie w innych organizacjach. Wskaźniki przekazane wcześnie pozwalają ostrzec inne podmioty, zanim ten sam scenariusz zostanie u nich powtórzony.

Na tym etapie przekazuje się informacje znane w chwili zgłoszenia, a braki uzupełnia w toku obsługi (art. 12 ust. 5). Opis przyczyn jest więc wymagany, ale w zakresie, w jakim organizacja je już zna.

Trzy doby to jednocześnie moment, w którym po raz pierwszy widać jakość wcześniejszych przygotowań. Organizacja prowadząca rejestr zasobów i zależności potrafi w tym czasie wskazać zakres zdarzenia. Organizacja, która takiego rejestru nie ma, opisuje w zgłoszeniu nie tyle incydent, ile własną niepewność co do jego zasięgu.

Sprawozdanie końcowe jest jedynym dokumentem w kaskadzie, który wymaga pełnego opisu zdarzenia. Zawiera szczegółową charakterystykę incydentu wraz z jego dotkliwością i skutkami, wskazanie rodzaju zagrożenia lub przyczyny źródłowej, opis zastosowanych i wdrażanych środków ograniczających ryzyko oraz — jeżeli wystąpiły — skutki transgraniczne.

Wymóg wskazania przyczyny źródłowej ma konsekwencję organizacyjną, którą łatwo przeoczyć. Aby ją ustalić, trzeba dysponować materiałem dowodowym z okresu sprzed incydentu, czyli logami o odpowiednim zakresie i okresie przechowywania. Organizacja, która nie zaplanowała retencji, po miesiącu nie ma z czego odtworzyć przebiegu zdarzenia.

Konstrukcja z incydentem trwającym rozwiązuje sytuację, w której miesiąc nie wystarcza. Zamiast sprawozdania końcowego składa się wtedy sprawozdanie z postępów, a dokument końcowy przekazuje się w ciągu miesiąca od faktycznego zakończenia obsługi.

Sprawozdanie końcowe pełni też funkcję wykraczającą poza obowiązek wobec organu. Jest to jedyny dokument, w którym organizacja spisuje wnioski z całego zdarzenia, i w praktyce staje się materiałem wejściowym do aktualizacji analizy ryzyka oraz planu ciągłości działania. Potraktowanie go wyłącznie jako formalności oznacza utratę jedynej okazji, w której organizacja patrzy na własne słabości bez teoretyzowania.

Po nowelizacji ustawy o KSC zgłoszenia trafiają do właściwego CSIRT sektorowego. Organy właściwe mają 18 miesięcy na utworzenie tych zespołów (art. 42 ustawy z 23 stycznia 2026 r.), a każdy z nich zaczyna przyjmować zgłoszenia od dnia następującego po ogłoszeniu komunikatu o osiągnięciu zdolności operacyjnej. Do tego czasu podmiot zgłasza incydent do CSIRT MON, CSIRT NASK albo CSIRT GOV, zależnie od swojej właściwości (art. 44). Wszystkie dokumenty przekazuje się przez system teleinformatyczny S46 (art. 11 ust. 2).

Ustalenie właściwego adresata należy do czynności wykonywanych zawczasu, a nie w trakcie zdarzenia. Organizacja, która w pierwszej dobie incydentu zaczyna od sprawdzania, dokąd wysłać zgłoszenie, traci na to część terminu przewidzianego na jego przygotowanie.

Ten sam wniosek dotyczy dostępu do systemu S46. Dostęp powinien być sprawdzony i przypisany do więcej niż jednej osoby, ponieważ incydent nie liczy się z urlopami.

Sprawdzenie dostępu warto powtarzać okresowo, a nie wyłącznie przy wdrożeniu procedury. Zmiany kadrowe, wygasłe uprawnienia czy nieaktualne dane kontaktowe łatwiej wychwycić w spokojnym okresie niż w pierwszej dobie incydentu.

Nowe zasady zgłaszania należą do obowiązków z rozdziału 3 ustawy o KSC, a nowelizacja dała podmiotom czas na ich wdrożenie. Podmioty, które wcześniej były operatorami usług kluczowych, stosują je po 6 miesiącach od wejścia w życie nowelizacji (art. 33 ust. 4 ustawy z 23 stycznia 2026 r.). Pozostałe podmioty kluczowe i ważne mają 12 miesięcy (art. 33 ust. 1) - według Ministerstwa Cyfryzacji do 3 kwietnia 2027 r.

Podmiot ważny będący podmiotem publicznym nie składa wczesnego ostrzeżenia, sprawozdań okresowych, sprawozdania z postępu ani sprawozdania końcowego (art. 12c ustawy o KSC). Zgłoszenie incydentu poważnego obowiązuje go jednak tak samo jak pozostałe podmioty.

