Zgłaszanie incydentów w NIS2 – jak to wygląda w praktyce? Terminy, formularze, najczęstsze błędy

Wiele firm, które przygotowują się do NIS2, koncentruje się na dokumentacji, politykach bezpieczeństwa i szkoleniach. To słuszne podejście – ale prędzej czy później przychodzi moment, w którym teoria zderza się z praktyką: w firmie dochodzi do incydentu i trzeba go zgłosić. I wtedy okazuje się, że sam obowiązek zgłoszenia jest jasny, a jego wykonanie – już nie do końca.

Trzy etapy, trzy terminy

NIS2 nie przewiduje jednego zgłoszenia, tylko proces rozłożony w czasie. Każdy etap ma swój cel i swój termin, liczony od momentu, w którym firma dowiedziała się o incydencie – nie od momentu, w którym on faktycznie wystąpił.

Wczesne ostrzeżenie – do 24 godzin : To pierwszy sygnał do właściwego CSIRT (lub innego wskazanego organu), że coś się dzieje. Na tym etapie firma nie musi mieć pełnego obrazu sytuacji. Zgłoszenie ma charakter wstępny i powinno zawierać podstawowe informacje: czy incydent może mieć skutki transgraniczne, czy jest podejrzenie działania celowego (np. atak), jaki charakter ma zdarzenie.

Powiadomienie o incydencie – do 72 godzin : To już bardziej szczegółowe zgłoszenie: wstępna ocena wagi i skutków incydentu, wskaźniki naruszenia bezpieczeństwa (tzw. IoC – Indicators of Compromise), jeśli są dostępne. Na tym etapie firma powinna też zaktualizować informacje z pierwszego zgłoszenia, jeśli coś się zmieniło.

Raport końcowy – do 1 miesiąca : Pełne podsumowanie: szczegółowy opis incydentu, jego przyczyny, zastosowane środki łagodzące, a jeśli incydent nadal trwa – sprawozdanie z postępów. Jeżeli sprawa jest skomplikowana i po miesiącu nie da się jej zamknąć, przewidziano możliwość złożenia raportu z postępu, a finalne podsumowanie później.

Co dokładnie trzeba zgłosić?

Annex V to the PPWR sets out an exhaustive list of formats covered by the ban. For the HoReCa and hospitality sectors, this spells the end for:To pytanie, które najczęściej pada w rozmowach z klientami. W praktyce zgłoszenie powinno odpowiadać na kilka konkretnych pytań:

• Co się wydarzyło i kiedy firma się o tym dowiedziała?
• Jakie systemy, usługi lub dane zostały dotknięte?
• Czy incydent ma wpływ na ciągłość świadczenia usługi?
• Czy istnieje ryzyko rozprzestrzenienia się problemu na inne podmioty (np. klientów, partnerów)?
• Jakie działania zaradcze zostały już podjęte?

Nie każdy incydent trzeba zgłaszać – dyrektywa mówi o incydentach istotnych, czyli takich, które powodują lub mogą spowodować poważne zakłócenie usługi bądź straty finansowe, albo mają wpływ na inne osoby fizyczne lub prawne poprzez znaczne szkody materialne lub niematerialne. To rozróżnienie jest kluczowe – i jednocześnie jedno z trudniejszych do wdrożenia w praktyce.

Gdzie i jak zgłaszać?

Zgłoszenia w Polsce trafiają do właściwego CSIRT poziomu krajowego (CSIRT NASK, CSIRT GOV lub CSIRT MON – w zależności od sektora) za pośrednictwem systemu S46. To ten sam system, w którym firma rejestruje się w Wykazie KSC – dlatego rejestracja jest warunkiem koniecznym, żeby w ogóle móc zgłosić incydent zgodnie z procedurą. Pisaliśmy już o tym, jak zarejestrować firmę w Wykazie KSC i na co zwrócić uwagę do 3 października 2026 r – jeśli tego kroku jeszcze nie ma za sobą, warto go wykonać zanim dojdzie do pierwszego incydentu.

Najczęstsze błędy przy pierwszym zgłoszeniu

Z naszych doświadczeń przy wdrożeniach wynika, że firmy najczęściej potykają się o te same rzeczy:

Czekanie na „pełny obraz sytuacji”. Termin 24 godzin liczy się od momentu powzięcia wiedzy o incydencie, a nie od zakończenia jego analizy. Firmy, które czekają, aż będą „gotowe” ze wszystkimi szczegółami, spóźniają się z pierwszym zgłoszeniem.

Brak wyznaczonej osoby odpowiedzialnej. Jeśli w firmie nikt konkretny nie wie, że to on ma zgłosić incydent do CSIRT, w praktyce nie zgłasza go nikt – zwłaszcza w nocy, w weekend czy podczas urlopu kluczowej osoby.

Traktowanie zgłoszenia jako czynności czysto formalnej. Zgłoszenie do CSIRT to nie tylko obowiązek prawny – to też realna szansa na wsparcie w reagowaniu na incydent. Firmy, które podchodzą do tego wyłącznie jak do „papierologii”, tracą tę wartość.

Brak przećwiczonej procedury. Sama wiedza, że trzeba zgłosić incydent w 24 godziny, nie wystarczy. W praktyce liczy się to, czy firma ma gotowy, przetestowany scenariusz: kto zgłasza, jakimi kanałami, jakie dane trzeba mieć przygotowane wcześniej. To tylko jeden z wielu obszarów, w których firmy potykają się przy wdrażaniu NIS2 – więcej o tym pisaliśmy w tekście o najczęstszych błędach firm przy NIS 2, które mogą prowadzić do kar lub problemów podczas audytu.

Jak się przygotować, zanim będzie za późno?

Najlepszym momentem na przygotowanie procedury zgłaszania incydentów jest czas, gdy żadnego incydentu jeszcze nie ma. Warto:

• wyznaczyć i przeszkolić konkretne osoby odpowiedzialne za zgłoszenia (z zastępstwami),
• przygotować szablon zgłoszenia z polami, które trzeba wypełnić na każdym etapie,
• zarejestrować firmę w systemie S46, zanim będzie to potrzebne w trybie awaryjnym,
• przeprowadzić symulację incydentu, żeby sprawdzić, czy procedura faktycznie działa w praktyce.

Zgłaszanie incydentów to jeden z tych obowiązków NIS2, które trudno zrozumieć w pełni bez przećwiczenia. Jeśli dopiero zaczynacie porządkować temat od podstaw, polecamy nasz kompletny przewodnik po dyrektywie NIS 2 – co to jest i kogo dotyczy.