Zgłaszanie skarg, incydentów

Gdzie powinny być zgłaszane incydenty dostawców usług zaufania, do CSIRT sektorowego i organu nadzoru czy tylko w jedno z tych miejsc?

Niezależnie od wielkości, kwalifikowany dostawca usług zaufania, zgodnie z art. 5 ust. 1 pkt 4 b) UKSC jest podmiotem kluczowym. W związku z tym, na mocy art. 11 ust. 1a UKSC podmiot kluczowy zgłasza incydent poważny właściwemu CSIRT sektorowemu za pośrednictwem systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 UKSC.

Równocześnie zgodnie z art. 24 ust. 2 lit. fb eIDAS wszelkie naruszenia bezpieczeństwa lub zakłócenia w świadczeniu usługi zaufania wymagają powiadomienia organu nadzoru. Wymogi NIS2 wdrażanej na gruncie prawa krajowego przez przepisy UKSC, mają względem eIDAS charakter uzupełniający. Wynika to z motywu 93 preambuły tej dyrektywy. Dopełnienie przez dostawcę usług zaufania obowiązku informacyjnego wobec CSIRT sektorowego nie zwalnia tego podmiotu z obowiązku powiadomienia Ministra Cyfryzacji jako organu nadzoru nad usługami zaufania.

Reasumując, nie każdy incydent podlega zgłoszeniu obu adresatom. Incydent poważny w rozumieniu UKSC zgłaszamy jak powyżej wskazano CSIRT- owi sektorowemu. Naruszenie bezpieczeństwa lub integralności usługi zaufania w rozumieniu eIDAS do organu nadzoru. Zdarzenie spełniające przesłanki UKSC oraz eIDAS zgłaszamy obu podmiotom.