Politika obvladovanja tveganj za kibernetsko varnost po ZInfV-1: kaj mora dokument dejansko vsebovati

Kje je zapisana vsebina dokumenta

Direktivo NIS2 v Sloveniji prenaša Zakon o informacijski varnosti (ZInfV-1), objavljen v Uradnem listu RS št. 40/25. Osrednja določba o vsebini varnostnih ukrepov – slovenska ustreznica člena 21(2) direktive (EU) 2022/2555 – je 22. člen (ukrepi za obvladovanje tveganj).

Prvi odstavek 22. člena določa, da morajo bistveni in pomembni subjekti sprejeti tehnične, operativne in organizacijske ukrepe za celovitost, avtentičnost, zaupnost in razpoložljivost omrežnih in informacijskih sistemov, ki jih uporabljajo za svoje delovanje ali opravljanje storitev.

Za dokument to pomeni preprosto stvar: struktura politike naj sledi točkam drugega odstavka 22. člena, tako da je za vsako poglavje razvidno, katero zakonsko zahtevo pokriva. Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (10. člen ZInfV-1).

Sedemnajst vsebinskih sklopov iz drugega odstavka 22. člena

Zakon določa: „Varnostni ukrepi morajo temeljiti na pristopu upoštevanja vseh nevarnosti, katerega namen je zaščita omrežnih in informacijskih sistemov ter njihovega fizičnega okolja pred incidenti, in morajo obsegati najmanj" (ZInfV-1, 22. člen, drugi odstavek).

Sledi sedemnajst oštevilčenih točk. To so hkrati naravna poglavja politike:

• 1. podpora vodstva subjekta ter vključitev področja v letni načrt poslovanja ali letni program dela
• 2. integriteta kadrov pred zaposlitvijo, med njo in ob prenehanju ali spremembi zaposlitve, v skladu s 23. členom
• 3. osnovne prakse kibernetske higiene in usposabljanje
• 4. varnost človeških virov, preverjanje identitete uporabnikov, ravni dostopnosti informacij in upravljanje pooblastil za dostop
• 5. izvajanje in upravljanje varnostnih kopij podatkov
• 6. dnevniški zapisi o delovanju sistemov, v skladu s 24. členom
• 7. upravljanje sistemov z določitvijo ustrezne odgovornosti za njihovo zaščito
• 8. politike in postopki glede kriptografije in po potrebi šifriranja
• 9. upravljanje prometa in komunikacij
• 10. varnost dobavne verige z minimalnimi zahtevami za ključne dobavitelje ali ponudnike storitev
• 11. fizično in tehnično varovanje prostorov s ključnimi deli sistemov
• 12. varnostni mehanizmi v aplikativni programski opremi, vključno z varnostjo pri pridobivanju, razvoju in vzdrževanju sistemov ter obravnavanjem in razkrivanjem ranljivosti
• 13. upravljanje in preprečevanje izrab tehničnih ranljivosti
• 14. zaščita pred zlonamerno programsko kodo, zaznavanje poskusov vdorov in preprečevanje incidentov
• 15. večfaktorska avtentikacija ali rešitve neprekinjene avtentikacije, kadar je to potrebno zaradi obvladovanja tveganj
• 16. varovane glasovne, video in besedilne komunikacije ter varni sistemi za komunikacije v sili, kadar je to glede na dejavnost primerno
• 17. politike in postopki glede uporabe oblačnih storitev

Vsako poglavje naj nosi svoje sklicevanje (npr. „22. člen, drugi odstavek, 10. točka"). Tako je pozneje vidno, katera zahteva je pokrita s katerim opisom.

Sorazmernost: zakaj se dve politiki upravičeno razlikujeta

Tretji odstavek 22. člena zahteva, da ukrepi ob upoštevanju najsodobnejših in ustreznih evropskih in mednarodnih standardov ter stroškov izvajanja dosegajo raven varnosti, ki ustreza obstoječim ali prepoznanim tveganjem. Nato zakon določa: „Pri ocenjevanju sorazmernosti varnostnih ukrepov bistveni in pomembni subjekti ustrezno upoštevajo:" (ZInfV-1, 22. člen, tretji odstavek), in sicer:

• stopnjo izpostavljenosti tveganjem,
• velikost subjekta,
• verjetnost pojava incidentov in
• resnost morebitnih incidentov, vključno z njihovim družbenim in gospodarskim vplivom.

