Kako v nekaj minutah nastane dokument po NIS2, prilagojen vašemu podjetju

Zakaj priprava dokumenta po NIS2 ne zahteva več tednov

Dokument po NIS2 ni prosto besedilo. Njegova vsebina je določena vnaprej — z zakonom, ki v Sloveniji prenaša direktivo (EU) 2022/2555, torej z Zakonom o informacijski varnosti (Uradni list RS, št. 40/25; ZInfV-1). Ko so pravni viri preverjeni in dobesedno zapisani vnaprej, se izdelava dokumenta spremeni iz raziskovanja v sestavljanje.

To omogočajo trije elementi:

• Pravna podlaga je fiksna. Vsebino varnostnih ukrepov določa 22. člen ZInfV-1, ki v drugem odstavku našteva sedemnajst obveznih sklopov ukrepov. Enakovredna določba direktive je art 21(2). Kaj mora dokumentacija pokriti, torej ni stvar presoje pisca.
• Profil podjetja določa obseg obveznosti. Sektor (Priloga 1 ali Priloga 2 ZInfV-1), velikost podjetja in razvrstitev subjekta po 7. členu ZInfV-1 povedo, kateri del obveznosti velja za konkretno podjetje.
• Vsaka pravna trditev nosi svoj vir. Če je ob vsaki navedbi zapisano ime zakona in člen, lahko inšpektor ali naročnik posamezno trditev preveri neposredno v uradnem besedilu.

Izraz minute se nanaša izključno na ta način sestavljanja iz vnaprej preverjenih virov, ne na kakršno koli obljubo o rezultatu.

Pet področij dokumentacije — najprej celotna slika

Preden se lotite prvega dokumenta, je koristno videti celoto. Dokumentacija po ZInfV-1 se smiselno razdeli na pet področij:

1. Politika obvladovanja tveganj. Prvi odstavek 22. člena ZInfV-1 zahteva tehnične, operativne in organizacijske ukrepe za zagotavljanje celovitosti, avtentičnosti, zaupnosti in razpoložljivosti omrežnih in informacijskih sistemov. Drugi odstavek istega člena določa najmanjši nabor ukrepov, med njimi analizo tveganj, upravljanje pooblastil za dostop, kriptografijo in kibernetsko higieno. V direktivi temu ustreza art 21(2)(a).

2. Obravnava incidentov. ZInfV-1 v 28. točki 5. člena obvladovanje incidentov opredeljuje kot vsa dejanja in postopke za preprečevanje, odkrivanje, analizo in zajezitev incidentov ter okrevanje po njih. Postopek priglasitve ureja 30. člen: zgodnje sporočilo nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta, nato priglasitev incidenta najpozneje v 72 urah po zaznavi, končno poročilo pa najpozneje v enem mesecu po priglasitvi. Ustrezna določba direktive je art 21(2)(b).

3. Neprekinjeno poslovanje. Direktiva v art 21(2)(c) navaja neprekinjeno poslovanje, upravljanje varnostnih kopij, vnovično vzpostavitev delovanja in obvladovanje kriz. ZInfV-1 to zajame v 5. točki drugega odstavka 22. člena, ki zahteva izvajanje in upravljanje varnostnih kopij podatkov, ter v 6. točki, ki zahteva dnevniške zapise v skladu s 24. členom.

4. Varnost dobavne verige. Deseta točka drugega odstavka 22. člena zahteva določitev ustreznih minimalnih zahtev za ključne dobavitelje ali ponudnike storitev. Četrti odstavek istega člena dodaja, da subjekti pri presoji upoštevajo ranljivosti posameznega neposrednega dobavitelja in splošno kakovost njegovih praks ter da lahko izvajanje ukrepov pri dobaviteljih tudi preverjajo.

5. Odgovornost vodstva. Prva točka drugega odstavka 22. člena izrecno zahteva podporo vodstva subjekta pri zagotavljanju informacijske in kibernetske varnosti ter vključitev tega področja v letni načrt poslovanja ali letni program dela. Direktiva v art 20(1) določa, da poslovodni organi ukrepe potrdijo, nadzorujejo njihovo izvajanje in lahko odgovarjajo za kršitve.

Kaj naredi dokument prilagojen konkretnemu podjetju

Dokument je specifičen za podjetje takrat, ko je iz profila podjetja izpeljano, kateri del zakona zanj velja. Odločilni so trije podatki:

Po 1. točki drugega odstavka 7. člena so bistveni subjekt vrste subjektov iz Priloge 1, ki imajo vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov. Ne glede na velikost so bistveni subjekt ponudniki kvalificiranih storitev zaupanja, registri TLD imen in ponudniki storitev DNS (2. točka drugega odstavka). Za ponudnike javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev velja prag vsaj 50 zaposlenih in letni promet ali letna bilančna vsota vsaj 10 milijonov eurov (3. točka drugega odstavka).

