Art. 30. Zgłaszanie incydentów przez inne podmioty

1. Podmioty inne niż podmioty kluczowe lub podmioty ważne, w tym osoby fizyczne, mogą zgłosić incydent do CSIRT NASK. W zgłoszeniu należy podać:

1) nazwę podmiotu lub systemu informacyjnego, w którym wystąpił incydent;

2) opis incydentu;

3) inne istotne informacje.

2. Zgłoszenia incydentów od podmiotów kluczowych lub podmiotów ważnych są traktowane priorytetowo względem zgłoszeń, o których mowa w ust. 1.

3. Zgłoszenia, o których mowa w ust. 1, mogą zostać rozpatrzone, gdy nie stanowi to nieproporcjonalnego czy nadmiernego obciążenia dla CSIRT NASK.

4. Podmiot, o którym mowa w ust. 1, oznacza w zgłoszeniu informacje stanowiące tajemnice prawnie chronione, w tym stanowiące tajemnicę przedsiębiorstwa.

Komentarz do Art. 30.

Przepis określa zasady zgłaszania incydentów do CSIRT NASK przez podmioty inne niż podmioty kluczowe lub podmioty ważne, w tym przez osoby fizyczne. Zgłoszenie ma charakter możliwości, a nie obowiązku, ponieważ wskazane podmioty „mogą zgłosić incydent”.

W zgłoszeniu należy podać trzy podstawowe grupy informacji:

nazwę podmiotu lub systemu informacyjnego, w którym wystąpił incydent,
opis incydentu,
inne istotne informacje.

Przepis wprowadza także kolejność rozpatrywania zgłoszeń. Zgłoszenia pochodzące od podmiotów kluczowych lub podmiotów ważnych są traktowane priorytetowo względem zgłoszeń dobrowolnych, o których mowa w ust. 1. Oznacza to, że zgłoszenie dokonane przez inny podmiot, w tym osobę fizyczną, nie ma pierwszeństwa przed zgłoszeniami tych dwóch kategorii podmiotów.

Rozpatrzenie zgłoszenia z ust. 1 zależy ponadto od możliwości organizacyjnych CSIRT NASK. Takie zgłoszenie może zostać rozpatrzone tylko wtedy, gdy nie spowoduje nieproporcjonalnego lub nadmiernego obciążenia CSIRT NASK. Przepis nie przesądza więc, że każde zgłoszenie zostanie rozpatrzone.

Istotne znaczenie ma również ochrona informacji poufnych. Podmiot dokonujący zgłoszenia powinien oznaczyć informacje stanowiące tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa. W praktyce przepis wskazuje zatem zarówno minimalny zakres treści zgłoszenia, jak i ograniczenia związane z jego obsługą oraz sposób sygnalizowania informacji wymagających ochrony.

Komentarz ma charakter informacyjny i nie stanowi porady prawnej.

Tekst przepisu: akt wydany przez SEJM, Dziennik Ustaw z 2018 r. poz. 1560.Indeks rzeczowy, tytuł redakcyjny i interpretacja przepisu: Kancelarium.

Art. 28.Art. 31.