Kje začeti z dokumentacijo NIS2 v Sloveniji

Najprej celota: pet področij dokumentacije, ki jih zahteva zakon

Vodje podjetij najpogosteje vprašajo, kateri dokument naj pripravijo prvi. Koristneje je najprej videti celoto. Zakon o informacijski varnosti (ZInfV-1, Uradni list RS, št. 40/25) v 22. členu od bistvenih in pomembnih subjektov zahteva tehnične, operativne in organizacijske varnostne ukrepe, ki temeljijo na pristopu upoštevanja vseh nevarnosti. Ti ukrepi se v praksi zapišejo v dokumentacijo, ki jo je smiselno razumeti kot en povezan sklop petih področij.

1. Politika obvladovanja tveganj za informacijsko varnost. Drugi odstavek 22. člena ZInfV-1 zahteva nabor varnostnih ukrepov, ki morajo biti sorazmerni s stopnjo izpostavljenosti tveganjem, velikostjo subjekta, verjetnostjo pojava incidentov in resnostjo njihovih posledic (tretji odstavek 22. člena). Ustreza točki art 21(2)(a) Direktive 2022/2555/EU, ki govori o politikah o analizi tveganja in varnosti informacijskih sistemov. To je krovni dokument, v katerem podjetje opiše, kaj varuje, pred čim in s kakšnimi ukrepi.

2. Obvladovanje incidentov. Po 5. členu ZInfV-1 je obvladovanje incidentov opredeljeno kot vsa dejanja in postopki za preprečevanje, odkrivanje, analizo in zajezitev incidentov ali odzivanje nanje ter okrevanje po njih. Ustreza točki art 21(2)(b) direktive. Postopek mora podpreti tudi roke iz 30. člena ZInfV-1: zgodnje sporočilo nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta, priglasitev incidenta nemudoma, najpozneje pa v 72 urah, ter končno poročilo najpozneje v enem mesecu po predložitvi priglasitve.

3. Neprekinjeno poslovanje. Drugi odstavek 22. člena ZInfV-1 med ukrepi izrecno navaja izvajanje in upravljanje varnostnih kopij podatkov (5. točka). Točka art 21(2)(c) direktive to področje opredeljuje kot neprekinjeno poslovanje, vključno z upravljanjem varnostnih kopij, vnovično vzpostavitvijo delovanja po nepredvidljivih dogodkih in obvladovanjem kriz. Dokumentacija opisuje, kako se storitve ponovno vzpostavijo in v kakšnem obsegu.

4. Varnost dobavne verige. Deseta točka drugega odstavka 22. člena ZInfV-1 zahteva določitev ustreznih minimalnih zahtev za ključne dobavitelje ali ponudnike storitev, in sicer za odnose z neposrednimi dobavitelji. Četrti odstavek istega člena dodaja, da subjekti upoštevajo ranljivosti posameznega dobavitelja in splošno kakovost njegovih praks ter da lahko izvajanje ukrepov pri dobaviteljih tudi preverjajo. Ustreza točki art 21(2)(d) direktive.

5. Odgovornost vodstva in usposabljanje. Prva točka drugega odstavka 22. člena ZInfV-1 zahteva podporo vodstva subjekta pri zagotavljanju informacijske in kibernetske varnosti ter vključitev tega področja v letni načrt poslovanja ali letni program dela; tretja točka zahteva osnovne prakse kibernetske higiene in usposabljanje. To ustreza art 20(1) Direktive 2022/2555/EU, po katerem poslovodni organi odobrijo ukrepe za obvladovanje tveganj in nadzirajo njihovo izvajanje.

Šele zdaj prvi korak: politika obvladovanja tveganj

Ko je celota pred vami, postane vrstni red očiten. Naravni prvi korak je politika obvladovanja tveganj — prva od petih vsebin in dokument, na katerem stojijo preostale štiri.

Razlog je vsebinski, ne organizacijski. Ocena tveganj določi, kateri sistemi in podatki so za podjetje ključni; brez tega ni mogoče smiselno določiti, kateri incidenti so pomembni, katere storitve je treba najhitreje vnovič vzpostaviti, kateri dobavitelji so ključni in katere teme sodijo v usposabljanje zaposlenih. Tretji odstavek 22. člena ZInfV-1 od ukrepov zahteva raven varnosti, ki ustreza obstoječim ali prepoznanim tveganjem — prepoznava tveganj je torej predpogoj za sorazmernost vseh drugih ukrepov.

