NIS2 och GDPR: två klockor som inte går att slå ihop

NIS2-tröskeln handlar om verksamheten och dess omvärld. En incident är betydande om den orsakat eller kan orsaka allvarlig driftsstörning eller ekonomisk skada, eller påverkat andra genom betydande materiell eller immateriell skada.

GDPR-tröskeln handlar om de registrerade. En personuppgiftsincident ska anmälas om det inte är osannolikt att den medför en risk för fysiska personers rättigheter och friheter.

De två frågorna kan få olika svar på samma händelse. Ett driftavbrott utan dataförlust träffar bara den ena. Ett läckage av en kundlista utan driftspåverkan träffar bara den andra. Ett ransomware-angrepp träffar ofta båda.

Frestelsen är att bygga en incidentrutin som täcker allt och skicka samma underlag åt båda hållen. Det fungerar sällan, av tre skäl.

Underlaget skiljer sig. IMY vill veta vilka kategorier av personuppgifter och ungefär hur många registrerade som berörs. Tillsynsmyndigheten enligt cybersäkerhetslagen vill veta vad som hände med tjänsten.

Bedömningen skiljer sig. Den som avgör om tröskeln är nådd behöver ställa två olika frågor, och den som bara ställer den ena missar systematiskt den andra.

Och tidsräkningen skiljer sig i praktiken. NIS2 vill ha en tidig varning inom 24 timmar, långt innan ni vet om personuppgifter berörts.

Vid en personuppgiftsincident ska den personuppgiftsansvarige utan onödigt dröjsmål och, om så är möjligt, inte senare än 72 timmar efter att ha fått vetskap om den, anmäla personuppgiftsincidenten till den tillsynsmyndighet som är behörig.

Utfallen skiljer sig åt. En missad anmälan till IMY är en överträdelse av artikel 33 med dataskyddsförordningens eget sanktionssystem bakom sig. En missad rapport enligt cybersäkerhetslagen är en brist i efterlevnaden som er tillsynsmyndighet hanterar.

Det praktiskt farliga är att den ena skyldigheten upptäcks genom den andra. En anmälan till IMY som beskriver ett driftavbrott hos en verksamhetsutövare väcker frågan om varför ingen rapport gick till NCSC.

Det som går att återanvända mellan regelverken är det tekniska: loggning, detektion, forensiskt underlag och den interna eskaleringen. Samma logg svarar på båda myndigheternas frågor om vad som hände.

Det som inte går att återanvända är bedömningen, mottagaren och innehållet i rapporten. Praktiker beskriver just det som skiljelinjen: kontrollagret mappar rent, obligationslagret gör det inte.

Det som behöver finnas på plats i förväg är inte en längre rutin utan ett tidigt vägval.

1. 01Fråga om tjänsten påverkatsAllvarlig driftsstörning eller skada på andra, faktisk eller möjlig. Om ja: NIS2-spåret startar, och 24-timmarsklockan går.
2. 02Fråga om personuppgifter berörtsOm det inte är osannolikt att incidenten medför risk för de registrerade startar GDPR-spåret, med 72 timmar till IMY.
3. 03Låt spåren löpa parallelltDe väntar inte på varandra. Att invänta full utredning innan något rapporteras är hur båda fristerna missas.
4. 04Dokumentera båda bedömningarnaÄven ett nej ska gå att visa. En bedömning som aldrig skrevs ned är svår att åberopa i efterhand.