Zato dokument ni predloga, ki bi jo bilo mogoče prenesti iz enega podjetja v drugo. Politika naj vsebuje kratko utemeljitev sorazmernosti – opis teh štirih dejavnikov za vaše podjetje – iz katere je razvidno, zakaj je posamezen ukrep zasnovan tako, kot je. Pristop upoštevanja vseh nevarnosti pomeni, da poleg kibernetskih groženj obravnavate tudi fizično okolje sistemov (22. člen, drugi odstavek, 11. točka).

Kateri deli so odvisni od profila podjetja

Zakon deli zavezance na bistvene subjekte in pomembne subjekte (7. člen). Med bistvene subjekte sodijo med drugim vrste subjektov iz Priloge 1 z vsaj 250 zaposlenimi ali letnim prometom vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov, ponudniki kvalificiranih storitev zaupanja, registri TLD imen in ponudniki storitev DNS ne glede na velikost, ter subjekti javne uprave na državni ravni (7. člen, drugi odstavek). Pomembni subjekti so predvsem vrste subjektov iz Priloge 2 in drugi zavezanci, ki niso bistveni subjekti (7. člen, tretji odstavek).

Na vsebino dokumenta vplivajo:

• sektor in vrsta subjekta – Priloga 1 (visoko kritični sektorji) ali Priloga 2 (drugi kritični sektorji);
• velikost in izpostavljenost – merila sorazmernosti iz tretjega odstavka 22. člena;
• vrsta storitev – za ponudnike storitev DNS, registre TLD imen, ponudnike storitev računalništva v oblaku, podatkovnih centrov, omrežij za dostavo vsebine, upravljanih in upravljanih varnostnih storitev, spletnih tržnic, spletnih iskalnikov, platform za storitve družbenega mreženja in storitev zaupanja se pri sprejetju ukrepov upoštevajo izvedbeni akti Evropske komisije (22. člen, šesti odstavek); za preostale zavezance velja sedmi odstavek istega člena;
• odvisnosti od dobaviteljev – četrti odstavek 22. člena zahteva upoštevanje ranljivosti, specifičnih za posameznega neposrednega dobavitelja in ponudnika storitev, ter splošne kakovosti njihovih proizvodov in praks, vključno z varnimi razvojnimi postopki.

Potrditev vodstva, nadzor in usposabljanje

Politika ni dokument oddelka za informatiko. Prva točka drugega odstavka 22. člena izrecno zahteva podporo vodstva subjekta ter vključitev področja informacijske in kibernetske varnosti v letni načrt poslovanja ali letni program dela.

Na ravni EU je to izraženo v členu 20(1) direktive (EU) 2022/2555: upravljalni organi bistvenih in pomembnih subjektov odobrijo ukrepe za obvladovanje tveganj za kibernetsko varnost, nadzorujejo njihovo izvajanje in lahko odgovarjajo za kršitve.

V praksi to pomeni, da naj dokument vsebuje:

• zapis o sprejetju in datumu potrditve s strani vodstva,
• imenovanje odgovornosti za zaščito posameznih sistemov (22. člen, drugi odstavek, 7. točka),
• program osnovnih praks kibernetske higiene in usposabljanja (22. člen, drugi odstavek, 3. točka),
• ravnanje s kadri pred zaposlitvijo, med njo in ob prenehanju ali spremembi zaposlitve (22. člen, drugi odstavek, 2. točka, v povezavi s 23. členom).

Kaj naredi politiko preverljivo

Trinajsti odstavek 22. člena določa lastnosti, ki jih morajo imeti varnostni ukrepi: učinkoviti, prilagojeni, skladni, sorazmerni s tveganji, konkretni in „preverljivi tako, da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi" (ZInfV-1, 22. člen, trinajsti odstavek, 6. točka).

Peti odstavek 22. člena dodaja ritem preverjanja: najmanj enkrat letno ali v rednih obdobjih, opredeljenih v politiki in postopkih za presojo učinkovitosti ukrepov, in ob zaznanih ranljivostih je treba preveriti izpolnjevanje varnostnih ukrepov; ob ugotovljenem pomanjkljivem ali neustreznem izvajanju je treba nemudoma sprejeti vse potrebne, ustrezne in sorazmerne popravne ukrepe.

Zato naj vsak sklop politike vsebuje: zahtevo z natančnim sklicem, opis izvedbe, odgovorno osebo, obdobje preverjanja in vrsto dokazila. Podrobnosti o statusu zavezanca in o načinu izpolnjevanja obveznosti potrdite v objavljenih smernicah pristojnega nadzornega organa: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir).