Kako NIS2Europe pripravi in preveri vaše dokumente

Zakonska podlaga: kateri zakon določa vsebino dokumentacije

Za podjetja v Sloveniji je izhodišče Zakon o informacijski varnosti, Uradni list RS št. 40/25 (ZInfV-1). Njegov 1. člen določa predmet ureditve: zakon ureja področje informacijske in kibernetske varnosti ter določa nacionalni sistem informacijske varnosti v Republiki Sloveniji, poleg tega pa določa tudi ukrepe za obvladovanje tveganj za informacijsko in kibernetsko varnost ter obveznost poročanja zavezancev in prostovoljno priglasitev incidentov.

Vsebinsko jedro dokumentacije izhaja iz 22. člena ZInfV-1 (ukrepi za obvladovanje tveganj). Ta v drugem odstavku našteva najmanjši obseg varnostnih ukrepov — od podpore vodstva subjekta in vključitve področja v letni načrt poslovanja, prek kibernetske higiene in usposabljanja, varnostnih kopij, dnevniških zapisov, kriptografije in večfaktorske avtentikacije, do varnosti dobavne verige in politik glede uporabe oblačnih storitev.

Dokumentacija zato ni prosta oblika besedila: vsako poglavje se piše tako, da ustreza konkretni točki ali odstavku, ki ga uveljavlja. Peti odstavek 22. člena k temu dodaja ritem preverjanja — izpolnjevanje varnostnih ukrepov se preverja najmanj enkrat letno ali v rednih obdobjih, opredeljenih v politiki in postopkih, in ob zaznanih ranljivostih; ob ugotovljenem pomanjkljivem ali neustreznem izvajanju je treba nemudoma sprejeti potrebne, ustrezne in sorazmerne popravne ukrepe.

Pristojni organ in roki za priglasitev

Pristojni nacionalni organ je po 10. členu ZInfV-1 *Urad Vlade Republike Slovenije za informacijsko varnost (URSIV)*. Med njegovimi nalogami je tudi inšpekcijski nadzor po tem zakonu, ki ga opravlja prek Inšpekcije za informacijsko varnost kot notranje organizacijske enote.

Roki za priglasitev pomembnih incidentov so v 30. členu ZInfV-1. Bistveni in pomembni subjekti pristojni skupini CSIRT predložijo:

• zgodnje sporočilo — nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta, iz katerega je po potrebi razvidno, ali je bil incident domnevno povzročen z nezakonitim ali zlonamernim dejanjem in ali bi lahko imel čezmejni vpliv;
• priglasitev incidenta — nemudoma, najpozneje pa v 72 urah po zaznavi pomembnega incidenta, z začetno oceno incidenta, njegovo resnostjo in vplivom ter kazalniki ogroženosti, kadar so na voljo;
• vmesno poročilo — na zahtevo skupine CSIRT;
• končno poročilo — najpozneje v enem mesecu po predložitvi priglasitve incidenta;
• poročilo o napredku, če incident ob predložitvi končnega poročila še poteka; končno poročilo pa najpozneje en mesec po rešitvi incidenta.

Za ponudnike storitev zaupanja drugi odstavek 30. člena določa priglasitev nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta. Točen elektronski kanal za priglasitev se preveri po objavljenih smernicah pristojnega nadzornega organa: Urad Vlade Republike Slovenije za informacijsko varnost (uradni vir).

Kaj o obveznostih odloča profil samega podjetja

Katere obveznosti sploh vstopijo v dokumentacijo, odloča profil subjekta: sektor, velikost in zakonska razvrstitev. ZInfV-1 v 7. členu zavezance deli na bistveni subjekt in pomembni subjekt.

Med bistvene subjekte sodijo med drugim vrste subjektov iz Priloge 1, ki imajo vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov; ponudniki kvalificiranih storitev zaupanja, registri TLD imen in ponudniki storitev DNS ne glede na velikost; ponudniki javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev z vsaj 50 zaposlenimi in letnim prometom ali bilančno vsoto vsaj 10 milijonov eurov; ter subjekti javne uprave na državni ravni.

Med pomembne subjekte sodijo vrste subjektov iz Priloge 2 ter drugi subjekti iz 6. člena, ki niso bistveni subjekti. Priloga 1 zajema visoko kritične sektorje (energija, promet, bančništvo, infrastruktura finančnega trga, zdravje, pitna voda, odpadna voda, digitalna infrastruktura, upravljanje storitev IKT, javna uprava, vesolje), Priloga 2 pa druge kritične sektorje (poštne in kurirske storitve, ravnanje z odpadki, kemikalije, živila, proizvodnja, digitalni ponudniki, raziskave, lokalna samouprava).

Profil vpliva tudi na obseg: tretji odstavek 22. člena zahteva upoštevanje stopnje izpostavljenosti tveganjem, velikosti subjekta, verjetnosti pojava incidentov in resnosti morebitnih incidentov.

Kako se vsaka zahteva preveri nazaj ob zakonskem besedilu

Metoda je preprosta in ponovljiva: vsaka trditev v dokumentu se postavi ob določbo, ki naj bi jo uveljavljala, in se prebere skupaj z njo. Če določba trditve ne pokriva — na primer, če je rok, prag ali obveznost zapisana drugače, kot jo določa zakon — se trditev popravi ali odstrani, preden se dokument uporabi.

Zakon sam postavlja merilo, po katerem se ta pregled izvaja. Varnostni ukrepi morajo biti med drugim "preverljivi tako, da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi" (ZInfV-1, 22. člen, trinajsti odstavek, 6. točka). Ista določba zahteva tudi, da so ukrepi učinkoviti, prilagojeni, skladni, sorazmerni s tveganji in konkretni.

V praksi to pomeni tri koraki pri pregledu: (1) trditev povezati z navedbo člena in odstavka; (2) preveriti, ali besedilo določbe trditev res nosi; (3) zabeležiti popravek, kadar je ne. Ta pregled ne ustvarja novih obveznosti — le uskladi zapisano z veljavnim besedilom.

Kaj ostane preverljivo pozneje

Po zaključku ostane pri vsaki zahtevi navedeno točno ime akta in določba: Zakon o informacijski varnosti, Uradni list RS št. 40/25 (ZInfV-1), skupaj s členom in odstavkom. Zaradi tega lahko inšpektor, notranji revizor ali naročnik v postopku javnega naročanja katero koli posamezno trditev preveri v uradnem besedilu, ne da bi moral verjeti povzetku.

Ta sledljivost je pomembna tudi zato, ker ZInfV-1 v 52. in 53. členu določa prekrške. Za bistvene subjekte je za neizpolnitev obveznosti iz 22. ali 30. člena predvidena globa od 0,5 do 2 odstotka skupnega letnega prometa pravne osebe, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji; za pomembne subjekte od 0,3 do 1,4 odstotka, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov. Globe so predvidene tudi za odgovorne osebe.

Preverljiva dokumentacija ne nadomesti izvajanja ukrepov v praksi in ne pove sama po sebi, kako bo organ presodil posamezen primer. Pove pa, na kateri določbi vsaka posamezna zahteva stoji — in prav to je tisto, kar je mogoče pozneje objektivno preveriti.