Incydent poważny

Incydent poważny to, w rozumieniu ustawy „Krajowy system cyberbezpieczeństwa”, takie zdarzenie związane z cyberbezpieczeństwem, którego skutki są albo mogą być szczególnie dotkliwe. Nie musi więc już dojść do pełnego zakłócenia działania. Wystarczy, że okoliczności wskazują na możliwość wystąpienia poważnych następstw.

Pojęcie odnosi się do incydentów dotyczących podmiotu kluczowego lub podmiotu ważnego. O ich poważnym charakterze może decydować kilka rodzajów skutków:

• znaczne pogorszenie jakości usługi świadczonej przez taki podmiot albo całkowite przerwanie jej ciągłości,
• poniesienie przez podmiot strat finansowych,
• wyrządzenie innym osobom fizycznym, osobom prawnym lub jednostkom organizacyjnym nieposiadającym osobowości prawnej poważnej szkody materialnej albo niematerialnej.

Przesłanki te mają charakter alternatywny. Oznacza to, że do uznania zdarzenia za incydent poważny nie jest konieczne jednoczesne wystąpienie wszystkich wymienionych skutków. Wystarczające może być spełnienie jednej z nich, jeżeli skutek jest poważny albo istnieje realna możliwość jego wystąpienia. Ocena obejmuje zatem zarówno rzeczywiste następstwa incydentu, jak i zagrożenie ich wystąpieniem.

W praktyce określenie „incydent poważny” służy odróżnieniu zdarzeń o istotnym znaczeniu dla działania podmiotów i dla osób, na które mogą one oddziaływać, od incydentów o mniejszej wadze. Podkreśla ono, że cyberzagrożenie może dotyczyć nie tylko samego systemu lub organizacji, lecz także ciągłości świadczonej usługi, sytuacji finansowej podmiotu oraz interesów innych osób i jednostek. Zakwalifikowanie zdarzenia jako incydentu poważnego ma znaczenie dla stosowania mechanizmów przewidzianych w ustawie dotyczących reagowania na takie zdarzenia i zapewniania cyberbezpieczeństwa.