Kaj sta NIS2 in ZInfV-1
Direktiva NIS2 (Direktiva (EU) 2022/2555) je evropski okvir za visoko skupno raven kibernetske varnosti. Nadomestila je prvo direktivo NIS iz leta 2016 in bistveno razširila krog zavezancev: namesto ozkega seznama operaterjev bistvenih storitev zdaj zajema srednja in velika podjetja v 18 sektorjih ter nekatere subjekte ne glede na velikost.
Slovenija je direktivo v svoj pravni red prenesla z Zakonom o informacijski varnosti (ZInfV-1). Pristojni organ je Urad Vlade RS za informacijsko varnost (URSIV), ki vodi register zavezancev in izvaja nadzor. Pri obravnavi incidentov sodeluje nacionalni odzivni center SI-CERT. Zakon sledi strukturi direktive, nekatere podrobnosti, na primer postopke registracije, roke za prilagoditev in višino glob, pa določa sam. Te podrobnosti vedno preverite v veljavnem besedilu zakona.
Ali ste zavezanec, hitro preverite z orodjem na tej strani. V nadaljevanju razlagamo, kako poteka razvrščanje in kaj zakon v praksi zahteva.
Kdo je zavezanec: sektor in velikost
Razvrstitev temelji na dveh merilih: v katerem sektorju opravljate dejavnost in kako velika je vaša organizacija. Sektorji so določeni v dveh prilogah direktive.
- Priloga I (sektorji velike kritičnosti): energetika, promet, bančništvo, infrastruktura finančnega trga, zdravstvo, pitna voda, odpadna voda, digitalna infrastruktura, upravljanje storitev IKT med podjetji, javna uprava in vesolje.
- Priloga II (drugi kritični sektorji): poštne in kurirske storitve, ravnanje z odpadki, kemikalije, hrana, proizvodnja (med drugim medicinski pripomočki, elektronika, električna oprema, stroji in vozila), ponudniki digitalnih storitev ter raziskave.
Za velikost se uporabljajo merila iz Priporočila Komisije 2003/361/ES. Upoštevajo se tudi podatki povezanih in partnerskih podjetij, zato je hčerinska družba velike skupine lahko zavezanka, čeprav je sama majhna.
| Velikost | Zaposleni | Finančni pragovi | Priloga I | Priloga II |
|---|---|---|---|---|
| Veliko podjetje | 250 ali več | promet nad 50 M€ in bilančna vsota nad 43 M€ | bistveni subjekt | pomembni subjekt |
| Srednje podjetje | 50 do 249 | promet in bilančna vsota nad 10 M€ | pomembni subjekt | pomembni subjekt |
| Malo ali mikro podjetje | manj kot 50 | promet ali bilančna vsota do 10 M€ | praviloma ni zavezanec* | praviloma ni zavezanec* |
* Izjeme veljajo ne glede na velikost. Med bistvene subjekte praviloma sodijo subjekti javne uprave na ravni države, kvalificirani ponudniki storitev zaupanja, registri vrhnjih domen in ponudniki storitev DNS. Država lahko kot zavezanca določi tudi subjekt, ki je edini ponudnik storitve, ključne za družbo ali gospodarstvo, ali katerega motnja bi pomembno vplivala na javno varnost. Obseg zavezanosti javnega sektorja na lokalni ravni določa nacionalna zakonodaja.
Bistveni in pomembni subjekti: kaj se razlikuje
Vsebinske obveznosti so za obe skupini skoraj enake. Razlikujeta se predvsem način nadzora in višina sankcij.
| Področje | Bistveni subjekt | Pomembni subjekt |
|---|---|---|
| Ukrepi za obvladovanje tveganj (21. člen) | da | da |
| Poročanje o pomembnih incidentih | 24 ur / 72 ur / 1 mesec | 24 ur / 72 ur / 1 mesec |
| Nadzor | proaktivni (pregledi, revizije tudi brez povoda) | naknadni (praviloma po incidentu ali prijavi) |
| Najvišja globa po direktivi | vsaj 10 M€ ali 2 % svetovnega letnega prometa | vsaj 7 M€ ali 1,4 % svetovnega letnega prometa |
| Odgovornost vodstva | da | da |
Direktiva določa najnižjo zgornjo mejo glob, države pa jih lahko določijo strožje. Za slovenske zneske preverite ZInfV-1.
