Væsentlige og vigtige enheder skal rapportere hændelser, der har en stor indvirkning på deres tjenester. Rapporteringen sker til CSIRT’en eller den kompetente myndighed. Virksomheder skal også underrette kunderne, hvis hændelsen kan gå ud over leveringen af tjenesterne.
Rapporteringen sker i tre trin. Inden for 24 timer skal virksomheden sende en tidlig varsling med oplysninger om, hvorvidt hændelsen skyldes en ondsindet handling, og om den kan have grænseoverskridende virkninger. Inden for 72 timer skal virksomheden sende en egentlig hændelsesunderretning med en indledende vurdering af hændelsens alvor. Senest en måned efter underretningen skal virksomheden sende en endelig rapport.
Den endelige rapport skal beskrive hændelsen i detaljer. Den skal angive årsagen til hændelsen, hvilke afbødende foranstaltninger der er gennemført, og om hændelsen har haft grænseoverskridende virkninger. Hvis hændelsen stadig er i gang, skal virksomheden sende en statusrapport og afgive den endelige rapport senest en måned efter, hændelsen er håndteret.
CSIRT’en skal svare inden for 24 timer med indledende vejledning om afbødende foranstaltninger. Hvis hændelsen berører flere EU-lande, informerer CSIRT’en eller myndigheden de berørte landes CSIRT’er og ENISA.
Kommissionen kan præcisere reglerne om rapportformater og tærskler for, hvornår en hændelse er væsentlig. Det gælder særligt for cloud-udbydere, DNS-tjenesteudbydere og lignende digitale tjenesteudbydere.
Eksempler
Et dansk cloud-selskab opdager et databrud kl. 08:00. Inden kl. 08:00 næste dag sender de en tidlig varsling til CSIRT’en. Inden for 72 timer sender de en hændelsesunderretning med en vurdering af omfanget. En måned senere afleverer de en endelig rapport med rodårsagsanalyse og de iværksatte afhjælpende tiltag.
Et hospitalssystem rammes af ransomware, som spreder sig til et nabohospital i Sverige. Den danske CSIRT underretter straks den svenske CSIRT og ENISA, da hændelsen har grænseoverskridende virkninger. Begge landes myndigheder koordinerer indsatsen.
Relevante præambler:
Ofte stillede spørgsmål
Hvad er rapporteringsfristerne ved en væsentlig hændelse?
Rapporteringen sker i tre trin. Inden for 24 timer skal virksomheden sende en tidlig varsling. Inden for 72 timer skal den sende en egentlig hændelsesunderretning. Senest en måned efter underretningen skal den sende en endelig rapport. Hvis hændelsen stadig pågår, sendes en statusrapport, og den endelige rapport afgives senest en måned efter, hændelsen er håndteret.
Hvornår udgør en hændelse en 'væsentlig hændelse', der udløser rapporteringspligten?
En hændelse er væsentlig, hvis den forårsager alvorlige driftsforstyrrelser eller finansielle tab. Den er også væsentlig, hvis den skader andre personer eller virksomheder. Kommissionen kan fastsætte specifikke tærskler for bestemte sektorer og typer af tjenesteudbydere.
Skal min virksomhed også underrette sine kunder ved en væsentlig hændelse?
Ja. Virksomheder skal uden unødigt ophold underrette kunderne, hvis en hændelse kan gå ud over leveringen af tjenesterne. Det er en selvstændig forpligtelse ved siden af rapporteringen til myndighederne. Underretning til kunder bør indgå i virksomhedens hændelsesresponsplan.
Hvad skal den endelige rapport efter en hændelse indeholde?
Den endelige rapport skal beskrive hændelsen i detaljer, herunder dens alvor og indvirkning. Den skal angive den sandsynlige årsag og de foranstaltninger, der er sat i gang. Hvis hændelsen har haft grænseoverskridende virkninger, skal det også fremgå.
Den originale tekst fra direktivet
Stk. 1.
Hver medlemsstat sikrer, at væsentlige og vigtige enheder uden unødigt ophold underretter dens CSIRT eller i givet fald dens kompetente myndighed i overensstemmelse med stk. 4 om enhver hændelse, der har en væsentlig indvirkning på leveringen af deres tjenester som omhandlet i stk. 3 (væsentlig hændelse). Hvor det er relevant, underretter de pågældende enheder uden unødigt ophold modtagerne af deres tjenester om væsentlige hændelser, der sandsynligvis vil påvirke leveringen af disse tjenester negativt. Hver medlemsstat sikrer, at disse enheder indberetter bl.a. alle oplysninger, der gør det muligt for CSIRT’en, eller i givet fald den kompetente myndighed, at fastslå eventuelle grænseoverskridende virkninger af hændelsen. Underretningen i sig selv medfører ikke et øget ansvar for den underrettende enhed.
