NIS2 v Sloveniji: kaj Zakon o informacijski varnosti (ZInfV-1) dejansko zahteva od podjetja

Kateri zakon velja in kdo je zavezanec

Direktivo NIS2 v Sloveniji prenaša Zakon o informacijski varnosti, Uradni list RS št. 40/25 (ZInfV-1). Zakon po lastnih besedah ureja »področje informacijske in kibernetske varnosti« in določa nacionalni sistem informacijske varnosti v Republiki Sloveniji (1. člen). Poleg tega določa ukrepe za obvladovanje tveganj za informacijsko in kibernetsko varnost, obveznost poročanja zavezancev ter nadzor (1. člen, drugi odstavek).

Zavezanci se delijo na dve statutarni skupini: bistveni subjekt in pomembni subjekt (7. člen). Med bistvene subjekte spadajo na primer vrste subjektov iz Priloge 1, ki imajo vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov, pa tudi ponudniki kvalificiranih storitev zaupanja, registri TLD imen in ponudniki storitev DNS ne glede na velikost (7. člen, drugi odstavek). Pomembni subjekti so praviloma vrste subjektov iz Priloge 2 in drugi zavezanci, ki niso bistveni subjekti (7. člen, tretji odstavek).

Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (10. člen), ki med drugim opravlja naloge inšpekcijskega nadzora prek Inšpekcije za informacijsko varnost (10. člen, 26. točka drugega odstavka).

Varnostni ukrepi kot ena celota: pet jeder dokumentacije

Osrednja obveznost je zapisana v 22. členu. Zakon določa: »Bistveni in pomembni subjekti morajo sprejeti tehnične, operativne in organizacijske ukrepe za zagotavljanje celovitosti, avtentičnosti, zaupnosti in razpoložljivosti omrežnih in informacijskih sistemov oziroma za obvladovanje tveganj za varnost omrežnih in informacijskih sistemov, ki jih uporabljajo za svoje delovanje ali opravljanje storitev« (ZInfV-1, 22. člen, prvi odstavek). Ukrepi niso seznam ločenih nalog, temveč povezana celota, ki mora temeljiti na pristopu upoštevanja vseh nevarnosti (22. člen, drugi odstavek).

1. Politika obvladovanja tveganj. Varnostni ukrepi morajo zagotavljati raven varnosti, ki ustreza obstoječim ali prepoznanim tveganjem, pri čemer se upoštevajo najsodobnejši evropski in mednarodni standardi ter stroški izvajanja (22. člen, tretji odstavek). Pri presoji sorazmernosti se upoštevajo stopnja izpostavljenosti tveganjem, velikost subjekta, verjetnost pojava incidentov in resnost morebitnih incidentov. To je dokument, ki opredeli, kaj sploh varujete in zakaj.

2. Obvladovanje incidentov. Zakon zahteva zaščito pred zlonamerno programsko kodo ter način zaznavanja poskusov vdorov in preprečevanja incidentov (22. člen, drugi odstavek, 14. točka) ter zagotavljanje in ohranjanje dnevniških zapisov (22. člen, drugi odstavek, 6. točka). Obvladovanje incidentov so po 5. členu vsa dejanja in postopki za preprečevanje, odkrivanje, analizo in zajezitev incidentov ali odzivanje nanje ter okrevanje po njih. Postopek mora biti zapisan, ker se roki iz 30. člena merijo od zaznave.

3. Neprekinjeno poslovanje. Med obveznimi ukrepi je izvajanje in upravljanje varnostnih kopij podatkov (22. člen, drugi odstavek, 5. točka), skupaj z upravljanjem omrežnih in informacijskih sistemov ter določitvijo ustrezne odgovornosti za njihovo zaščito (7. točka). Direktiva to področje opredeljuje kot neprekinjeno poslovanje, vključno z vnovično vzpostavitvijo delovanja po nepredvidljivih dogodkih (direktiva (EU) 2022/2555, art 21(2)(c)). V praksi to pomeni dokumentiran načrt obnove, ne le obstoječe varnostne kopije.

4. Varnost dobavne verige. Zakon med minimalne ukrepe uvršča »varnost dobavne verige z določitvijo ustreznih minimalnih zahtev, povezanih z informacijsko in kibernetsko varnostjo, za ključne dobavitelje ali ponudnike storitev« (ZInfV-1, 22. člen, drugi odstavek, 10. točka). Zahteve se nanašajo na odnose med subjektom in njegovimi neposrednimi dobavitelji ali ponudniki storitev. To je slovenska ustreznica določbe art 21(2)(d) direktive (EU) 2022/2555.

5. Odgovornost vodstva. Prva alineja seznama ukrepov je podpora vodstva subjekta pri zagotavljanju informacijske in kibernetske varnosti ter vključitev tega področja v letni načrt poslovanja ali letni program dela (22. člen, drugi odstavek, 1. točka). Med obveznimi ukrepi so tudi osnovne prakse kibernetske higiene in usposabljanje na področju informacijske in kibernetske varnosti (3. točka). Po direktivi poslovodni organi ukrepe odobrijo, nadzorujejo njihovo izvajanje in lahko odgovarjajo za kršitve (direktiva (EU) 2022/2555, art 20(1)).

