Kako u nekoliko minuta nastaje NIS2 dokument specifičan za vašu tvrtku

Što jedan NIS2 dokument čini „specifičnim za tvrtku“

Mnoge tvrtke pretpostavljaju da izrada NIS2 dokumentacije traje tjednima jer se svaki put kreće od prazne stranice. U praksi je situacija drukčija, iz dva razloga.

Prvo, pravna je osnova unaprijed zadana. Direktivu (EU) 2022/2555 u hrvatsko zakonodavstvo preuzima Zakon o kibernetičkoj sigurnosti (NN 14/2024) (članak 3.). Taj zakon u članku 26. propisuje obvezu provedbe odgovarajućih i razmjernih mjera upravljanja kibernetičkim sigurnosnim rizicima, a u članku 30. taksativno navodi što te mjere uključuju. Sadržaj dokumentacije, dakle, ne izmišlja se — on izlazi iz teksta propisa.

Drugo, profil tvrtke određuje koje se obveze primjenjuju. Bitni su sektor (Prilog I. – sektori visoke kritičnosti ili Prilog II. – drugi kritični sektori), veličina subjekta i kategorija u koju je subjekt razvrstan. Prema članku 9. u kategoriju ključnih subjekata razvrstavaju se, među ostalim, subjekti iz Priloga I. koji prelaze gornje granice za srednje subjekte maloga gospodarstva, dok se prema članku 10. u kategoriju važnih subjekata razvrstavaju subjekti iz Priloga II. koji predstavljaju srednji subjekt maloga gospodarstva ili prelaze te granice, kao i subjekti iz Priloga I. koji nisu utvrđeni kao ključni subjekti.

Kombinacija „fiksna pravna osnova + profil tvrtke“ znači da se dokument sastavlja, a ne piše od nule.

Cjelina prije detalja: pet temeljnih područja dokumentacije

Prije nego što se izradi ijedan pojedinačni dokument, korisno je vidjeti cjelinu. Pet je područja koja čine okosnicu dokumentacije ključnog i važnog subjekta.

1. Politike analize rizika i sigurnosti informacijskih sustava. Ovo je prva stavka u nabrajanju iz članka 30. stavka 1. Zakona. Cilj primjene mjera je, prema članku 26. stavku 2., zaštita mrežnih i informacijskih sustava i njihova fizičkog okruženja od incidenata, uzimajući u obzir sve opasnosti kojima su ti sustavi izloženi.

2. Postupanje s incidentima. Članak 30. stavak 1. izrijekom obuhvaća praćenje, evidentiranje i prijavljivanje incidenata. Članak 37. propisuje obvezu obavještavanja nadležnog CSIRT-a o svakom značajnom incidentu, a Uredba o kibernetičkoj sigurnosti (NN 135/2024) razrađuje sadržaj i rokove obavijesti.

3. Kontinuitet poslovanja. Zakon ovdje navodi upravljanje sigurnosnim kopijama i oporavak od nesreća, prekida rada i incidenata iz članka 37., te upravljanje kibernetičkim krizama. Riječ je o dokumentiranim postupcima, a ne samo o tehničkim postavkama.

4. Sigurnost lanca opskrbe. Obuhvaća sigurnosne aspekte odnosa između subjekta i njegovih izravnih dobavljača ili pružatelja usluga. Prema članku 30. stavku 2. pri procjeni proporcionalnosti mjera uzimaju se u obzir ranjivosti specifične za svakog izravnog dobavljača te opća kvaliteta proizvoda i sigurnosna praksa dobavljača. Važno je i da obveze vrijede bez obzira na to održava li subjekt sustave sam ili koristi vanjskog davatelja usluge (čl. 26. st. 4.).

5. Odgovornost uprave. Prema članku 29. za provedbu mjera odgovorni su članovi upravljačkih tijela ključnih i važnih subjekata. Oni su dužni odobravati mjere i kontrolirati njihovu provedbu te pohađati odgovarajuća osposobljavanja i omogućiti ih zaposlenicima.

Prvi od pet koraka: politika upravljanja rizicima kao temeljni dokument

Politika analize rizika i sigurnosti informacijskih sustava prvi je dokument iz niza jer se na nju naslanjaju sva ostala područja: bez popisa imovine i procijenjenih rizika ne mogu se smisleno odrediti ni postupci za incidente, ni prioriteti oporavka, ni zahtjevi prema dobavljačima.

Što ta politika u pravilu pokriva, izlazi iz samog članka 30. stavka 1.: opseg mrežnih i informacijskih sustava koje tvrtka koristi u poslovanju ili u pružanju usluga, tehničke, operativne i organizacijske mjere (čl. 26. st. 3.), politike i postupke za procjenu djelotvornosti mjera, osnovne prakse kibernetičke higijene i osposobljavanje, politike kontrole pristupa i upravljanja programskom i sklopovskom imovinom uz redovito ažuriranje popisa te imovine, kriptografiju i, prema potrebi, kriptiranje, kao i višefaktorsku provjeru autentičnosti.