Okres przejściowy nie zwalnia z przygotowań. Procedura, progi klasyfikacji i dostęp do S46 powinny być gotowe przed jego końcem, a nie w dniu, w którym obowiązek zacznie się stosować.

Jeden incydent potrafi uruchomić dwa niezależne obowiązki wobec dwóch różnych organów. Ścieżka wynikająca z przepisów o cyberbezpieczeństwie prowadzi do zespołu CSIRT i dotyczy zakłócenia usługi. Ścieżka wynikająca z rozporządzenia (UE) 2016/679 prowadzi do organu nadzorczego i dotyczy naruszenia ochrony danych osobowych.

Zbieżność terminu siedemdziesięciu dwóch godzin w obu reżimach bywa myląca i prowadzi do założenia, że jedno zgłoszenie zaspokaja oba obowiązki. Tak nie jest: różnią się adresat (w RODO jest nim Prezes UODO), zakres informacji, przesłanka powstania obowiązku i moment, od którego liczy się termin (w RODO - od stwierdzenia naruszenia, art. 33 ust. 1).

Praktyczny wniosek dotyczy konstrukcji procedury. Powinna ona zawierać wyraźny punkt decyzyjny, w którym pada pytanie, czy incydent obejmuje dane osobowe, oraz wskazywać osobę odpowiedzialną za każdą ze ścieżek.

Rozdzielenie ról ma tu znaczenie szczególne, ponieważ obie ścieżki bywają obsadzone przez różne piony organizacji. Ścieżką techniczną kieruje zwykle zespół odpowiedzialny za systemy, ścieżką dotyczącą danych osobowych — inspektor ochrony danych lub dział prawny. Bez wskazania osoby koordynującej całość zdarza się, że każda ze stron zakłada, iż zgłoszenia dokonała druga.

Poza zgłoszeniem do organu dyrektywa przewiduje drugi kierunek komunikacji, o którym pamięta się rzadziej. Podmiot informuje odbiorców swoich usług o poważnym incydencie, jeżeli może on niekorzystnie wpłynąć na świadczenie tych usług. W uzasadnionych przypadkach informuje ich również o samym zagrożeniu oraz o środkach, które odbiorcy mogą po swojej stronie zastosować.

Obowiązek ten ma inną naturę niż zgłoszenie do zespołu CSIRT. Adresatem nie jest organ, lecz klient, a treść komunikatu podlega ocenie nie tylko formalnej, ale i reputacyjnej. Przygotowanie go w trakcie zdarzenia, bez wcześniejszych ustaleń, kończy się zwykle albo milczeniem, albo komunikatem, który trzeba potem prostować.

Praktyczne rozwiązanie polega na przygotowaniu wzorca komunikatu wraz z zasadami jego zatwierdzania. Wzorzec rozstrzyga, co podajemy zawsze, czego nie podajemy nigdy i kto autoryzuje wysyłkę. Zasady te warto uzgodnić z osobami odpowiedzialnymi za komunikację i obsługę klienta, a nie wyłącznie w obszarze technicznym.

Podmioty objęte rozporządzeniem (UE) 2022/2554, znanym jako DORA, raportują poważne incydenty związane z technologiami informacyjno-komunikacyjnymi według odrębnego reżimu. Konstrukcja jest podobna i również etapowa: wstępne powiadomienie, sprawozdanie śródokresowe i sprawozdanie końcowe (art. 19 ust. 4 DORA), składane do właściwego organu, w Polsce do KNF, a nie do CSIRT.

Terminy i zakres informacji określają jednak standardy techniczne wydane do rozporządzenia, a nie dyrektywa opisana powyżej. Podmiot finansowy, który przyjmie terminy z jednego reżimu i zastosuje je w drugim, popełnia błąd niewidoczny aż do kontroli.

Organizacje objęte obydwoma reżimami potrzebują jednej procedury z dwoma rozgałęzieniami, a nie dwóch procedur prowadzonych równolegle. Utrzymanie dwóch niezależnych dokumentów kończy się zwykle tym, że tylko jeden jest aktualizowany.

Podobna zasada obowiązuje przy raportowaniu do podmiotów trzecich wynikającym z umów. Duzi odbiorcy coraz częściej zapisują w kontraktach własne terminy powiadomienia o incydencie, krótsze niż regulacyjne. Terminy umowne warto zebrać w jednym miejscu razem z regulacyjnymi, bo w trakcie zdarzenia nikt nie będzie czytał umów.

Ustawa o KSC liczy terminy 24 i 72 godzin od momentu wykrycia incydentu poważnego (art. 11 ust. 1 pkt 4 i 4a). Dyrektywa NIS2 używa sformułowania "powzięcie wiedzy", ale dla podmiotów w Polsce wiążący jest tekst ustawy.

