Ce inseamna cu adevarat 'fara intarziere nejustificata' la ceasul de 24 de ore NIS 2
Art. 23(4)(a) NIS 2 are doua cronometre, nu unul. A cunoaste diferenta este diferenta dintre a apara o avertizare timpurie in termen si a infrunta o amenda §65 BSIG care putea fi evitata.
De ce conteaza formularea
Art. 23(4)(a) NIS 2 spune ca avertizarea timpurie este datorata 'fara intarziere nejustificata si in orice caz in termen de 24 de ore' de la luarea la cunostinta despre un incident semnificativ. Doua cronometre, nu unul. Cifra de 24 de ore este un plafon ferm; obligatia operativa este prima sintagma.
In practica, acest lucru inseamna: o notificare care soseste la ora 23 poate fi totusi tarzie daca entitatea ar fi putut in mod rezonabil sa o transmita la ora 4. 'In mod rezonabil' este ceea ce testeaza auditorii retrospectiv.
Cititorii de prima data se fixeaza pe cifra de 24 de ore si rateaza structura juridica. A intelege ambele ceasuri este cea mai ieftina aparare pe care o puteti pregati inaintea unui incident.
Art. 23(4)(a) NIS 2
Daca este cazul, o avertizare timpurie care, fara intarziere nejustificata si in orice caz in termen de 24 de ore de la luarea la cunostinta despre incidentul semnificativ, indica daca se suspecteaza ca incidentul semnificativ a fost cauzat de acte ilegale sau rauvoitoare sau ar putea avea un impact transfrontalier.
Doua cronometre numite explicit in aceeasi propozitie. 'Fara intarziere nejustificata' este obligatia operativa; '24 de ore' este limita exterioara. Constientizarea, nu detectarea, este declansatorul.
§32(1) Nr. 1 BSIG
Wesentliche und wichtige Einrichtungen melden dem Bundesamt erhebliche Sicherheitsvorfälle unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung als frühe Erstmeldung.
Transpunerea germana foloseste 'unverzüglich' pentru 'fara intarziere nejustificata'. 'Unverzüglich' este un termen juridic definit in §121(1) BGB, anume 'ohne schuldhaftes Zögern', fara intarziere culpabila. Acea definitie importa un corp intreg de jurisprudenta germana in obligatia de raportare NIS 2.
Considerentul 102 NIS 2 (context)
Pentru a stabili obligatiile de raportare, calendarul notificarii si formatul notificarii, ar trebui luata in considerare evaluarea impactului incidentului.
Considerentul 102 este indiciul interpretativ: calendarul notificarii nu este separat de evaluarea rezonabila a entitatii. Nu se asteapta de la voi sa raportati inainte de a avea informatiile; se asteapta sa raportati de indata ce ati putea in mod rezonabil.
Ceasul 1: fara intarziere nejustificata
Obligatia operativa. Entitatea trebuie sa notifice de indata ce poate in mod rezonabil dupa luarea la cunostinta. 'Rezonabil' permite timp pentru a confirma faptele si a escalada intern; nu permite gruparea pentru comoditate sau asteptarea inceputului zilei de lucru.
Ceasul 2: in orice caz in termen de 24 de ore
Plafonul ferm. Indiferent ce a insemnat 'rezonabil' in cazul respectiv, avertizarea timpurie nu poate fi mai tarzie de 24 de ore dupa constientizare. Dincolo de asta, entitatea este in incalcare chiar si cu o justificare perfecta.
Declansator: constientizarea
Nu detectarea tehnica. Constientizarea in termeni juridici este momentul in care entitatea, actionand in mod rezonabil, a stiut sau ar fi trebuit sa stie. O alerta SIEM lasata necitita intr-o coada poate conta deja drept constientizare pentru entitate, daca un SOC care opereaza in mod rezonabil ar fi citit-o.
Permis: timp pentru a confirma
Nu trebuie sa raportati inainte de a avea informatii relevante. Cateva ore pentru a tria, a confirma amploarea si a exclude fals-pozitivele sunt rezonabile. Directiva nu penalizeaza verificarea responsabila.
Permis: timp pentru a escalada
Escaladarea interna prin lantul de raspuns la incidente, cu responsabilul desemnat de raportare care aproba, face parte din procesul normal de cuvenire. O escaladare de doua ore in orele de program este rezonabila; o asteptare de 20 de ore pentru ca directorul sa revina din concediu nu este.
Nu este permis: gruparea pentru comoditate
Asteptarea pentru a combina mai multe incidente suspectate, asteptarea pana la orele de program cand incidentul a avut loc la 22:00, asteptarea coagularii unei strategii de presa: niciunul dintre acestea nu sunt motive care supravietuiesc unui audit. 'Unverzüglich' tolereaza verificarea, nu intarzierea pentru comoditatea proprie a entitatii.
14:00 - SOC detecteaza activitate de criptare pe serverul de fisiere
Detectare tehnica. Inca nu este constientizare juridica daca SOC-ul investigheaza. Entitatea este atentionata, dar nu si-a format o opinie ca un incident este semnificativ.
15:30 - incidentul confirmat ca ransomware, amploarea partial clara
Constientizarea apare acum cel tarziu. Ambele ceasuri pornesc. Limita exterioara de 24 de ore se incheie la 15:30 a doua zi. Obligatia 'fara intarziere nejustificata' se angajeaza imediat.
16:45 - avertizarea timpurie trimisa
75 de minute dupa confirmare. Defensabil drept 'fara intarziere nejustificata' daca entitatea a folosit timpul pentru a verifica si pentru a escalada intern catre responsabilul desemnat de raportare. Notificarea include cele doua elemente de continut obligatorii din art. 23(4)(a): cauza rauvoitoare suspectata si evaluarea impactului transfrontalier.
Cand BSI sau o autoritate nationala competenta auditeaza retrospectiv un incident, documentul de interes este jurnalul cronologic propriu al entitatii. Sunt asteptate trei coloane: ora evenimentului, ce era cunoscut in acel moment, ce actiune a fost intreprinsa.
Auditul pune o singura intrebare: in fiecare punct al cronologiei, a fost pasul urmator rezonabil avand in vedere ce era cunoscut. Un jurnal curat cu actiuni prudente apara calendarul notificarii. Un jurnal sarac il invita pe auditor sa presupuna ce e mai rau.
- Directiva (UE) 2022/2555 (NIS 2), art. 23(4)(a), considerentul 102, www.eur-lex.europa.eu
- Legea privind Oficiul Federal pentru Securitatea Informatiei (BSIG), §32, www.gesetze-im-internet.de
- Bürgerliches Gesetzbuch (BGB), §121(1), definitia 'unverzüglich'
- ENISA Technical Implementation Guidance v1.0 (iunie 2025), §5 privind documentarea cronologiei incidentului
Aceasta pagina ofera indrumare structurata pe baza unor surse disponibile public (Directiva NIS 2, BSIG, BGB, ENISA TIG). Nu constituie consultanta juridica in sensul §2 RDG. Daca o anumita intarziere este 'nejustificata' intr-un caz particular este o chestiune juridica pentru un avocat admis in barou. La data de 2026-06-04.