§ 21.1-2: Anmälan av betydande incidenter

En cybersäkerhetsincident ska anses vara betydande om:

1. den har orsakat eller kan orsaka allvarliga driftsstörningar för tjänsterna eller ekonomiska förluster för verksamhetsutövaren, eller
2. den har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande materiell eller immateriell skada. Vid rapportering enligt 1 mom. ska verksamhetsutövaren lämna följande till landskapsregeringen:
1. utan onödigt dröjsmål och under alla omständigheter inom 24 timmar efter att ha fått kännedom om den betydande cybersäkerhetsincidenten, en tidig varning vilken i tillämpliga fall ska ange om den betydande cybersäkerhetsincidenten misstänks ha orsakats av olagliga eller avsiktligt skadliga handlingar eller kan ha gränsöverskridande verkningar,
2. utan onödigt dröjsmål och under alla omständigheter inom 72 timmar efter att ha fått kännedom om den betydande cybersäkerhetsincidenten, en incidentrapport vilken, i tillämpliga fall, ska uppdatera den information vilken avses i 1 punkten och ange en inledande bedömning av den betydande cybersäkerhetsincidenten, dess allvarlighetsgrad och konsekvenser samt, i förekommande fall, angreppsindikatorer,
3. på begäran av landskapsregeringen, en delrapport om relevanta statusuppdateringar,
4. senast en månad efter inlämningen av den incidentrapport vilken avses i 2 punkten, en slutrapport vilken ska innehålla följande:
   1. en detaljerad beskrivning av cybersäkerhetsincidenten
   2. den typ av hot eller grundorsak vilken sannolikt har utlöst cybersäkerhetsincidenten,
   3. tillämpade och pågående begränsande åtgärder, och
   4. i tillämpliga fall, cybersäkerhetsincidentens gränsöverskridande verkningar,
5. i händelse av en pågående cybersäkerhetsincident vid tidpunkten för inlämnandet av den slutrapport vilken avses i 4 punkten, en lägesrapport vid den tidpunkten och en slutrapport inom en månad efter det att den har hanterat cybersäkerhetsincidenten.

En verksamhetsutövare vilken är tillhandahållare av betrodda tjänster ska, genom undantag från 4 mom. 2 punkten, när det gäller betydande cybersäkerhetsincidenter vilka påverkar tillhandahållandet av de betrodda tjänsterna, utan onödigt dröjsmål och under alla omständigheter inom 24 timmar efter att ha fått kännedom om en betydande cybersäkerhetsincident, avge en incidentrapport till landskapsregeringen.