Ustawa nie definiuje, czym jest wykrycie, dlatego procedura powinna to rozstrzygnąć, na przykład jako chwilę, w której dyżurny analityk potwierdził, że zdarzenie spełnia progi incydentu poważnego. Bezpieczniej przyjąć wcześniejszy moment niż późniejszy: jeżeli alert czeka dwie doby na przejrzenie, organ może uznać, że incydent został wykryty już wtedy, gdy alert się pojawił. Wczesne ostrzeżenie i tak wymaga podania momentu wystąpienia i wykrycia incydentu (art. 12 ust. 1).

Z tego powodu w dokumentacji warto zapisywać nie tylko czas zdarzenia, lecz także czas oceny i nazwisko osoby, która jej dokonała. Bez tego zapisu organizacja nie potrafi wykazać, że termin dochowała.

Zapis ten pełni funkcję dowodową także w sytuacji odwrotnej, korzystnej dla organizacji. Jeżeli zdarzenie zostało ocenione szybko, a zgłoszenie wysłane w ciągu kilku godzin, rejestr jest jedynym miejscem, w którym da się to wykazać po miesiącach. Pamięć uczestników zdarzenia nie jest materiałem dowodowym.

Rejestr powinien obejmować również zdarzenia ocenione jako niepoważne wraz z uzasadnieniem tej oceny. Kontrola pyta bowiem nie tylko o zdarzenia zgłoszone, lecz także o to, czy organizacja w ogóle prowadzi ocenę — a rejestr zawierający wyłącznie zgłoszenia poważne nie odpowiada na to pytanie.

Doświadczenie z przeglądów dokumentacji pokazuje powtarzalny zestaw braków. Rzadko dotyczą one wiedzy o przepisie — organizacje na ogół wiedzą, że obowiązek istnieje. Brakuje natomiast elementów, które muszą być gotowe wcześniej, bo w trakcie zdarzenia nie da się ich wytworzyć.

Najczęstszym brakiem jest nieobsadzona rola. Procedura wskazuje, że zgłoszenia dokonuje osoba odpowiedzialna za bezpieczeństwo, ale nie rozstrzyga, kto ją zastępuje i kto podejmuje decyzję poza godzinami pracy. Drugim jest brak progów klasyfikacji, przez co ocena poważności zdarzenia staje się przedmiotem dyskusji w najgorszym możliwym momencie.

Trzecim brakiem jest nieprzygotowany szablon. Redagowanie treści zgłoszenia od zera pod presją czasu prowadzi do dokumentów niekompletnych, które trzeba potem uzupełniać, oraz do zbędnego zużycia terminu na czynność edytorską.

Czwartym, ujawniającym się najpóźniej, jest brak przećwiczenia całej ścieżki. Procedura, której nikt nie przeszedł na uzgodnionym scenariuszu, pozostaje hipotezą — a ćwiczenie przy stole, trwające dwie godziny, zwykle ujawnia dwa lub trzy braki tego typu w organizacji, która uważała temat za zamknięty.

Gotowość sprawozdawcza sprowadza się do kilku dokumentów i decyzji, które można przygotować w spokojnym okresie. Ich wspólną cechą jest to, że powstają raz, a działają przy każdym zdarzeniu.

Ich przygotowanie jest zarazem najtańszym elementem całego obszaru. Nie wymaga nakładów technologicznych ani zmian w architekturze, a zdejmuje z organizacji największe ryzyko formalne związane z incydentem.

Warto przy tym zachować proporcję. Dokument liczący kilkadziesiąt stron, opisujący każdy możliwy wariant zdarzenia, nie zostanie użyty w sytuacji, dla której powstał. Skuteczna procedura mieści się na kilku stronach i odpowiada na pytania, kto, kogo, czym i w jakim czasie powiadamia.

Warto rozdzielić dwie rzeczy, które w rozmowach handlowych bywają zlewane. Czym innym jest przygotowanie organizacji do obowiązku sprawozdawczego, a czym innym obsługa techniczna trwającego incydentu.

Nasza rola obejmuje pierwsze z nich: opracowanie procedury, progów klasyfikacji, macierzy ról i szablonów, a następnie sprawdzenie ich w ćwiczeniu na scenariuszu uzgodnionym z organizacją. Nie prowadzimy monitorowania w trybie całodobowym i nie podejmujemy działań powłamaniowych — obsługę techniczną prowadzi zespół klienta albo wskazany dostawca.

Podział ten ma znaczenie praktyczne przy planowaniu. Organizacja, która potrzebuje obu elementów, powinna wiedzieć, że pochodzą one z dwóch różnych umów i od dwóch różnych podmiotów.

Ma również znaczenie przy ocenie ofert. Podmiot deklarujący jednocześnie pełną obsługę incydentu i niezależne doradztwo w zakresie zgodności łączy dwie role, w których interesy bywają rozbieżne — a rozstrzygnięcie tego konfliktu następuje wtedy, gdy trzeba ocenić jakość własnej pracy.