Fjarskiptafyrirtækjum ber að tilkynna öryggisatvik til CERT-IS og Fjarskiptastofu, sbr. 1. mgr. 80. gr. laga um fjarskipti nr. 70/2022.

Fjarskiptafyrirtæki sem rekur almennt fjarskiptanet eða veitir almenna fjarskiptaþjónustu skal án tafar tilkynna öll alvarleg öryggisatvik sem ógna öryggi eða virkni almennra fjarskiptaneta eða almennrar fjarskiptaþjónustu. Við mat á alvarleika öryggisatvika ber að horfa til 2. mgr. 80. gr. fjarskiptalaganna.

Til viðbótar þá ber fjarskiptafyrirtækjum að tilkynna Fjarskiptastofu um öryggisatvik þar sem hætta er á að öryggi eða leynd upplýsinga á fjarskiptanetum verði rofin eða ef til rofs hefur komið, sbr. 3. mgr. 80. gr. fjarskiptalaga.

Senda skal tilkynningar á netfangið oryggisatvik@fjarskiptastofa.is.

Tilkynningarskylda vegna öryggisatvika nær bæði til fullgildra traustþjónustuveitenda og traustþjónustuveitenda án fullgildrar stöðu.

Traustþjónustuveitandi skal án ástæðulausrar tafar, og í öllum tilvikum innan 24 klukkustunda frá því að honum verður atvikið ljóst, tilkynna Fjarskiptastofu um öryggisrof eða glötun á heilleika sem hefur umtalsverð áhrif á traustþjónustuna sem hann veitir eða á persónuupplýsingar sem í henni felast. Eftir atvikum skal einnig tilkynna öðrum viðeigandi stjórnvöldum.

Sé líklegt að atvikið hafi skaðleg áhrif á einstakling eða lögaðila sem hefur verið veitt traustþjónusta skal veitandinn einnig upplýsa viðkomandi um atvikið án ástæðulausrar tafar.

Tilkynning ætti að lýsa eðli atviksins, hvenær þess varð vart, hvaða þjónusta og notendur kunna að verða fyrir áhrifum og hvaða ráðstafanir hafa verið gerðar eða eru fyrirhugaðar. Ekki ætti að bíða eftir endanlegri niðurstöðu rannsóknar áður en tilkynnt er um atvik sem fellur undir tilkynningarskylduna. Viðbótarupplýsingar má veita eftir því sem rannsókn vindur fram.

Tilkynningar skulu berast á oryggisatvik@fjarskiptastofa.is.