Hvor de berørte enheder underretter den kompetente myndighed om en væsentlig hændelse i henhold til første afsnit, sikrer medlemsstaten, at den pågældende kompetente myndighed videresender underretningen til CSIRT’en på tidspunktet for modtagelsen.
I tilfælde af en grænseoverskridende eller tværsektoriel væsentlig hændelse sikrer medlemsstaterne, at deres centrale kontaktpunkter rettidigt forsynes med relevante oplysninger, som der er givet underretning om i overensstemmelse med stk. 4.
Stk. 2.
I givet fald sikrer medlemsstaterne, at væsentlige og vigtige enheder uden unødigt ophold meddeler modtagerne af deres tjenester, som potentielt er berørt af en væsentlig cybertrussel, eventuelle foranstaltninger eller modforholdsregler, som disse modtagere kan træffe som reaktion på den pågældende trussel. Hvor det er relevant, skal enhederne også informere de pågældende modtagere om selve den væsentlige cybertrussel.
Stk. 3.
En hændelse anses for at være væsentlig, hvis:
- den har forårsaget eller er i stand til at forårsage alvorlige driftsforstyrrelser af tjenesterne eller økonomiske tab for den berørte enhed
- den har påvirket eller er i stand til at påvirke andre fysiske eller juridiske personer ved at forårsage betydelig materiel eller immateriel skade.
Stk. 4.
Medlemsstaterne sikrer, at de berørte enheder med henblik på den i stk. 1 omhandlede underretning fremsender følgende til CSIRT’en eller i givet fald den kompetente myndighed:
- uden unødigt ophold og under alle omstændigheder inden for 24 timer efter at have fået kendskab til den væsentlige hændelse en tidlig varsling, som i givet fald skal angive, om den væsentlige hændelse mistænkes for at være forårsaget af ulovlige eller ondsindede handlinger eller kunne have en grænseoverskridende virkning
- uden unødigt ophold og under alle omstændigheder inden for 72 timer efter at have fået kendskab til den væsentlige hændelse, en hændelsesunderretning, som i givet fald skal ajourføre de oplysninger, der er omhandlet under litra a), og give en indledende vurdering af den væsentlige hændelse, herunder dens alvor og indvirkning samt kompromitteringsindikatorerne, hvor sådanne foreligger
- efter anmodning fra en CSIRT eller i givet fald den kompetente myndighed en foreløbig rapport om relevante statusopdateringer
en endelig rapport senest en måned efter forelæggelsen af den i litra b) omhandlede hændelsesunderretning, der skal omfatte følgende:
- en detaljeret beskrivelse af hændelsen, herunder dens alvor og indvirkning
- den type trussel eller grundlæggende årsag, der sandsynligvis har udløst hændelsen
- anvendte og igangværende afbødende foranstaltninger
- i givet fald de grænseoverskridende virkninger af hændelsen.
- i tilfælde af at en hændelse pågår på tidspunktet for indgivelsen af den i litra d), omhandlede endelige rapport, sikrer medlemsstaterne, at berørte enheder forelægger en statusrapport på det pågældende tidspunkt og en endelig rapport senest en måned efter deres håndtering af hændelsen.
Uanset første afsnit, litra b), skal tillidstjenesteudbyderen for så vidt angår væsentlige hændelser, der har en virkning på leveringen af dens tillidstjenester, underrette CSIRT’en eller i givet fald den kompetente myndighed uden unødigt ophold og under alle omstændigheder inden for 24 timer efter at være blevet bekendt med den væsentlige hændelse.
Stk. 5.
