NIS2 v Sloveniji: kaj morajo storiti banke in kreditne institucije

Kratek odgovor: da, bančništvo je zajeto

Kreditne institucije so zajete v slovenski zakon, s katerim je prenesena direktiva (EU) 2022/2555. Zakon o informacijski varnosti (Uradni list RS, št. 40/25; ZInfV-1) v Prilogi 1 (visoko kritični sektorji) navaja sektor 3. Bančništvo in kot vrsto subjekta kreditne institucije, opredeljene v predpisih Evropske unije o bonitetnih zahtevah.

Ali je vaša institucija bistveni subjekt ali pomembni subjekt, določa 7. člen ZInfV-1 na podlagi velikostnih pragov. Prvi korak je torej preprost: ugotovite, ali vaša dejavnost ustreza opredelitvi kreditne institucije iz Priloge 1, nato izmerite število zaposlenih, letni promet in letno bilančno vsoto ter na tej podlagi določite svoj razred zavezanca. Šele nato se lotite vsebine obveznosti iz 22. člena in postopka priglasitve iz 30. člena.

Kako zakon poimenuje sektor bančništva

Besedilo Priloge 1 ZInfV-1 sektor opredeljuje dobesedno takole:

> 3. Bančništvo ‒ kreditne institucije, kot so opredeljene v 1. točki 4. člena Uredbe št. 575/2013/EU

To je celotna opredelitev sektorja – zakon ne dodaja dodatnih meril glede vrste bančnih storitev, velikosti mreže poslovalnic ali obsega digitalnih kanalov. Odločilno je, ali subjekt ustreza opredelitvi kreditne institucije iz navedenega evropskega predpisa.

Loči se od njega sektor 4. Infrastruktura finančnega trga, ki v isti prilogi zajema upravljavce mest trgovanja (opredeljene v 26. členu Zakona o trgu finančnih instrumentov, ZTFI-1) in centralne nasprotne stranke. Če skupina opravlja obe vrsti dejavnosti, je smiselno oceniti položaj vsake pravne osebe posebej.

Posebnost za bančništvo določa 7. člen ZInfV-1: Banka Slovenije, Agencija za trg vrednostnih papirjev in Agencija za zavarovalni nadzor pristojnemu nacionalnemu organu pošljejo poimenski seznam subjektov, ki opravljajo storitve upravljanja storitev IKT iz sektorja 3. Bančništvo ali sektorja 4. Infrastrukture finančnega trga.

Bistveni ali pomembni subjekt: kateri pragovi odločajo

Razvrstitev ureja 7. člen ZInfV-1.

Bistveni subjekt je subjekt vrste iz Priloge 1 – torej tudi kreditna institucija – ki izpolnjuje vsaj eno od naslednjih meril:

Bistveni subjekti so po istem členu tudi subjekti, ki so kot kritični določeni na podlagi zakona, ki ureja kritično infrastrukturo, ter subjekti iz Priloge 1, ki jih s posebno odločbo določi vlada na predlog pristojnega nacionalnega organa.

Pomembni subjekt je med drugim vsak drug zavezanec, ki ni bistveni subjekt po drugem odstavku 7. člena. Manjša kreditna institucija, ki ne dosega nobenega od zgornjih pragov, torej praviloma ni zunaj zakona – spremeni se le njen razred, s tem pa raven nadzora in razpon glob.

Zoper odločbe, s katerimi vlada določi posamezne zavezance, pritožba ni dovoljena, dovoljen pa je upravni spor (7. člen).

Temeljne obveznosti: varnostni ukrepi in vloga vodstva

22. člen ZInfV-1 nalaga bistvenim in pomembnim subjektom sprejetje tehničnih, operativnih in organizacijskih varnostnih ukrepov. Zakon za bančništvo ne določa ločenega, sektorsko posebnega kataloga ukrepov – isti seznam iz drugega odstavka 22. člena velja za bistvene in pomembne subjekte enako. Ukrepi obsegajo najmanj:

• podporo vodstva subjekta ter vključitev informacijske in kibernetske varnosti v letni načrt poslovanja ali letni program dela;
• zagotavljanje integritete kadrov pred zaposlitvijo, med njo in ob prenehanju ali spremembi zaposlitve;
• osnovne prakse kibernetske higiene in usposabljanje;
• preverjanje identitete uporabnikov in upravljanje pooblastil za dostop;
• izvajanje in upravljanje varnostnih kopij podatkov;
• zagotavljanje in ohranjanje dnevniških zapisov;
• politike glede uporabe kriptografije in po potrebi šifriranja;
• upravljanje prometa in komunikacij;
• varnost dobavne verige z minimalnimi zahtevami za ključne dobavitelje in ponudnike storitev;
• fizično in tehnično varovanje prostorov s ključnimi deli sistemov;
• varnostne mehanizme v aplikativni programski opremi ter obravnavanje in razkrivanje ranljivosti;
• upravljanje in preprečevanje izrab tehničnih ranljivosti;
• zaščito pred zlonamerno programsko kodo in zaznavanje poskusov vdorov;
• večfaktorsko avtentikacijo ali rešitve neprekinjene avtentikacije, kadar je to potrebno;
• varovane glasovne, video in besedilne komunikacije ter varne sisteme za komunikacije v sili, kadar je to primerno;
• politike in postopke glede uporabe oblačnih storitev.

