Vad är en betydande incident, och vem avgör det?

Det första kriteriet är intern verkan: incidenten har orsakat eller kan orsaka allvarliga driftsstörningar i tjänsterna eller ekonomiska förluster för verksamhetsutövaren. Det andra är extern verkan: incidenten har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande materiell eller immateriell skada.

Kriterierna är alternativa. Att bara ett av dem är uppfyllt räcker, vilket i praktiken betyder att en incident som inte stör er egen drift alls ändå kan vara rapporteringspliktig om den drabbar andra.

Ordet kan är det som skiljer den här tröskeln från en vanlig skadebedömning. En pågående incident vars omfattning ännu är okänd uppfyller kriteriet så snart den rimligen kan leda till allvarlig störning. Det innebär att 24-timmarsfristen kan börja löpa medan ni fortfarande utreder, och att en bedömning som väntar på fakta riskerar att komma efter fristen.

Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem.

Den vanligaste feltolkningen är att läsa kriterierna som en teknisk allvarlighetsskala. Ett intrång som ger angriparen höga behörigheter känns allvarligt, och det är det, men frågan lagen ställer är vad det gör med tjänsten och med andra.

Följden går åt två håll. En teknisk allvarlig händelse som upptäcks och stoppas utan påverkan på tjänsten kan falla utanför tröskeln. En banal händelse, som ett felaktigt konfigurerat certifikat, kan hamna innanför om den slår ut leveransen i timmar.

Det praktiska rådet är att inte låta severity-skalan i incidenthanteringsverktyget vara det som avgör. Skalan mäter teknisk allvarlighet, tröskeln mäter verksamhetspåverkan, och de sammanfaller inte. Lägg in bedömningen som ett eget fält som måste fyllas i, skilt från severity.

De första timmarna av en incident är den sämsta tänkbara tidpunkten att första gången fundera över vad allvarliga driftsstörningar betyder för just er. Bedömningen behöver därför göras i lugn och ro och skrivas ned som kriterier.

Ett användbart format är tröskelvärden per tjänst: hur lång otillgänglighet, hur många berörda, vilken typ av data. Värdena är era, de behöver inte vara exakta, och deras syfte är inte att vara rätt utan att göra beslutet möjligt att fatta på fem minuter av någon som är trött.

Lika viktigt är att peka ut vem som fattar beslutet och vem som gör det när den personen inte svarar. Ett kriterium utan beslutsfattare är en diskussion, och en diskussion tar längre tid än 24 timmar oftare än man tror.

Den bedömning som är svårast att försvara i efterhand är den som ledde till att ingen rapport skickades, eftersom den inte lämnat något spår hos någon myndighet.

Anteckna därför varje incident där tröskeln övervägdes, vad slutsatsen blev och vilken grund den vilade på. Det tar en minut och det är skillnaden mellan att ha gjort en bedömning och att kunna visa det.

Anteckningen har ett andra värde. En serie händelser som var för sig ligger under tröskeln kan tillsammans peka på ett mönster som inte gör det, och det mönstret syns bara om de enskilda bedömningarna finns nedskrivna.

Post- och telestyrelsen får enligt cybersäkerhetsförordningen meddela närmare föreskrifter om bland annat vad som utgör en incident. Det betyder att tröskeln kan komma att preciseras för er sektor utan att vare sig lagen eller direktivet ändras.

Bevaka därför PTS publiceringar och notera i era kriterier vilken föreskrift och vilket datum de skrevs mot. Det gör det möjligt att avgöra om era tröskelvärden fortfarande stämmer när något ändras, i stället för att behöva göra om arbetet.