NIS2 ukrepi za obvladovanje tveganj: praktičen kontrolni seznam po 22. členu ZInfV-1

Kaj zahteva NIS2 in kako to ureja slovenski zakon

Direktiva NIS2 v členu 21(1) določa, da morajo bistveni in pomembni subjekti sprejeti ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe za obvladovanje tveganj za varnost omrežnih in informacijskih sistemov ter za preprečevanje ali zmanjšanje vpliva incidentov.

V Sloveniji te zahteve prenaša Zakon o informacijski varnosti (ZInfV-1), objavljen v Uradnem listu RS št. 40/25. Osrednja določba je 22. člen (ukrepi za obvladovanje tveganj), ki od bistvenih in pomembnih subjektov zahteva sprejem varnostnih ukrepov, ki temeljijo na pristopu upoštevanja vseh nevarnosti (all-hazards).

Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (10. člen ZInfV-1).

Pomembno je izhodišče iz člena 20(1) direktive: vodstveni organi subjektov morajo ukrepe odobriti, nadzorovati njihovo izvajanje in so lahko odgovorni za kršitve. Prav zato prvi ukrep v slovenskem seznamu izrecno govori o podpori vodstva.

Deset skupin ukrepov po direktivi NIS2 (člen 21(2))

Direktiva v členu 21(2), točkah (a)–(j), določa minimalni nabor ukrepov, na katerih temelji vsak program skladnosti:

Po členu 21(4) direktive mora subjekt, ki ugotovi neskladnost s temi ukrepi, brez nepotrebnega odlašanja sprejeti vse potrebne, ustrezne in sorazmerne popravne ukrepe.

Kontrolni seznam po 22. členu ZInfV-1

Drugi odstavek 22. člena ZInfV-1 razčleni zahteve direktive v natančnejši nabor varnostnih ukrepov, ki morajo obsegati najmanj:

1. podpora vodstva in vključitev informacijske ter kibernetske varnosti v letni načrt poslovanja ali letni program dela; 2. integriteta kadrov pred zaposlitvijo, med njo in ob prenehanju (v skladu s 23. členom); 3. osnovne prakse kibernetske higiene in usposabljanje; 4. varnost človeških virov, preverjanje identitete uporabnikov, ravni dostopnosti informacij in upravljanje pooblastil za dostop; 5. izvajanje in upravljanje varnostnih kopij podatkov; 6. dnevniški zapisi o delovanju sistemov (v skladu s 24. členom); 7. upravljanje omrežnih in informacijskih sistemov z določitvijo odgovornosti za zaščito; 8. politike in postopki glede kriptografije in po potrebi šifriranja; 9. upravljanje prometa in komunikacij; 10. varnost dobavne verige z minimalnimi zahtevami za ključne dobavitelje in ponudnike storitev; 11. fizično in tehnično varovanje prostorov in dostopov, kjer so ključni deli sistemov; 12. varnostni mehanizmi v aplikativni programski opremi, vključno z varnostjo pri pridobivanju, razvoju in vzdrževanju ter obravnavanjem in razkrivanjem ranljivosti; 13. upravljanje in preprečevanje izrab tehničnih ranljivosti; 14. zaščita pred zlonamerno programsko kodo ter zaznavanje vdorov in preprečevanje incidentov; 15. večfaktorska ali neprekinjena avtentikacija, kadar je to potrebno zaradi obvladovanja tveganj; 16. varovane glasovne, video in besedilne komunikacije ter varni sistemi za komunikacije v sili, kadar je to primerno; 17. politike in postopki glede uporabe oblačnih storitev.

Slovenski zakon torej razširi deset skupin iz direktive v sedemnajst konkretnih točk. To pomeni, da je za praktično skladnost bolj uporaben seznam iz 22. člena ZInfV-1, saj je bolj podroben in operativen.

Sorazmernost, preverjanje in popravni ukrepi

Varnostni ukrepi morajo po tretjem odstavku 22. člena zagotavljati raven varnosti, ki ustreza obstoječim ali prepoznanim tveganjem, ob upoštevanju najsodobnejših evropskih in mednarodnih standardov ter stroškov izvajanja. Pri presoji sorazmernosti subjekti upoštevajo:

• stopnjo izpostavljenosti tveganjem,
• velikost subjekta,
• verjetnost pojava incidentov in
• resnost morebitnih incidentov, vključno z družbenim in gospodarskim vplivom.

Peti odstavek 22. člena zahteva redno preverjanje – najmanj enkrat letno ali v obdobjih, opredeljenih v politiki, ter ob zaznanih ranljivostih. Ob ugotovljenem pomanjkljivem izvajanju je treba nemudoma sprejeti potrebne, ustrezne in sorazmerne popravne ukrepe.

Dodatno velja iz osmega odstavka 22. člena: subjekti ne smejo uporabljati rešitev, v katerih so zaznane aktivno izkoriščane ranljivosti, brez dodatne ocene tveganja in ukrepov, ki tveganje znižajo na sprejemljivo raven.

Po trinajstem odstavku morajo biti ukrepi tudi preverljivi – na zahtevo pristojnega organa je treba predložiti dokazila o izvedbi.

Kaj tvega subjekt, ki ukrepov ne izvaja

Neizpolnjevanje obveznosti iz 22. člena je prekršek.

• Bistveni subjekt (52. člen ZInfV-1): globa od 0,5 % do 2 % skupnega letnega prometa, vendar ne manj kot 10.000 EUR in ne več kot 10.000.000 EUR, odvisno od tega, kateri znesek je višji.
• Pomembni subjekt (53. člen ZInfV-1): globa od 0,3 % do 1,4 % skupnega letnega prometa, vendar ne manj kot 7.000 EUR in ne več kot 7.000.000 EUR, odvisno od tega, kateri znesek je višji.

Razlika med statusoma bistveni subjekt in pomembni subjekt je opredeljena v 7. členu ZInfV-1 (med drugim po vrsti dejavnosti iz Priloge 1 oziroma Priloge 2 ter po velikostnih pragovih, kot je vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov EUR).

Ugotovite, v katero skupino spadate in katere od 17 točk 22. člena že izpolnjujete. Naš brezplačni pripomoček za oceno obsega in vrzeli vas vodi skozi kontrolni seznam in pokaže, kje so vaše največje vrzeli.