- Znaczenie
- Pierwszy etap zgłoszenia
- Termin
- W ciągu 24 godzin
- Adresat (PL)
- Właściwy CSIRT: NASK, GOV albo MON
- Treść
- Krótka pierwsza informacja
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym jest wczesne ostrzeżenie?
Zegar rusza od razu. Wczesne ostrzeżenie (ang. early warning) to pierwszy z trzech etapów zgłaszania incydentów w NIS2. Informuje właściwy CSIRT bardzo wcześnie – jeszcze zanim znane są wszystkie szczegóły – że wystąpił incydent poważny – i na tym poprzestaje. Celem nie jest pełne wyjaśnienie sprawy, lecz szybkie uruchomienie reakcji: zespół reagowania ma jak najwcześniej zbudować obraz sytuacji i w razie potrzeby ostrzec inne podmioty.
Co się zgłasza
Na tym etapie wystarczy krótka informacja: że wystąpił incydent poważny, oraz wskazanie, czy podejrzewa się tło bezprawne lub transgraniczne. Pełna ocena wagi i przyczyny nie jest tu jeszcze wymagana – przynosi ją dopiero zgłoszenie incydentu poważnego. Dzięki temu wczesne ostrzeżenie pozostaje wykonalne nawet pod presją czasu.
Trzy etapy zgłoszenia
Po wczesnym ostrzeżeniu (24 godz.) następuje zgłoszenie incydentu poważnego (72 godz.), a na końcu sprawozdanie końcowe (1 miesiąc). Razem tworzą trzystopniowy obowiązek zgłaszania incydentów, który w Polsce realizuje się wobec właściwego CSIRT: CSIRT NASK, CSIRT GOV albo CSIRT MON.
Przykład z praktyki
Przykład: dostawca usług IT późnym popołudniem stwierdza, że trojan szyfrujący atakuje kilka systemów klienckich. Zamiast czekać na pełną analizę, dyżurny zespół jeszcze tego samego wieczoru wysyła wczesne ostrzeżenie do właściwego CSIRT: incydent poważny, prawdopodobnie tło przestępcze. Termin 24 godzin jest tym samym pewnie zachowany, a szczegółową ocenę można spokojnie przygotować na zgłoszenie po 72 godzinach.
Dlaczego liczą się 24 godziny
Krótki termin wymaga przygotowania: jasny podział ról, osiągalna ścieżka zgłoszeń i gotowy plan reagowania na incydenty – wtedy wczesne ostrzeżenie wyjdzie na czas. Kto zwleka, ryzykuje kary do 10 mln EUR lub 2 % rocznego obrotu, jakie grożą podmiotom kluczowym.
Źródło uzupełniające: Dyrektywa NIS2 (UE) 2022/2555 – wczesne ostrzeżenie według art. 23 ust. 4
Najczęstsze pytania
Czym jest wczesne ostrzeżenie w NIS2?
Wczesne ostrzeżenie to pierwszy z trzech etapów zgłoszenia incydentu poważnego. W Polsce trafia do właściwego CSIRT – CSIRT NASK, CSIRT GOV albo CSIRT MON – w ciągu 24 godzin od wykrycia. Informuje zespół reagowania bardzo wcześnie, jeszcze zanim znane są wszystkie szczegóły, żeby mógł szybko zbudować obraz sytuacji i w razie potrzeby ostrzec inne podmioty. Ustawa o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r.
Jaki termin obowiązuje przy wczesnym ostrzeżeniu?
Na wczesne ostrzeżenie są 24 godziny od wykrycia incydentu poważnego. To pierwszy etap trzystopniowej ścieżki zgłoszeń: po wczesnym ostrzeżeniu w 24 godziny następuje zgłoszenie incydentu poważnego w 72 godziny, a po miesiącu sprawozdanie końcowe. Kto przekroczy termin 24 godzin, ryzykuje – w przypadku podmiotów kluczowych – kary do 10 mln EUR lub 2 % rocznego obrotu światowego.
Co musi zawierać wczesne ostrzeżenie?
Wczesne ostrzeżenie wymaga tylko krótkiej pierwszej informacji o wystąpieniu incydentu poważnego oraz wskazania, czy podejrzewa się działanie bezprawne lub transgraniczne. Pełna ocena wagi i przyczyny nie jest na tym etapie wymagana. Szczegółowe dane i oceny przychodzą dopiero ze zgłoszeniem incydentu poważnego po 72 godzinach i ze sprawozdaniem końcowym po miesiącu.