Kort fortalt
Når en kompetent myndighed modtager en indledende underretning eller en rapport om en større hændelse, kvitterer den for modtagelsen og kan, hvis det er praktisk muligt, give relevant og forholdsmæssig feedback eller vejledning på højt niveau, fx anonymiserede oplysninger om lignende trusler. Feedbacken fritager ikke enheden, som fortsat er fuldt ansvarlig for at håndtere hændelsen og dens konsekvenser. ESA’erne udarbejder årligt en anonymiseret, samlet rapport om større hændelser og udsender advarsler og statistikker.
Det betyder i praksis
Forvent en kvittering, men ikke nødvendigvis en vurdering: Feedback gives kun, hvis det er praktisk muligt. Ansvaret for at håndtere hændelsen ligger hele tiden hos enheden.
Ofte stillede spørgsmål
Får vi besked om, hvad vi skal gøre, når vi har indberettet?
Ikke nødvendigvis. Myndigheden kan give feedback eller vejledning og drøfte afhjælpende foranstaltninger, men skal ikke. CSIRT'er kan efter national ret give teknisk input og rådgivning efter NIS2-direktivet (stk. 1). Enheden skal selv sørge for at håndtere hændelsen.
Bliver vores navn nævnt i ESA'ernes rapport?
Nej. Stk. 2 kræver, at den årlige rapport bygger på anonymiserede og samlede oplysninger. Den skal mindst angive antallet af større hændelser, deres karakter og virkning, de afhjælpende foranstaltninger og omkostningerne.
Relevante betragtninger
Relaterede bestemmelser
- Artikel 19 – Indberetning af større IKT-relaterede hændelser
- Artikel 17 – Proces for styring af IKT-relaterede hændelser
Den officielle ordlyd
Artikel 22
-
Med forbehold af teknisk input, rådgivning eller afhjælpende foranstaltninger og efterfølgende opfølgning herpå, som CSIRT’erne, hvis det er relevant, i overensstemmelse med national ret kan tilvejebringe i henhold til direktiv (EU) 2022/2555, kvitterer den kompetente myndighed, når den modtager den indledende underretning og hver enkelt rapport, jf. artikel 19, stk. 4, for modtagelse heraf og kan, hvis det er praktisk muligt, rettidigt give den finansielle enhed relevant og forholdsmæssig feedback eller vejledning på højt niveau, navnlig ved at stille alle relevante anonymiserede oplysninger og efterretninger om lignende trusler til rådighed, og kan drøfte, hvilke afhjælpende foranstaltninger der har fundet anvendelse over for den finansielle enhed, og måder, hvorpå negative virkninger kan minimeres og afbødes på tværs af den finansielle sektor. Med forbehold af den modtagne tilsynsmæssige feedback er de finansielle enheder fortsat fuldt ud ansvarlige for håndteringen og konsekvenserne af de IKT-relaterede hændelser, der er indberettet i henhold til artikel 19, stk. 1.
-
ESA’erne aflægger via Det Fælles Udvalg baseret på et anonymiseret og samlet grundlag årligt rapport om større IKT-relaterede hændelser, hvis nærmere indhold stilles til rådighed af de kompetente myndigheder i overensstemmelse med artikel 19, stk. 6, og der som minimum angiver antallet af større IKT-relaterede hændelser, deres karakter og indvirkning på finansielle enheders eller kunders operationer samt de afhjælpende foranstaltninger, der er truffet, og de omkostninger, der er afholdt.
ESA’erne udsteder advarsler og udarbejder statistikker på højt niveau for at understøtte IKT-trussels- og sårbarhedsvurderinger.
Den officielle danske tekst følger 2022-12-27 (32022R2554).