CSIRT’en eller den kompetente myndighed giver uden unødigt ophold og, hvor det er muligt, inden for 24 timer efter modtagelsen af den i stk. 4, litra a), omhandlede tidlige varsling den underrettende enhed et svar, herunder indledende tilbagemeldinger om den væsentlige hændelse og, efter anmodning fra enheden, vejledning eller operativ rådgivning om gennemførelsen af mulige afbødende foranstaltninger. Hvor CSIRT’en ikke er den oprindelige modtager af den i stk. 1 omhandlede underretning, gives vejledningen af den kompetente myndighed i samarbejde med CSIRT’en. CSIRT’en yder supplerende teknisk bistand, hvis den berørte enhed anmoder herom. Hvor den væsentlige hændelse mistænkes for at være af strafferetlig karakter, giver CSIRT’en eller den kompetente myndighed også vejledning om underretning om den væsentlige hændelse til retshåndhævende myndigheder.
Stk. 6.
Hvor det er relevant, og navnlig hvor den væsentlige hændelse berører to eller flere medlemsstater, informerer CSIRT’en, den kompetente myndighed eller det centrale kontaktpunkt uden unødigt ophold de øvrige berørte medlemsstater og ENISA om den væsentlige hændelse. Sådan information omfatter den type af oplysninger, der er modtaget i overensstemmelse med stk. 4. CSIRT’en, den kompetente myndighed eller det centrale kontaktpunkt sikrer i den forbindelse i overensstemmelse med EU-retten eller national ret enhedens sikkerhed og kommercielle interesser samt fortrolig behandling af de afgivne oplysninger.
Stk. 7.
Hvor offentlighedens kendskab er nødvendig for at forebygge en væsentlig hændelse eller for at håndtere en igangværende væsentlig hændelse, eller hvor offentliggørelse af den væsentlige hændelse på anden vis er i offentlighedens interesse, kan en medlemsstats CSIRT eller i givet fald dens kompetente myndighed og, hvor det er relevant, CSIRT’erne eller de kompetente myndigheder i andre berørte medlemsstater efter høring af den berørte enhed informere offentligheden om den væsentlige hændelse eller kræve, at enheden gør det.
Stk. 8.
På CSIRT’ens eller den kompetente myndigheds anmodning videresender det centrale kontaktpunkt de underretninger, der er modtaget i henhold til stk. 1, til de centrale kontaktpunkter i andre berørte medlemsstater.
Stk. 9.
Det centrale kontaktpunkt forelægger en gang hver tredje måned en sammenfattende rapport for ENISA, herunder anonymiserede og aggregerede data om væsentlige hændelser, hændelser, cybertrusler og nærvedhændelser, der er indberettet i overensstemmelse med denne artikels stk. 1 og med artikel 30. For at bidrage til tilvejebringelsen af sammenlignelige oplysninger kan ENISA vedtage teknisk vejledning om parametrene for de oplysninger, der skal inkluderes i den sammenfattende rapport. ENISA underretter samarbejdsgruppen og CSIRT-netværket om sine resultater vedrørende modtagne underretninger hver sjette måned.
Stk. 10.
CSIRT’erne eller i givet fald de kompetente myndigheder giver de kompetente myndigheder i henhold til direktiv (EU) 2022/2557, oplysninger om væsentlige hændelser, hændelser, cybertrusler og nærvedhændelser, der er indberettet i overensstemmelse med denne artikels stk. 1 og med artikel 30 af enheder, der er identificeret som kritiske enheder i henhold til direktiv (EU) 2022/2557.
Stk. 11.
Kommissionen kan vedtage gennemførelsesretsakter, der yderligere præciserer typen af oplysninger, formatet og proceduren for en underretning indgivet i henhold til denne artikels stk. 1 og til artikel 30 og for en meddelelse, der er indgivet i henhold til nærværende artikels stk. 2.
Senest den 17. oktober 2024 vedtager Kommissionen for så vidt angår DNS-tjenesteudbydere, topdomænenavneadministratorer, enheder, der leverer domænenavnsregistreringstjenester, og udbydere af cloudcomputingtjenester, af datacentertjenester, af indholdsleveringsnetværk, af administrerede tjenester, af administrerede sikkerhedstjenester, af onlinemarkedspladser, af onlinesøgemaskiner og af platforme for sociale netværkstjenester gennemførelsesretsakter, der yderligere præciserer de tilfælde, hvor en hændelse anses for at være væsentlig som omhandlet i stk. 3. Kommissionen kan vedtage sådanne gennemførelsesretsakter for så vidt angår andre væsentlige og vigtige enheder.
Kommissionen udveksler rådgivning og samarbejder med samarbejdsgruppen om de udkast til gennemførelsesretsakter, der er omhandlet i dette stykkes første og andet afsnit, i overensstemmelse med artikel 14, stk. 4, litra e).
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 39, stk. 2.