Dokument dobiva pravnu težinu tek kad ga odobre osobe odgovorne za upravljanje mjerama iz članka 29. Zakona. Odobrenje uprave nije formalnost — ono je izričita zakonska obveza, uz obvezu kontrole provedbe.

Rokovi su također propisani: mjere upravljanja kibernetičkim sigurnosnim rizicima subjekti su dužni provesti u roku od godine dana od dana dostave obavijesti iz članka 19. stavka 1. Zakona (čl. 26. st. 5.). Kod promjene kategorizacije nadležno tijelo određuje primjereni rok, koji ne može biti kraći od 60 dana niti duži od šest mjeseci od primitka obavijesti (čl. 26. st. 7.).

Zašto sastavljanje traje minute, a ne tjedne

Ako su pravna osnova i profil tvrtke poznati, izrada dokumenta prestaje biti istraživački posao i postaje posao sastavljanja.

• Izvori su provjereni unaprijed. Doslovni tekst odredaba Zakona o kibernetičkoj sigurnosti (NN 14/2024) i Uredbe o kibernetičkoj sigurnosti (NN 135/2024) fiksan je i javno objavljen; ne mijenja se od tvrtke do tvrtke.
• Profil bira odredbe. Sektor iz Priloga I. ili Priloga II., veličina i kategorija (ključni subjekt prema čl. 9. ili važni subjekt prema čl. 10.) određuju koje se obveze i koji rokovi uopće primjenjuju na konkretnu tvrtku.
• Svaka pravna tvrdnja nosi izvor. Uz svaku rečenicu koja iznosi obvezu stoji naziv propisa i točna odredba — primjerice „čl. 30. st. 1. Zakona o kibernetičkoj sigurnosti (NN 14/2024)“. Time nadzorno tijelo ili poslovni partner može svaku tvrdnju provjeriti u izvorniku.

Riječ „minute“ ovdje se odnosi isključivo na opisani način sastavljanja iz unaprijed provjerenih izvora. Sadržajni rad — procjena rizika u vašim sustavima, odobrenje uprave i stvarna provedba mjera — ostaje na tvrtki i traje onoliko koliko traje.

Za pitanja koja iz teksta propisa ne proizlaze jednoznačno, primjerice točan elektronički kanal za obavještavanje ili upis nadležnog CSIRT-a: molimo provjerite kod Sigurnosno-obavještajne agencije (SOA) kao središnjeg državnog tijela za kibernetičku sigurnost (službeni izvor) te u objavljenim uputama nadležnih tijela.

Tko traži dokumentaciju s navedenim izvorima

Nadzorno tijelo. Prema članku 79. Zakona nadležno tijelo za provedbu zahtjeva kibernetičke sigurnosti ovlašteno je u stručnom nadzoru provesti neposredan uvid u podatke, dokumentaciju te mrežne i informacijske sustave, neposredno provjeriti uvjete i načine provedbe mjera (uključujući nasumične provjere), ostvariti uvid u dokumentaciju o izvršavanju obveza obavještavanja o prijetnjama i incidentima, zatražiti podatke i dokumentaciju potrebnu za ocjenjivanje proporcionalnosti mjera te zatražiti izvješća o provedenim revizijama kibernetičke sigurnosti i druge relevantne dokaze o provedbi politika iz članka 30. Zakona. Kod ključnih subjekata nadležno tijelo može, uz korektivne mjere iz članka 82., na određeno razdoblje imenovati i službenika za praćenje ispunjavanja zahtjeva kibernetičke sigurnosti (čl. 83.).

Periodične provjere. Iz prekršajnih odredaba proizlazi da ključni subjekt provodi reviziju kibernetičke sigurnosti najmanje jednom u dvije godine (članak 34. Zakona, u vezi s čl. 101.), a važni subjekt samoprocjenu kibernetičke sigurnosti najmanje jednom u dvije godine (članak 35. Zakona, u vezi s čl. 102.). Oba postupka oslanjaju se na postojeću dokumentaciju.

Poslovni partneri. Budući da članak 30. stavak 2. traži da subjekt pri procjeni proporcionalnosti mjera uzme u obzir ranjivosti i sigurnosnu praksu svojih izravnih dobavljača i pružatelja usluga, tvrtke u lancu opskrbe istu dokumentaciju redovito traže i od svojih dobavljača.

Financijske posljedice su propisane. Za nepoduzimanje propisanih mjera iz članka 26. ključnom subjektu prijeti novčana kazna od 10.000,00 eura do 10.000.000,00 eura ili od 0,5 % do najviše 2 % ukupnoga godišnjeg prometa na svjetskoj razini iz prethodne financijske godine, ovisno o tome koji je iznos veći (čl. 101.). Za važne subjekte raspon je od 5000,00 eura do 7.000.000,00 eura ili od 0,2 % do najviše 1,4 % ukupnoga godišnjeg prometa (čl. 102.). Fizičke osobe odgovorne za upravljanje mjerama prema članku 29. kažnjavaju se novčanom kaznom od 1000,00 do 6000,00 eura kod ključnog subjekta, odnosno od 500,00 do 3000,00 eura kod važnog subjekta.