Når må rapportene leveres?
Oppgi når foretaket ble kjent med hendelsen og når den ble klassifisert som alvorlig. Kalkulatoren følger Art. 19(4) og RTS 2024/1772: første varsel forfaller 4 timer etter klassifisering og aldri senere enn 24 timer etter oppdagelse; mellomrapporten følger 72 timer etter første varsel; sluttrapporten én kalendermåned etter det. Tidspunkter angis og vises i din lokale tidssone.
Slik virker fristene
Første varsel: to klokker, den strengeste vinner. Art. 19(4)(a) krever første varsel senest 4 timer etter at hendelsen er klassifisert som alvorlig, og uansett senest 24 timer etter at foretaket ble kjent med hendelsen. En sen klassifisering kjøper ikke tilbake tid oppdagelsesklokken alt har brukt — kalkulatoren bruker alltid den tidligste av de to.
Mellomrapport: 72 timer. Mellomrapporten forfaller 72 timer etter første varsel, også når status er uendret, og på nytt uten ugrunnet opphold når normal drift er gjenopprettet.
Sluttrapport: én kalendermåned. Sluttrapporten forfaller én måned etter mellomrapporten. Fristen følger kalenderen, ikke faste 30 dager: en frist fra den 31. lander på siste dag i en kortere måned.
Kun alvorlige hendelser. De obligatoriske fristene gjelder hendelser klassifisert som alvorlige etter CDR 2024/1772. Øvrige hendelser registreres internt; vesentlige cybertrusler kan rapporteres frivillig.
Ofte stilte spørsmål
4-timersklokken starter når hendelsen klassifiseres som alvorlig etter CDR 2024/1772-kriteriene — ikke når hendelsen inntreffer. Men klassifiseringen skal skje uten ugrunnet opphold, og første varsel forfaller aldri senere enn 24 timer etter at foretaket ble kjent med hendelsen. Den klokken som løper ut først, styrer.
Første varsel er en kort melding: hva som skjedde, når det ble oppdaget og klassifisert, hvilke tjenester og medlemsland som er berørt, og en første indikasjon på alvorlighet. Den detaljerte konsekvensvurderingen hører hjemme i mellomrapporten 72 timer senere. Ikke vent på fullstendig informasjon før første varsel sendes.
Nei. Fristene på 4, 24 og 72 timer løper i kalendertid, inkludert netter, helger og helligdager. Derfor trenger foretak en vaktordning for klassifisering og rapportering av hendelser.
Nei — den er én kalendermåned etter mellomrapporten. En frist som ville falt på den 31. i en kortere måned, flyttes til siste dag i den måneden. Kalkulatoren håndterer regelen automatisk.