- Znaczenie
- Zdarzenie naruszające bezpieczeństwo
- Skutek
- Naruszenie danych, systemów lub usług
- Ważne
- Zgłoszeniu podlegają tylko incydenty poważne
- Powiązane
- Reagowanie na incydenty, obowiązek zgłaszania incydentów
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym jest incydent?
Zacznijmy od definicji. Incydent (zdarzenie naruszające bezpieczeństwo) to każde zdarzenie, które faktycznie narusza dostępność, poufność, integralność lub autentyczność danych, systemów albo usług. Zakres jest szeroki: od infekcji złośliwym oprogramowaniem, przez wyciek danych i ransomware, aż po całkowitą awarię systemu. W odróżnieniu od samego podejrzenia czy ostrzeżenia technicznego incydent ma wykazalny skutek – naruszył chronioną wartość albo zakłócił działanie. Ta definicja jest podstawą tego, czy i jak szybko organizacja musi zareagować i zgłosić sprawę.
Incydent, zdarzenie i near miss – jak je rozróżnić
Nie każde zdarzenie jest incydentem. Nieszkodliwy „event” – choćby pojedyncze nieudane logowanie – staje się incydentem dopiero wtedy, gdy bezpieczeństwo faktycznie ucierpiało. Near miss to z kolei zdarzenie o włos od incydentu, przy którym szkoda nie powstała. To czyste rozróżnienie jest ważne, bo decyduje, jakie zasoby zostaną uruchomione i czy w grę wchodzi obowiązek zgłoszenia. Kto każde zdarzenie traktuje jak incydent, przeciąża zespół; kto bagatelizuje prawdziwe incydenty, ryzykuje przekroczenie terminów.
Od incydentu do reakcji
Uporządkowane postępowanie z incydentami to reagowanie na incydenty albo obsługa incydentów – od wykrycia, przez ograniczenie skutków i usunięcie zagrożenia, aż po przywrócenie działania. Im wcześniej zdarzenie zostanie zakwalifikowane jako incydent, tym szybciej ruszą te procesy. Incydenty rozpoznaje się często po śladach technicznych, czyli wskaźnikach kompromitacji.
Incydent a obowiązek zgłoszenia w NIS2
Jeżeli incydent jest „poważny”, to uruchamia – wdrożony w Polsce od 3 kwietnia 2026 r. – obowiązek zgłaszania incydentów : wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu poważnego po 72 godzinach, sprawozdanie końcowe po miesiącu. Drobniejsze incydenty warto mimo to dokumentować wewnętrznie, bo bywają zapowiedzią większych problemów. Typowy przypadek: Jeżeli atak ransomware zaszyfruje bazę produkcyjną przedsiębiorstwa energetycznego i zatrzyma ruch, jest to incydent poważny – wczesne ostrzeżenie do właściwego CSIRT rusza natychmiast, równolegle z technicznym ograniczaniem skutków.
Źródło uzupełniające: Dyrektywa NIS2 (UE) 2022/2555 – pełny tekst (EUR-Lex)
Najczęstsze pytania
Czym jest incydent?
Incydent to zdarzenie, które faktycznie narusza dostępność, poufność, integralność lub autentyczność danych, systemów albo usług – na przykład infekcja złośliwym oprogramowaniem, wyciek danych, ransomware albo całkowita awaria systemu. W odróżnieniu od samego podejrzenia czy ostrzeżenia technicznego incydent ma wykazalny skutek: naruszył chronioną wartość albo zakłócił działanie. Ta definicja rozstrzyga, czy i jak szybko organizacja musi zareagować i zgłosić sprawę.
Czy każdy incydent trzeba zgłaszać?
Nie, nie każdy incydent podlega zgłoszeniu. Obowiązek zgłoszenia uruchamiają wyłącznie incydenty poważne. Dla incydentu poważnego biegnie stopniowana ścieżka: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu poważnego po 72 godzinach i sprawozdanie końcowe po miesiącu, a adresatem w Polsce jest właściwy CSIRT. Drobniejsze incydenty warto mimo to dokumentować wewnętrznie, bo bywają zapowiedzią większych problemów i przydają się przy późniejszych analizach.
Czym incydent różni się od near miss?
Near miss to zdarzenie o włos od incydentu, przy którym szkoda jeszcze nie powstała, podczas gdy incydent bezpieczeństwo już naruszył. Przy near miss atak albo błąd wykryto lub odparto w porę, więc żadna chroniona wartość nie ucierpiała. Oba są jednak ważne: near miss daje cenne wskazówki o podatnościach, zanim zrobi się z tego prawdziwy incydent z możliwym obowiązkiem zgłoszenia w NIS2, i dlatego również powinien być dokumentowany.