Ako vzniká firemná dokumentácia podľa NIS2 za niekoľko minút

Čo robí dokument skutočne firemným

Dokumentácia podľa NIS2 nie je voľné rozprávanie o kybernetickej bezpečnosti. Jej obsah je vopred určený právnym predpisom: NIS2 preberá na Slovensku zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a ten priamo vymenúva, pre ktoré oblasti sa bezpečnostné opatrenia prijímajú (§ 20 ods. 2, oblasti a) až r)) a že sa prijímajú a realizujú na základe schválenej bezpečnostnej dokumentácie, ktorá musí byť aktuálna a musí zodpovedať reálnemu stavu (§ 20 ods. 3). Obsah bezpečnostných opatrení, obsah a štruktúru bezpečnostnej dokumentácie ustanovuje všeobecne záväzný právny predpis, ktorý vydáva Národný bezpečnostný úrad (§ 32 ods. 1 písm. b)).

Druhým vstupom je profil konkrétnej firmy. Ten určuje, ktoré povinnosti sa na ňu vzťahujú, a tvoria ho tri údaje:

• Sektor a typ subjektu podľa prílohy č. 1 (sektory s vysokou úrovňou kritickosti) alebo prílohy č. 2 (iné kritické sektory) zákona.
• Veľkosť — do registra prevádzkovateľov základnej služby sa zapisuje najmä osoba, ktorá spĺňa najmenej podmienky veľkosti pre stredný podnik a vykonáva činnosť v niektorom zo sektorov podľa prílohy č. 1 alebo prílohy č. 2 (§ 17 ods. 1 písm. e)); pri niektorých typoch subjektov sa veľkosť neposudzuje.
• Zákonné zaradenie — prevádzkovateľ základnej služby (§ 17), alebo prevádzkovateľ kritickej základnej služby, ak vykonáva aspoň jednu z kritických základných služieb podľa § 18 ods. 1.

Z profilu vyplývajú aj lehoty: oznámenie úradu do 60 dní odo dňa, kedy sa činnosť začne vykonávať (§ 17 ods. 2), a prijatie a vykonávanie všeobecných bezpečnostných opatrení najmenej v rozsahu § 20 do 12 mesiacov odo dňa zápisu do registra (§ 19 ods. 1).

Päť oblastí dokumentácie — celok ako prvý

Skôr než sa pustíte do jedného dokumentu, oplatí sa vidieť celú zostavu. Päť jadrových oblastí, ktoré tvoria kostru firemnej dokumentácie:

1. Politika riadenia rizík. Bezpečnostné opatrenia sa prijímajú a realizujú na základe analýzy rizík kybernetickej bezpečnosti, ktorá určuje pravdepodobnosť vzniku škodlivej udalosti (§ 20 ods. 5). Opatrenia sa prijímajú aspoň pre organizáciu a riadenie informačnej a kybernetickej bezpečnosti, správu zraniteľností a kybernetických hrozieb a správu aktív a riadenie hrozieb a rizík (§ 20 ods. 2 písm. a) až c)). Rovnaký prvok pomenúva aj smernica (EÚ) 2022/2555 v art 21(2) písm. a) ako zásady analýzy rizík a bezpečnosti informačných systémov.

2. Riadenie a riešenie incidentov. Opatrenia sa prijímajú pre riadenie udalostí a kybernetických bezpečnostných incidentov (§ 20 ods. 2 písm. d)) a musia zahŕňať najmenej detekciu, evidenciu, postupy riešenia a riešenie incidentov, určenie kontaktnej osoby pre prijímanie a evidenciu hlásení a pripojenie do komunikačného systému pre hlásenie a riešenie incidentov (§ 20 ods. 4 písm. b) až f)). Na to nadväzuje hlásenie závažného incidentu: včasné varovanie najneskôr do 24 hodín od zistenia, oznámenie o incidente najneskôr do 72 hodín od zistenia a záverečná správa najneskôr jeden mesiac po nahlásení oznámenia (§ 24 ods. 3).

3. Kontinuita činností. Samostatná oblasť opatrení pokrýva riadenie kontinuity činností, zálohovanie, obnovu systémov po havárii a krízové riadenie (§ 20 ods. 2 písm. e)). Kontinuitou sa podľa § 3 ods. 1 písm. d) rozumie schopnosť organizácie plánovať a reagovať na udalosti a incidenty tak, aby pokračovala vo výkone činností na prijateľnej, vopred stanovenej úrovni.

4. Bezpečnosť dodávateľského reťazca. Dodávateľský reťazec je výslovne uvedenou oblasťou opatrení (§ 20 ods. 2 písm. q)). Ak činnosť priamo súvisiaca s dostupnosťou, dôvernosťou a integritou prevádzky sietí a informačných systémov vykonáva tretia strana, je potrebné uzatvoriť zmluvu o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností na celú dobu výkonu činnosti; pri uzatvorení zmluvy sa vykonáva analýza rizík (§ 19 ods. 2).

5. Zodpovednosť vedenia. Opatrenia musia zahŕňať určenie konkrétnej osoby alebo osôb zodpovedných za schvaľovanie bezpečnostných opatrení, dohľad, kontrolu a audit, za zabezpečenie primeranosti zdrojov a za vzdelávanie (§ 20 ods. 4 písm. h)), a tiež vytvorenie a zavedenie účinného mechanizmu včasného informovania štatutárneho orgánu a zodpovedných vedúcich zamestnancov o hrozbách, zraniteľnostiach a incidentoch (§ 19 ods. 6 písm. h)). Smernica (EÚ) 2022/2555 v art 20(1) pridáva, že riadiace orgány schvaľujú opatrenia na riadenie kybernetických rizík a dohliadajú na ich vykonávanie.