Ključne obveznosti v praksi
Ukrepi za obvladovanje tveganj. Ukrepi morajo biti sorazmerni s tveganji in temeljiti na pristopu, ki upošteva vse nevarnosti. 21. člen direktive zahteva najmanj:
- politike za analizo tveganj in varnost informacijskih sistemov,
- obravnavo incidentov,
- neprekinjeno poslovanje, upravljanje varnostnih kopij, obnovo po nesreči in krizno upravljanje,
- varnost dobavne verige, vključno z odnosi z dobavitelji in ponudniki storitev,
- varnost pri nabavi, razvoju in vzdrževanju sistemov ter obravnavo in razkrivanje ranljivosti,
- ocenjevanje učinkovitosti ukrepov,
- osnovno kibernetsko higieno in usposabljanje,
- kriptografijo in šifriranje,
- varnost človeških virov, nadzor dostopa in upravljanje sredstev,
- večfaktorsko avtentikacijo in zaščiteno komunikacijo.
Poročanje o incidentih. O pomembnem incidentu pošljete zgodnje opozorilo v 24 urah od seznanitve, uradno obvestilo z začetno oceno v 72 urah in končno poročilo najpozneje en mesec po obvestilu. Te roke je mogoče izpolniti le s pripravljenim postopkom, določenimi vlogami in zbranimi dnevniki. Več o tem v vodniku Kibernetski napad: kako pripravljeno je vaše podjetje.
Odgovornost vodstva. Poslovodstvo mora potrditi ukrepe za obvladovanje tveganj, nadzirati njihovo izvajanje in se redno usposabljati. Kibernetska varnost s tem postane vprašanje upravljanja podjetja, ne zgolj naloga oddelka IT.
Registracija. Zavezanci morajo pristojnemu organu sporočiti svoje podatke in jih posodabljati. Postopek in roke določa ZInfV-1.
ISO 27001, DORA in dobavna veriga
ISO/IEC 27001 je mednarodni standard za sistem upravljanja informacijske varnosti. Organizacije, ki ga že imajo, pokrijejo velik del zahtev 21. člena, saj oba temeljita na upravljanju tveganj. Certifikat sam po sebi ne pomeni skladnosti z ZInfV-1. Posebej preverite roke za poročanje o incidentih, usposabljanje vodstva, zahteve do dobaviteljev in registracijo.
DORA (Uredba (EU) 2022/2554) velja za finančne subjekte: banke, zavarovalnice, investicijska podjetja, plačilne institucije in druge. Za obvladovanje tveganj IKT in poročanje o incidentih je posebni predpis, zato finančni subjekti te zahteve izpolnjujejo predvsem po DORA. Dobavitelji storitev IKT finančnim institucijam se z obema okviroma srečujejo prek pogodbenih zahtev.
Dobavna veriga. Tudi če niste neposredni zavezanec, boste zahteve verjetno začutili. Zavezanci morajo obvladovati tveganja pri dobaviteljih, zato v pogodbe vključujejo varnostne zahteve, vprašalnike in pravico do revizije. Ponudniki IT, programske opreme in vzdrževanja so pri tem v ospredju.
Kako začeti: načrt v petih korakih
- Razvrstitev. Z orodjem zgoraj ocenite, ali ste bistveni ali pomembni subjekt, in rezultat preverite v ZInfV-1.
- Analiza vrzeli. Primerjajte obstoječe ukrepe z zahtevami 21. člena. Če imate ISO 27001, začnite pri izjavi o uporabnosti.
- Prednostni ukrepi. Najprej uvedite ukrepe z največjim učinkom: MFA, nespremenljive varnostne kopije, upravljanje ranljivosti in centralno beleženje dogodkov.
- Postopek za incidente. Določite, kdo odloča o tem, ali je incident pomemben, kdo poroča in kako zagotovite roke 24 in 72 ur.
- Vodstvo in dobavitelji. Organizirajte usposabljanje za upravo in pregledajte pogodbe s ključnimi dobavitelji.
Humanfrog organizacijam pomaga pri analizi vrzeli, uvedbi tehničnih ukrepov in upravljani varnosti, vključno z varnostnim kopiranjem v podatkovnih centrih TIER III. Če želite preveriti svoje izhodišče, se pogovorite z nami.