Peti odstavek 22. člena določa tudi ritem: izpolnjevanje varnostnih ukrepov je treba preverjati najmanj enkrat letno ali v rednih obdobjih, opredeljenih v politiki in postopkih za presojo učinkovitosti ukrepov, ter ob zaznanih ranljivostih. Ob ugotovljenem pomanjkljivem ali neustreznem izvajanju je treba nemudoma sprejeti potrebne, ustrezne in sorazmerne popravne ukrepe. Politika torej ni enkraten dokument, temveč okvir, ki se vzdržuje.

Nadzor in naročniki gledajo sklop, ne enega dokumenta

To je dejstvo, ki ga velja upoštevati pri načrtovanju: dokumentacija se preverja kot celota.

Trinajsti odstavek 22. člena ZInfV-1 med lastnostmi varnostnih ukrepov navaja, da morajo biti preverljivi, tako da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi. Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV), ki po 26. točki drugega odstavka 10. člena ZInfV-1 opravlja naloge inšpekcijskega nadzora prek Inšpekcije za informacijsko varnost.

Zakon opredeljuje tudi, kaj tak nadzor obsega. Po 11. točki 5. člena ZInfV-1 inšpektor v inšpekcijskem varnostnem pregledu izvede identifikacijo in oceno morebitnih ranljivosti v omrežnih in informacijskih sistemih, preizkusi učinkovitost varnostnih ukrepov oziroma mehanizmov in izpostavljenost kibernetskim grožnjam ter preveri ustreznost učinkovitega zaznavanja in obravnavanja kibernetskih incidentov. Neizpolnjevanje obveznosti iz 22. člena je opredeljeno kot prekršek v 52. členu (bistveni subjekti) in 53. členu (pomembni subjekti) ZInfV-1.

Enaka logika velja pri naročnikih. Ker gre za zahteve po dokazilih o izvedenih ukrepih, se v praksi zahteva sklop dokumentov — politika, postopek za incidente, načrt neprekinjenega poslovanja, zahteve za dobavitelje in evidenca usposabljanj — in ne posamičen zapis.

Krog dobavne verige: zakaj dokazila zahtevajo tudi manjši dobavitelji

Zahteve po dokumentaciji se ne ustavijo pri zavezancih. Bistveni in pomembni subjekti morajo po 10. točki drugega odstavka 22. člena ZInfV-1 določiti minimalne zahteve, povezane z informacijsko in kibernetsko varnostjo, za svoje ključne dobavitelje ali ponudnike storitev. Po četrtem odstavku istega člena lahko izvajanje teh ukrepov pri dobaviteljih in ponudnikih storitev tudi preverjajo.

Posledica je preprosta: podjetje, ki samo ni bistveni ali pomembni subjekt, lahko vseeno prejme zahtevo naročnika, naj predloži dokazila o svojih varnostnih ukrepih — najpogosteje prav dokumente iz petih zgoraj naštetih področij. Za dobavitelja je zato koristno, da ima sklop pripravljen, še preden ga naročnik zahteva, in da ve, kateri dokument na katero vprašanje odgovarja.

Praktični vrstni red za manjše podjetje

Priporočljivo zaporedje sledi vsebinski odvisnosti dokumentov:

• Preverite svoj status. Ali sodite med bistvene ali pomembne subjekte, določata 7. člen ZInfV-1 ter Prilogi 1 in 2 zakona; merila vključujejo vrsto dejavnosti in velikostna merila (na primer vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letna bilančna vsota vsaj 43 milijonov eurov za vrste subjektov iz Priloge 1). Za to je uporabno kratko preverjanje zavezanosti oziroma samoocena.
• Pripravite politiko obvladovanja tveganj s popisom ključnih sistemov in oceno tveganj.
• Iz nje izpeljite postopek za obravnavo incidentov, usklajen z roki iz 30. člena ZInfV-1.
• Dodajte načrt neprekinjenega poslovanja z varnostnimi kopijami in ponovno vzpostavitvijo delovanja.
• Določite varnostne zahteve za ključne dobavitelje.
• Zapišite vlogo vodstva in program usposabljanja, vključno z uvrstitvijo področja v letni načrt poslovanja.

Za vprašanja, ki jih besedilo zakona ne razrešuje neposredno — na primer točen elektronski kanal za priglasitev pri pristojni skupini CSIRT — preverite objavljene smernice pristojnega nadzornega organa: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) kot uradni vir. Zavezujoče je uradno besedilo ZInfV-1.