Правна и редакторска актуализация:

Пробив в сигурността на личните данни може да е изпратен файл до грешен човек, откраднат лаптоп, хакнат профил, изтрит архив или неразрешена промяна. GDPR обхваща поверителността, целостта и наличността, не само кибератаки.

Най-важното

72-часовият срок започва, когато администраторът е узнал за нарушение с разумна степен на сигурност. Ако уведомяване е необходимо, то се прави без ненужно забавяне и, когато е възможно, до 72 часа.

Съдържание

Първият час: ограничете и запазете фактите

Деактивирайте линк, профил или ключ и изолирайте засегнато устройство. Не унищожавайте логове в опит да „почистите“ системата.

Определете координатор, запишете времето на първия сигнал и поискайте конкретни факти от IT доставчика или обработващия.

Оценка на риска

Установете категориите и броя лица и записи, периода на достъп, получателите, криптирането и вероятните последици. Здравни, финансови, данни за деца или пароли повишават риска.

Комбинацията от обикновени полета също може да улесни измама или кражба на самоличност. Документирайте логиката на оценката.

Кога се уведомява КЗЛД?

Уведомяване се прави, освен ако е малко вероятно нарушението да породи риск за правата и свободите. Ако част от фактите липсват, информацията може да се подаде поетапно.

Уведомлението описва естеството, категориите и приблизителния брой лица и записи, контакта, вероятните последици и мерките.

Кога се уведомяват засегнатите хора?

При вероятен висок риск хората се информират без ненужно забавяне на ясен език. Дайте практични действия: смяна на парола, наблюдение на сметка или внимание към фишинг.

Не прикривайте важната информация зад юридически текст. Ограничените изключения трябва да бъдат анализирани конкретно.

Регистър и план за реакция

Документирайте всички нарушения, включително тези без уведомяване: факти, ефекти, риск, решения, мерки и времева линия.

Планът определя канал за сигнал, екип, матрица за риск, шаблони и заместници. Тествайте го поне ежегодно с реален сценарий.

Практичен контролен списък

  1. Спрете активния риск.
  2. Запазете логове и времева линия.
  3. Оценете риск и висок риск отделно.
  4. Вземете решение за КЗЛД и лицата.
  5. Документирайте всички нарушения.
  6. Направете последващ анализ и корекции.
Официални източници

Вижте чл. 33 и 34 GDPR и материалите на КЗЛД.

Практически пример: компрометиран служебен профил

Служител въвежда паролата си във фишинг страница. Нападателят влиза в пощата и облачното хранилище, но организацията чака седмица за окончателен технически доклад. Така губи ценни часове и може да пропусне срока за уведомяване.

Правилната реакция започва със смяна на паролата, отнемане на сесиите и запазване на логовете. Екипът установява достъпните папки, периода и видовете данни, оценява последствията и взема документирано решение за КЗЛД и засегнатите хора. Анализът може да продължи и след първоначалното уведомяване.

Как да приложите правилата на практика

1. Определете момента на узнаване

Запишете кога организацията е имала разумна степен на сигурност, че има нарушение. Вътрешното ескалиране не трябва да изяжда 72-часовия срок.

2. Разграничете риск и висок риск

Рискът определя уведомяването на надзорния орган, а високият риск — съобщението до хората. Оценете естеството, мащаба, леснотата за идентифициране и възможните вреди.

3. Превърнете инцидента в подобрение

След овладяване установете първопричината, пропуските в MFA, обученията, договорите и логовете. Определете собственик и срок за всяка коригираща мярка.

Чести грешки

  • Чакане на пълното разследване преди оценката.
  • Липса на заместник на DPO или IT отговорника.
  • Уведомяване на всички без конкретна оценка.
  • Регистър само за съобщените нарушения.

Често задавани въпроси

72 часа от момента на атаката ли са?

Не. Срокът се свързва с узнаването от администратора, но организацията не може съзнателно да отлага установяването.

Може ли уведомлението да е непълно?

При нужда информацията може да се подаде поетапно, като се обяснят причините за забавените елементи.

Кой уведомява при облачен доставчик?

Обработващият сигнализира администратора без ненужно забавяне; администраторът преценява уведомяването на органа и лицата.

Примерна времева линия за първите 72 часа

В първите часове целта е овладяване и факти: спрете достъпа, запазете логовете, определете координатор и потвърдете кои системи са засегнати. До края на първия ден трябва да има първоначална оценка на категориите данни, лицата, защитите и вероятните вреди.

През втория ден проверете дали са нужни уведомления, подгответе ясни действия за засегнатите и поискайте липсващата информация от доставчици. Преди изтичането на 72 часа вземете документирано решение; ако фактите са непълни, подайте наличното поетапно, когато уведомяването е необходимо.

Матрица за решение

  • Малко вероятен риск: Документирайте причините и коригирайте причината.
  • Вероятен риск: Уведомете КЗЛД без ненужно забавяне.
  • Вероятен висок риск: Освен КЗЛД информирайте и засегнатите с практически препоръки.
Какво да запазите като доказателство?

Сигналът, логовете, времевата линия, оценката, решенията, подадените уведомления, комуникацията с обработващи и последващият план за мерки.

Готови ли сте за реален инцидент?

Проведете кратко учение с фишинг, погрешен получател или изгубено устройство. Проверете дали екипът може за минути да намери контактите, логовете и системите, а не тепърва да ги издирва.

  • Има един канал за сигнал и заместник на отговорното лице.
  • Списъкът на системи и доставчици е актуален.
  • Матрицата различава риск от висок риск.
  • Шаблоните за КЗЛД и засегнатите лица са готови.
  • Договорите изискват бърз сигнал от обработващите.

Свързани теми

Нуждаете се от документи за вашия бизнес?

Подгответе процедурата преди инцидента: матрица за риск, регистър, договорни срокове и шаблони.

Разгледайте подходящата услуга

Срокът тече и през почивните дни

72 часа не означава три работни дни. Когато уведомяването е необходимо, то се извършва без ненужно забавяне; срокът не е разрешение да се изчака последният час. Ако е пропуснат, уведомлението се подава с причините за забавянето. Липсваща информация може да се допълва поетапно по чл. 33, пар. 4. Примерният план по дни и ежегодното учение са организационни препоръки, които се адаптират към риска.

Правни източници: Регламент (ЕС) 2016/679, чл. 5–6, 9, 12–22, 28–34 и 44–49.