Priglasitev pomembnih incidentov: roki, ki tečejo od zaznave

Bistveni in pomembni subjekti pomembne incidente priglasijo pristojni skupini CSIRT (30. člen). Zakon določa naslednje korake:

• Zgodnje sporočilo – nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta; iz njega je po potrebi razvidno, ali je bil incident domnevno povzročen z nezakonitim ali zlonamernim dejanjem in ali bi lahko imel čezmejni vpliv (30. člen, prvi odstavek, 1. točka).
• Priglasitev incidenta – nemudoma, najpozneje pa v 72 urah po zaznavi, z začetno oceno incidenta, njegovo resnostjo in vplivom ter kazalniki ogroženosti, kadar so na voljo (30. člen, prvi odstavek, 2. točka).
• Vmesno poročilo – na zahtevo skupine CSIRT (30. člen, prvi odstavek, 3. točka).
• Končno poročilo – najpozneje v enem mesecu po predložitvi priglasitve incidenta, s podrobnim opisom incidenta, vrsto grožnje ali temeljnega vzroka ter izvedenimi blažilnimi ukrepi (30. člen, prvi odstavek, 4. točka).

Za ponudnike storitev zaupanja velja posebna ureditev iz drugega odstavka 30. člena. Točen elektronski kanal za priglasitev preverite v objavljenih smernicah pristojnega nadzornega organa: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir).

Zakaj zahteve dobijo tudi podjetja zunaj dosega zakona

Varnost dobavne verige ustvarja verižni učinek, ki sega čez krog zavezancev. Ker mora vsak bistveni in pomembni subjekt svojim ključnim dobaviteljem ali ponudnikom storitev določiti minimalne varnostne zahteve (22. člen, drugi odstavek, 10. točka), te zahteve po pogodbah potujejo naprej k podjetjem, ki sama niso zavezanci.

Zakon gre še korak dlje. Subjekti morajo pri presoji ukrepov za varnost dobavne verige upoštevati ranljivosti, ki so specifične za posameznega neposrednega dobavitelja in ponudnika storitev, ter splošno kakovost njihovih proizvodov in praks na področju kibernetske varnosti, vključno z varnimi razvojnimi postopki (22. člen, četrti odstavek). V istem odstavku je zapisano tudi, da subjekti ugotavljajo, kateri varnostni ukrepi so ustrezni in primerni za zagotovitev varnosti dobavne verige, »poleg tega lahko preverjajo njihovo izvajanje pri dobaviteljih in ponudnikih storitev« (ZInfV-1, 22. člen, četrti odstavek).

Zato so vprašalniki o varnosti, zahteve po dokazilih in pogodbene varnostne klavzule za dobavitelje dejstvo trga, ne pretiravanje kupca. Podjetje, ki teh dokumentov nima, se s tem sooči takrat, ko je posel že na mizi.

Nadzor gleda dokumentacijo kot celoto

Zakon izrecno zahteva, da so varnostni ukrepi »preverljivi tako, da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi« (ZInfV-1, 22. člen, trinajsti odstavek, 6. točka). Ukrepi morajo biti hkrati učinkoviti, prilagojeni, skladni, sorazmerni s tveganji in konkretni (22. člen, trinajsti odstavek).

Nadzor ni omejen na papir. Inšpekcijski varnostni pregled je po 5. členu postopek, v katerem inšpektor pri zavezancu izvede identifikacijo in oceno morebitnih ranljivosti v omrežnih in informacijskih sistemih, preizkusi učinkovitost varnostnih ukrepov in izpostavljenost kibernetskim grožnjam ter preveri ustreznost zaznavanja in obravnavanja incidentov. Naloge inšpekcijskega nadzora opravlja pristojni nacionalni organ prek Inšpekcije za informacijsko varnost (10. člen).

Subjekti morajo poleg tega najmanj enkrat letno ali v rednih obdobjih, opredeljenih v politiki in postopkih za presojo učinkovitosti ukrepov, ter ob zaznanih ranljivostih preverjati izpolnjevanje varnostnih ukrepov; ob ugotovljenem pomanjkljivem ali neustreznem izvajanju morajo nemudoma sprejeti vse potrebne, ustrezne in sorazmerne popravne ukrepe (22. člen, peti odstavek). Kršitve obveznosti iz 22. in 30. člena so opredeljene kot prekrški v 52. in 53. členu.

Prvi korak: politika obvladovanja tveganj

Če dokumentacijo gradite od začetka, je vrstni red pomemben. Politika obvladovanja tveganj je prvi od petih stebrov in temelj, na katerem stojijo vsi ostali: brez zapisane ocene tveganj ni mogoče utemeljiti, zakaj so izbrani ukrepi sorazmerni glede na stopnjo izpostavljenosti tveganjem, velikost subjekta, verjetnost pojava incidentov in njihovo resnost (22. člen, tretji odstavek).

Šele iz nje smiselno izhajajo postopek obvladovanja incidentov z roki iz 30. člena, načrt neprekinjenega poslovanja in varnostnih kopij, minimalne varnostne zahteve za ključne dobavitelje in letni program dela z vključenim področjem informacijske ter kibernetske varnosti. Nobeno besedilo na tej strani ne more nadomestiti presoje konkretnega položaja vašega podjetja; zavezujoče je uradno besedilo zakona, dodatna pojasnila pa objavlja Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) kot uradni vir.