Prvý z piatich krokov: politika riadenia rizík ako základ

Prvá oblasť nie je prvá náhodou. Zákon spája prijatie opatrení priamo s analýzou rizík: prevádzkovateľ základnej služby je povinný prijať, dodržiavať a vykonávať všeobecné bezpečnostné opatrenia v závislosti od vykonanej analýzy rizík (§ 19 ods. 1). Bez zdokumentovanej analýzy rizík preto ostatné štyri oblasti nemajú z čoho vychádzať.

Čo takýto dokument zachytáva podľa zákona:

• ciele opatrení — identifikovať zraniteľnosti, hrozby a riziká, preventívne chrániť informačné aktíva, detegovať incidenty, reagovať na ne a minimalizovať ich vplyv a obnoviť siete a informačné systémy (§ 20 ods. 1 písm. a) až e));
• posúdenie pravdepodobnosti vzniku škodlivej udalosti a analýzu politického rizika tretej strany (§ 20 ods. 5);
• určenie manažéra kybernetickej bezpečnosti, ktorý je pri návrhu, prijímaní a presadzovaní opatrení nezávislý od štruktúry riadenia prevádzky a vývoja služieb informačných technológií a spĺňa znalostné štandardy pre výkon tejto roly (§ 20 ods. 4 písm. a));
• určenie a pridelenie úloh, rolí a zodpovednosti a zabezpečenie primeraného vzdelávania a preškoľovania pre všetky zavedené roly (§ 20 ods. 4 písm. g) a i)).

Až keď je tento základ napísaný, dávajú zmysel postupy riešenia incidentov, plán kontinuity, zmluvné požiadavky na tretie strany a rozdelenie zodpovednosti vedenia.

Prečo úrad aj odberatelia žiadajú odkaz na zdroj

Dokumentácia nie je interná pamäť firmy — je predmetom dokazovania. Národný bezpečnostný úrad vykonáva dohľad vybavovaním sťažností, kontrolou, ukladaním opatrení na nápravu, schvaľovaním dohody o náprave a prejednávaním správnych deliktov (§ 29a ods. 1). Pri kontrole je oprávnený vyžadovať a odoberať originály alebo úradne osvedčené kópie dokladov, písomností, záznamov dát, vyjadrení, informácií a iných podkladov súvisiacich s kontrolou (§ 29d ods. 5 písm. a)); prevádzkovateľ je povinný ich v určenej lehote predložiť a predložiť aj výsledky kontrol alebo auditov vykonaných inými orgánmi (§ 29e ods. 2 písm. a) a b)).

Samostatne stojí audit kybernetickej bezpečnosti: overuje plnenie povinností podľa zákona a posudzuje prijaté bezpečnostné opatrenia; vykonať ho treba do dvoch rokov odo dňa zaradenia do registra a záverečnú správu o výsledkoch auditu predložiť úradu spolu s opatreniami na nápravu do 30 dní od ukončenia auditu (§ 29 ods. 1 a ods. 5).

Druhým adresátom sú odberatelia a obstarávatelia. Keď firma vystupuje ako tretia strana pri prevádzke sietí a informačných systémov iného subjektu, protistrana potrebuje zmluvne zabezpečiť plnenie bezpečnostných opatrení a notifikačných povinností a k tomu vykonať analýzu rizík (§ 19 ods. 2) — a robí to na základe dokumentov, ktoré jej predložíte. Preto má každé právne tvrdenie v dokumente niesť presnú citáciu: názov predpisu a paragraf, aby si ho auditor alebo odberateľ vedel overiť v origináli.

Prečo zostavenie netrvá týždne

Zdĺhavé bývalo hľadanie odpovede na otázku, čo má v dokumente byť. Tá odpoveď je však fixná ešte pred začiatkom písania — určuje ju zákon č. 69/2018 Z. z. a vykonávací predpis vydaný úradom podľa § 32 ods. 1 písm. b). Premennou ostáva len profil firmy: sektor podľa prílohy č. 1 alebo prílohy č. 2, veľkosť a zaradenie podľa § 17 alebo § 18.

Ak sú právne zdroje pripravené vopred a doslovne overené voči zneniu predpisu, zostavenie dokumentu je potom už mechanická operácia: k profilu sa priradia príslušné ustanovenia a každé právne tvrdenie dostane svoj presný odkaz. Slovo *minúty* sa vzťahuje práve na tento spôsob zostavenia, nie na prísľub termínu dodania.

Čo takýto dokument nerobí: nenahrádza rozhodnutie úradu ani výsledok auditu a nepotvrdzuje splnenie povinností. Pokuty a lehoty ostávajú faktom zákona — napríklad úrad môže uložiť pokutu od 300 eur do 7 000 000 eur alebo do výšky 1,4 % celkového celosvetového ročného obratu za predchádzajúce účtovné obdobie, podľa toho, ktorá suma je vyššia, za porušenie povinnosti prijať bezpečnostnú dokumentáciu podľa § 20 ods. 3 (§ 31 ods. 2). Pri otázkach, ktoré zákon výslovne nerieši, sú záväzným vodidlom metodiky, usmernenia a štandardy zverejnené Národným bezpečnostným úradom (§ 5 ods. 1 písm. b), § 8 ods. 2 písm. d)).