Temeljem članka 72. stavka 2. Uredbe o kibernetičkoj sigurnosti (otvara se u novom prozoru) („Narodne novine", br. 135/24, u daljnjem tekstu: UKS) Nacionalni centar za kibernetičku sigurnost i Nacionalni CERT, kao nadležni CSIRT-ovi, donijeli su Opće smjernice za provedbu obveze obavještavanja o značajnim incidentima (u daljnjem tekstu: Opće smjernice) uz suglasnost središnjeg državnog tijela za kibernetičku sigurnost.
Nadležni CSIRT-ovi pritom su vodili računa o ENISA-inim tehničkim smjernicama o parametrima za informacije u svrhu obavještavanja ENISA-e temeljem članka 42. stavka 2. Zakona o kibernetičkoj sigurnosti (otvara se u novom prozoru) („Narodne novine", br. 14/24, u daljnjem tekstu: ZKS).
Što sadrže Opće smjernice
- upute i pojašnjenja procesa obavještavanja o značajnim incidentima
- pojašnjenja u vezi primjene kriterija za utvrđivanje značajnih incidenata
- načine obavještavanja nadležnog CSIRT-a o značajnom incidentu
- vrste obavijesti i rokove za dostavu
- postupanje u slučaju značajnog incidenta koji obuhvaća više sektora, podsektora ili vrsta subjekata
- obrasce za obavještavanje uz upute za njihovo ispunjavanje
Obrasci iz Priloga Općih smjernica integrirani su kao web obrasci u Nacionalnu platformu za prikupljanje, analizu i razmjenu podataka o kibernetičkim prijetnjama i incidentima (Platforma PiXi). Pristup Platformi PiXi imaju isključivo ovlaštene osobe putem sustava NIAS.
Kategorizirani subjekti
Svi kategorizirani subjekti dužni su nadležni CSIRT obavijestiti o svakom značajnom incidentu te ga mogu dobrovoljno obavijestiti o ostalim incidentima, izbjegnutim incidentima i kibernetičkim prijetnjama. Prijave se podnose putem Platforme PiXi.
- Platforma PiXi (otvara se u novom prozoru)
- Opće smjernice za provedbu obveze obavještavanja o značajnim incidentima (PDF) (otvara se u novom prozoru)
Ako Platforma PiXi nije dostupna
Značajan incident prijavljuje se popunjavanjem obrazaca i slanjem nadležnom CSIRT-u e-poštom. Obrasci:
- Rano upozorenje (DOCX)
- Početna obavijest (DOCX)
- Privremeno izvješće (DOCX)
- Izvješće o napretku (DOCX)
- Završno izvješće (DOCX)
Ispunjeni obrasci dostavljaju se nadležnom CSIRT-u:
- Nacionalni centar za kibernetičku sigurnost (NCSC-HR) — incident@ncsc.hr
- Nacionalni CERT — zks-incident@cert.hr
Ostali incidenti, izbjegnuti incidenti i kibernetičke prijetnje u tom se slučaju šalju e-poštom na iste adrese, uz datum događaja, opis, dostupne indikatore kompromitacije i druge relevantne informacije.
Nekategorizirani subjekti
Ostali, nekategorizirani subjekti incident prijavljuju nadležnom CSIRT-u ovisno o podjeli nadležnosti sektora prema Prilogu III. ZKS-a. Za subjekte iz sektora koji nisu obuhvaćeni ZKS-om:
- NCSC-HR je nadležan za državna tijela, pravne osobe s javnim ovlastima i jedinice lokalne i područne (regionalne) samouprave — prijava na incident@ncsc.hr
- Nacionalni CERT je nadležan za građanstvo i preostale subjekte iz privatnog sektora — prijava na incident@cert.hr
U prijavi treba navesti datum incidenta, opis, dostupne indikatore kompromitacije te druge dostupne relevantne informacije.