Što su NIS2 i Zakon o kibernetičkoj sigurnosti
Direktiva NIS2 (Direktiva (EU) 2022/2555) europski je okvir za visoku zajedničku razinu kibernetičke sigurnosti. Zamijenila je prvu direktivu NIS iz 2016. i znatno proširila krug obveznika: umjesto uskog popisa operatora ključnih usluga sada obuhvaća srednja i velika poduzeća u 18 sektora te neke subjekte neovisno o njihovoj veličini.
Hrvatska je direktivu prenijela Zakonom o kibernetičkoj sigurnosti (NN 14/2024), koji je na snazi od veljače 2024. Detaljnije mjere upravljanja rizicima, postupke i obrasce propisuje provedbena Uredba o kibernetičkoj sigurnosti. Zakon uspostavlja sustav nadležnih tijela: središnje državno tijelo za kibernetičku sigurnost, sektorska nadležna tijela koja provode nadzor nad subjektima u svojim sektorima te nadležne CSIRT-ove, uključujući Nacionalni CERT, koji zaprimaju prijave incidenata i pomažu pri njihovu rješavanju.
Zakon slijedi strukturu direktive, ali neke pojedinosti, primjerice postupak kategorizacije subjekata, rokove za provedbu mjera i visinu kazni, uređuje sam. Te pojedinosti uvijek provjerite u važećem tekstu zakona i uredbe u Narodnim novinama. Jeste li obveznik, brzo provjerite alatom na ovoj stranici. U nastavku objašnjavamo kako se provodi kategorizacija i što zakon u praksi zahtijeva.
Tko je obveznik: sektor i veličina
Kategorizacija se temelji na dva kriterija: u kojem sektoru obavljate djelatnost i koliko je vaša organizacija velika. Sektori su određeni u dvama prilozima direktive, a hrvatski ih zakon preuzima u svojim prilozima.
- Prilog I (sektori visoke kritičnosti): energetika, promet, bankarstvo, infrastruktura financijskog tržišta, zdravstvo, pitka voda, otpadne vode, digitalna infrastruktura, upravljanje uslugama IKT-a (B2B), javna uprava i svemir.
- Prilog II (drugi kritični sektori): poštanske i kurirske usluge, gospodarenje otpadom, kemikalije, hrana, proizvodnja (među ostalim medicinski proizvodi, elektronika, električna oprema, strojevi i vozila), pružatelji digitalnih usluga i istraživanje.
Za veličinu se primjenjuju kriteriji iz Preporuke Komisije 2003/361/EZ. U obzir se uzimaju i podaci povezanih i partnerskih poduzeća, pa ovisno društvo velike grupe može biti obveznik iako je samo malo.
| Veličina | Zaposleni | Financijski pragovi | Prilog I | Prilog II |
|---|---|---|---|---|
| Veliko poduzeće | 250 ili više | promet veći od 50 mil. € i ukupna bilanca veća od 43 mil. € | ključni subjekt | važni subjekt |
| Srednje poduzeće | 50 do 249 | promet i ukupna bilanca veći od 10 mil. € | važni subjekt | važni subjekt |
| Malo ili mikro poduzeće | manje od 50 | promet ili ukupna bilanca do 10 mil. € | u pravilu nije obveznik* | u pravilu nije obveznik* |
* Iznimke vrijede neovisno o veličini. Među ključne subjekte u pravilu se ubrajaju tijela državne uprave, kvalificirani pružatelji usluga povjerenja, registri naziva vršnih domena i pružatelji usluga DNS-a. Država kao obveznika može odrediti i subjekt koji je jedini pružatelj usluge ključne za društvo ili gospodarstvo ili čiji bi poremećaj znatno utjecao na javnu sigurnost. Opseg obveza javnog sektora na lokalnoj i regionalnoj razini, kao i eventualne nacionalne dopune popisa sektora, uređuje hrvatski zakon, pa ih provjerite u njegovim prilozima.
Ključni i važni subjekti: u čemu je razlika
Sadržajne obveze za obje su skupine gotovo jednake. Razlikuju se ponajprije način nadzora i visina sankcija.
| Područje | Ključni subjekt | Važni subjekt |
|---|---|---|
| Mjere upravljanja rizicima (članak 21. direktive) | da | da |
| Prijava značajnih incidenata | 24 sata / 72 sata / 1 mjesec | 24 sata / 72 sata / 1 mjesec |
| Nadzor | proaktivni (provjere i revizije i bez povoda) | naknadni (u pravilu nakon incidenta ili prijave) |
| Najviša kazna prema direktivi | najmanje 10 mil. € ili 2 % svjetskog godišnjeg prometa | najmanje 7 mil. € ili 1,4 % svjetskog godišnjeg prometa |
| Odgovornost uprave | da | da |
Direktiva određuje najnižu gornju granicu kazni, a države ih mogu propisati strože. Iznose koji vrijede u Hrvatskoj provjerite u Zakonu o kibernetičkoj sigurnosti.