Pomembni subjekt so po tretjem odstavku 7. člena vrste subjektov iz Priloge 2 ter drugi subjekti ali organi iz 6. člena, ki niso bistveni subjekt. Razvrstitev vpliva tudi na razpon glob: 52. člen ZInfV-1 za bistvene subjekte določa globo od 0,5 do 2 odstotkov skupnega letnega prometa, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, 53. člen pa za pomembne subjekte od 0,3 do 1,4 odstotka, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov.

Če za svoje podjetje statusa zavezanca še niste potrdili, ga preverite po objavljenih smernicah Urada Vlade Republike Slovenije za informacijsko varnost (URSIV) kot uradnem viru.

Prvi od petih korakov: politika obvladovanja tveganj

Politika obvladovanja tveganj je temeljni dokument, ker se nanjo naslanjajo vsi drugi štirje sklopi. Vsebinski okvir daje 22. člen ZInfV-1.

Drugi odstavek zahteva pristop upoštevanja vseh nevarnosti in obsega med drugim podporo vodstva, integriteto kadrov pred zaposlitvijo, med njo in ob prenehanju (23. člen), osnovne prakse kibernetske higiene in usposabljanje, upravljanje pooblastil za dostop, varnostne kopije, dnevniške zapise (24. člen), politike glede kriptografije, varnost dobavne verige, fizično in tehnično varovanje prostorov, upravljanje tehničnih ranljivosti, zaščito pred zlonamerno programsko kodo, večfaktorsko avtentikacijo, kadar je to potrebno zaradi obvladovanja tveganj, ter politike glede uporabe oblačnih storitev.

Obseg ni za vse enak. Tretji odstavek 22. člena določa, da se pri sorazmernosti ukrepov upoštevajo stopnja izpostavljenosti tveganjem, velikost subjekta, verjetnost pojava incidentov in resnost morebitnih incidentov, vključno z njihovim družbenim in gospodarskim vplivom. Politika mora zato jasno pokazati, zakaj je posamezen ukrep za to podjetje ustrezen.

Peti odstavek dodaja ritem: izpolnjevanje varnostnih ukrepov je treba preverjati najmanj enkrat letno ali v rednih obdobjih, opredeljenih v politiki in postopkih za presojo učinkovitosti, ter ob zaznanih ranljivostih. Ob ugotovljenem pomanjkljivem ali neustreznem izvajanju je treba nemudoma sprejeti potrebne, ustrezne in sorazmerne popravne ukrepe. Trinajsti odstavek pa zahteva, da so ukrepi učinkoviti, prilagojeni, sorazmerni s tveganji, konkretni in preverljivi, tako da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi.

Zakaj nadzorni organ in naročniki sprašujejo po dokumentaciji z viri

Zahteva po preverljivosti ni teoretična. Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (10. člen ZInfV-1), ki naloge inšpekcijskega nadzora opravlja prek Inšpekcije za informacijsko varnost kot svoje notranje organizacijske enote (26. točka drugega odstavka 10. člena).

ZInfV-1 v 11. točki 5. člena opredeljuje inšpekcijski varnostni pregled kot postopek, v katerem inšpektor pri zavezancu identificira in oceni morebitne ranljivosti v omrežnih in informacijskih sistemih, preizkusi učinkovitost varnostnih ukrepov in mehanizmov ter izpostavljenost kibernetskim grožnjam, poleg tega pa preveri ustreznost zaznavanja in obravnavanja kibernetskih incidentov.

Drugi vir vprašanj so naročniki. Četrti odstavek 22. člena bistvenim in pomembnim subjektom omogoča, da izvajanje varnostnih ukrepov preverjajo pri svojih dobaviteljih in ponudnikih storitev. Kdor je torej dobavitelj zavezanca, se z istimi vprašanji sreča v postopku nabave — in dokument, v katerem je ob vsaki pravni navedbi zapisano ime zakona in člen, je tam mogoče preveriti brez dodatnega dopisovanja.

Dokumentacija sama po sebi ni dokazilo o izvedbi ukrepov; zakon zahteva oboje — ukrepe in dokazila o njihovi izvedbi. Za postopkovne podrobnosti, na primer točen kanal za priglasitev pri pristojni skupini CSIRT, so merodajne objavljene smernice Urada Vlade Republike Slovenije za informacijsko varnost (URSIV) in uradno besedilo ZInfV-1.