Ukrepi morajo temeljiti na pristopu upoštevanja vseh nevarnosti, ustrezati obstoječim tveganjem ter biti sorazmerni glede na izpostavljenost, velikost subjekta, verjetnost incidentov in njihovo resnost. Preverjati jih je treba najmanj enkrat letno (ali v obdobjih, opredeljenih v lastni politiki) in ob zaznanih ranljivostih; ob ugotovljenem pomanjkljivem izvajanju je treba nemudoma sprejeti popravne ukrepe. Ukrepi morajo biti tudi preverljivi, kar pomeni, da je treba na zahtevo pristojnega organa predložiti dokazila o njihovi izvedbi.

Direktiva (EU) 2022/2555 v art 20(1) določa, da poslovodni organi bistvenih in pomembnih subjektov ukrepe za obvladovanje tveganj odobrijo, nadzorujejo njihovo izvajanje in lahko odgovarjajo za kršitve. To ni naloga, ki bi jo bilo mogoče v celoti prenesti na oddelek IT.

Glede registracije zavezancev in točnega postopka prijave pri pristojnem nacionalnem organu preverite objavljene smernice: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir).

Priglasitev incidentov: roki in naslovnik

Postopek ureja 30. člen ZInfV-1. Bistveni in pomembni subjekti pomembne incidente priglasijo pristojni skupini CSIRT, in sicer:

• zgodnje sporočilo – nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta; po potrebi navede, ali je bil incident domnevno povzročen z nezakonitim ali zlonamernim dejanjem in ali bi lahko imel čezmejni vpliv;
• priglasitev incidenta – nemudoma, najpozneje pa v 72 urah po zaznavi; posodobi prejšnje informacije in vsebuje začetno oceno resnosti in vpliva ter, kadar so na voljo, kazalnike ogroženosti;
• vmesno poročilo – na zahtevo skupine CSIRT;
• končno poročilo – najpozneje v enem mesecu po predložitvi priglasitve incidenta, s podrobnim opisom incidenta, vrsto grožnje ali temeljnega vzroka, izvedenimi blažilnimi ukrepi in po potrebi čezmejnim vplivom;
• če incident ob predložitvi končnega poročila še vedno poteka, subjekt predloži poročilo o napredku, končno poročilo pa najpozneje en mesec po rešitvi incidenta.

Skupina CSIRT nemudoma in po možnosti v 24 urah po prejemu zgodnjega sporočila odgovori zavezancu z začetnimi povratnimi informacijami, na zahtevo pa tudi z usmeritvami glede blažilnih ukrepov. O pomembnem incidentu nemudoma obvesti pristojni nacionalni organ.

Praktična posledica za banko: rok teče od zaznave incidenta, zato mora biti pot od dežurne službe do osebe, ki je pooblaščena za priglasitev, vnaprej zapisana in preizkušena. Točen elektronski kanal za priglasitev preverite v objavljenih smernicah URSIV.

Globe in nadzor

Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (10. člen), ki naloge inšpekcijskega nadzora opravlja prek Inšpekcije za informacijsko varnost kot svoje notranje organizacijske enote.

Bistveni subjekti (52. člen) – za kršitve, med drugim glede varnostnih ukrepov iz 22. člena in priglasitve iz 30. člena:

• pravna oseba: globa od 0,5 odstotka do 2 odstotkov skupnega letnega prometa, doseženega v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji;
• samostojni podjetnik posameznik: od 5.000 do 25.000 eurov;
• odgovorna oseba pravne osebe: od 1.000 do 10.000 eurov.

Pomembni subjekti (53. člen) za primerljive kršitve:

• pravna oseba: globa od 0,3 odstotka do 1,4 odstotka skupnega letnega prometa, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji;
• samostojni podjetnik posameznik: od 3.000 do 20.000 eurov;
• odgovorna oseba pravne osebe: od 1.000 do 7.000 eurov.

Oba člena določata še nižje razpone glob za posamezne druge kršitve, na primer za neizpolnitev obveznosti iz 20., 25., 26., 28., 32. in 33. člena. Ker je globa vezana na promet, je za banko srednje velikosti odstotni razpon praviloma pomembnejši od nominalne zgornje meje.