- Znaczenie
- Drugi etap zgłoszenia
- Termin
- W ciągu 72 godzin
- Treść
- Pierwsza ocena wagi i skutków
- Etap
- Środkowy z trzech
- Stan na
- czerwiec 2026
- Redakcja
- Compliance Compass
Czym jest zgłoszenie incydentu poważnego?
Po pierwszym sygnale przychodzi czas na ocenę. Zgłoszenie incydentu poważnego (ang. incident notification) to etap, który przychodzi zaraz po tym, jak wysłane zostanie wczesne ostrzeżenie – drugi z trzech etapów zgłaszania incydentów w NIS2. W ciągu 72 godzin dostarcza właściwemu CSIRT pierwszą wiarygodną ocenę wagi, skutków i możliwych przyczyn. Wczesne ostrzeżenie sygnalizuje tylko, że wydarzyło się coś poważnego; zgłoszenie incydentu poważnego po raz pierwszy odpowiada na pytanie, co dokładnie się stało i jak poważne jest w skutkach.
Co zawiera
- Pierwsza ocena incydentu (waga, zasięg, skutki dla usług i użytkowników)
- O ile są znane: przyczyna i rodzaj ataku oraz systemy, których dotyczy
- Podjęte już działania doraźne ograniczające skutki
- Wskazówki co do możliwych skutków transgranicznych
Miejsce w ścieżce zgłoszeń
To środkowy z trzech etapów, jakie składają się na obowiązek zgłaszania incydentów: wczesne ostrzeżenie (24 godz.) → zgłoszenie incydentu poważnego (72 godz.) → sprawozdanie końcowe (1 miesiąc). Całą ścieżkę uruchamia wyłącznie incydent poważny; w Polsce zgłoszenie trafia do CSIRT NASK, CSIRT GOV albo CSIRT MON.
W praktyce
Dostawca usług płatniczych wysłał w poniedziałek wczesne ostrzeżenie o ataku DDoS. Do czwartku, czyli w terminie 72 godzin, zespół uzupełnia zgłoszenie incydentu poważnego: atak unieruchomił API płatnicze na około sześć godzin, dotknął szacunkowo kilku tysięcy transakcji, źródło przypisano botnetowi, a jako działanie doraźne uruchomiono usługę scrubbingu. Takie dane pozwalają zespołowi reagowania ostrzec innych uczestników rynku.
Dlaczego termin 72 godzin
Daje on właściwemu CSIRT wiarygodne informacje, dzięki którym zespół może sam zareagować i w razie potrzeby ostrzec inne podmioty. Bez przygotowanych procesów trudno dotrzymać tego terminu – pomaga plan reagowania na incydenty z jasnym podziałem ról i gotowymi wzorami, bo dzięki niemu łatwiej uniknąć zaniedbań, a tym samym kar do 10 mln EUR lub 2 % rocznego obrotu.
Źródło uzupełniające: Dyrektywa NIS2 (UE) 2022/2555 – zgłoszenie incydentu według art. 23 ust. 4
Najczęstsze pytania
Co to jest zgłoszenie incydentu poważnego?
Zgłoszenie incydentu poważnego to drugi z trzech etapów i następuje po wczesnym ostrzeżeniu. W ciągu 72 godzin od wykrycia incydentu poważnego dostarcza właściwemu CSIRT pierwszą wiarygodną ocenę wagi, skutków i – o ile jest znana – przyczyny. W Polsce adresatem jest CSIRT NASK, CSIRT GOV albo CSIRT MON. Ustawa o KSC obowiązuje od 3 kwietnia 2026 r.
Jaki termin obowiązuje przy zgłoszeniu incydentu poważnego?
Zgłoszenie incydentu poważnego trzeba przekazać właściwemu CSIRT w ciągu 72 godzin od wykrycia incydentu. To 48 godzin po upływie terminu 24 godzin na wczesne ostrzeżenie. Trzeci etap, sprawozdanie końcowe, przychodzi najpóźniej miesiąc później. Zaniedbane zgłoszenia mogą kosztować podmioty kluczowe do 10 mln EUR lub 2 % rocznego obrotu światowego.
Co musi zawierać zgłoszenie incydentu poważnego?
Zgłoszenie incydentu poważnego zawiera pierwszą ocenę wagi i skutków dla usług oraz użytkowników, a o ile są znane – przyczynę i rodzaj ataku, a także podjęte już działania doraźne ograniczające skutki. Należą do niego również wskazówki co do możliwych skutków transgranicznych. Jest więc wyraźnie bardziej szczegółowe niż poprzedzające je wczesne ostrzeżenie, które w ciągu 24 godzin sygnalizuje sam fakt.