Ključne obveze u praksi
Mjere upravljanja kibernetičkim sigurnosnim rizicima. Mjere moraju biti razmjerne rizicima i temeljiti se na pristupu koji uzima u obzir sve opasnosti. Članak 21. direktive zahtijeva najmanje:
- politike analize rizika i sigurnosti informacijskih sustava,
- postupanje s incidentima,
- kontinuitet poslovanja, upravljanje sigurnosnim kopijama, oporavak od katastrofe i krizno upravljanje,
- sigurnost lanca opskrbe, uključujući odnose s dobavljačima i pružateljima usluga,
- sigurnost pri nabavi, razvoju i održavanju sustava te postupanje s ranjivostima i njihovo otkrivanje,
- procjenu učinkovitosti mjera,
- osnovnu kibernetičku higijenu i osposobljavanje,
- kriptografiju i šifriranje,
- sigurnost ljudskih potencijala, kontrolu pristupa i upravljanje imovinom,
- višefaktorsku autentifikaciju i zaštićenu komunikaciju.
U Hrvatskoj su mjere detaljnije razrađene u Uredbi o kibernetičkoj sigurnosti, pa analizu nedostataka provodite prema njezinim zahtjevima, a ne samo prema tekstu direktive.
Prijava incidenata. O značajnom incidentu nadležnom CSIRT-u šaljete rano upozorenje u roku od 24 sata od saznanja, obavijest o incidentu s početnom procjenom u roku od 72 sata i završno izvješće najkasnije mjesec dana nakon obavijesti. Te je rokove moguće ispuniti samo s pripremljenim postupkom, određenim ulogama i prikupljenim zapisima. Više o tome u vodiču Kibernetički napad: koliko je vaša tvrtka spremna.
Odgovornost uprave. Uprava mora odobriti mjere upravljanja rizicima, nadzirati njihovu provedbu i redovito se osposobljavati. Kibernetička sigurnost time postaje pitanje korporativnog upravljanja, a ne samo zadatak IT odjela.
Kategorizacija i dostava podataka. Subjekti moraju nadležnim tijelima dostaviti propisane podatke i ažurirati ih. Postupak kategorizacije, rokove i način dostave uređuju zakon i uredba.
ISO 27001, DORA i lanac opskrbe
ISO/IEC 27001 međunarodna je norma za sustav upravljanja informacijskom sigurnošću. Organizacije koje je već primjenjuju pokrivaju velik dio zahtjeva članka 21., jer se oba okvira temelje na upravljanju rizicima. Sam certifikat ne znači usklađenost sa Zakonom o kibernetičkoj sigurnosti. Posebno provjerite rokove za prijavu incidenata, osposobljavanje uprave, zahtjeve prema dobavljačima i obveze prema nadležnim tijelima.
DORA (Uredba (EU) 2022/2554) primjenjuje se na financijske subjekte: banke, osiguravajuća društva, investicijska društva, platne institucije i druge. Za upravljanje rizicima IKT-a i prijavu incidenata poseban je propis, pa financijski subjekti te zahtjeve ispunjavaju ponajprije prema DORA-i. Dobavljači usluga IKT-a financijskim institucijama s oba se okvira susreću kroz ugovorne zahtjeve.
Lanac opskrbe. Čak i ako niste izravni obveznik, zahtjeve ćete vjerojatno osjetiti. Obveznici moraju upravljati rizicima kod dobavljača, pa u ugovore uključuju sigurnosne zahtjeve, upitnike i pravo na reviziju. Pružatelji IT usluga, softvera i održavanja pritom su u prvom planu.
Kako početi: plan u pet koraka
- Kategorizacija. Alatom iznad procijenite jeste li ključni ili važni subjekt i rezultat provjerite u Zakonu o kibernetičkoj sigurnosti.
- Analiza nedostataka (gap analiza). Usporedite postojeće mjere sa zahtjevima zakona i uredbe. Ako imate ISO 27001, krenite od izjave o primjenjivosti.
- Prioritetne mjere. Najprije uvedite mjere s najvećim učinkom: MFA, nepromjenjive sigurnosne kopije, upravljanje ranjivostima i centralno bilježenje događaja.
- Postupak za incidente. Odredite tko odlučuje je li incident značajan, tko ga prijavljuje i kako ćete ispuniti rokove od 24 i 72 sata.
- Uprava i dobavljači. Organizirajte osposobljavanje za upravu i pregledajte ugovore s ključnim dobavljačima.
Humanfrog organizacijama pomaže u analizi nedostataka, uvođenju tehničkih mjera i upravljanoj sigurnosti, uključujući sigurnosno kopiranje u podatkovnim centrima razine TIER III. Ako želite provjeriti svoje polazište, razgovarajte s nama.
