Så upprättar du godkänd incidentrapportering enligt NIS2

Vad räknas som en betydande incident?

Enligt NIS2 artikel 23 är en incident betydande om den orsakar eller kan orsaka allvarlig driftsstörning eller ekonomisk skada, eller om den påverkat andra fysiska eller juridiska personer genom att orsaka materiell eller immateriell skada.

Tröskeln är medvetet bred. I praktiken bör en organisation hellre rapportera tveksamma fall än missa något. Tillsynen är sektorsvis. NCSC vid FRA tar emot betydande incidentrapporter genom CERT-SE via cyberportalen och skickar dem vidare till aktuell tillsynsmyndighet.

De tre tidsfönstren

NIS2 introducerar en tre-stegs rapportering som ersätter NIS1:s enklare modell:

• Tidig varning inom 24 timmar – kort beskrivning av om incidenten misstänks vara orsakad av olagliga eller skadliga handlingar och om den kan ha gränsöverskridande effekter
• Incidentrapport inom 72 timmar – uppdaterad bedömning, indikatorer på kompromiss (IOC) och vidtagna åtgärder
• Slutrapport inom en månad – detaljerad beskrivning av incidenten, grundorsak, åtgärder och förebyggande åtgärder

Process som klarar 24-timmarsfönstret

Att skriva och formellt skicka in en tidig varning under helg eller natt är en organisatorisk utmaning. Det kräver att tre saker är förberedda: detektion, beslutsmandat och rapportkanal.

Detektionen löses tekniskt via SOC och SIEM. Beslutsmandatet måste ligga hos någon som är nåbar dygnet runt — typiskt en säkerhetschef eller IT-chef med tydlig delegation från vd. Rapportkanalen behöver vara förberedd med en mall där bara faktarutorna fylls i.

• Förberedd mall för tidig varning, godkänd av juridik och kommunikation
• Beslutsmandat dokumenterat – vem rapporterar utan att invänta styrelse
• Loggbok som dokumenterar varje beslut i incidentprocessen
• Tabletop-övning minst en gång per år där hela processen testas

Hur ProjAlpha stödjer rapporteringen

ProjAlpha levererar den tekniska detektionen, IOC-data och tidsstämplad logg från SOC. Vi har förberedda rapportmallar för rapportering till NCSC och assisterar i den tekniska delen av rapporten. Beslutet att rapportera och kontakten med myndigheten ligger alltid hos kundens ledning – det är en del av det icke-delegerbara tillsynsansvaret enligt artikel 20.