NIS2 i Zakon o kibernetičkoj sigurnosti: odnosi li se na vašu tvrtku

Europska direktiva NIS2 u Hrvatskoj je prenesena Zakonom o kibernetičkoj sigurnosti, koji je na snazi od 2024. godine, a zahtjeve razrađuje prateća Uredba o kibernetičkoj sigurnosti. Mnoge tvrtke i dalje ne znaju odnosi li se zakon na njih, a neke su već dobile upit od kupca koji traži dokaz o sigurnosnim mjerama. Ovaj članak je pregled, ne pravno mišljenje, ali bi trebao biti dovoljan da znate koje pitanje postaviti.

Na koga se zakon odnosi

Obveznici se dijele na ključne i važne subjekte. Hoće li tvrtka biti jedno, drugo ili nijedno, ovisi o dvije stvari: sektoru i veličini.

Sektori visoke kritičnosti su, među ostalima: energetika, promet, bankarstvo i infrastruktura financijskog tržišta, zdravstvo, voda za piće i otpadne vode, digitalna infrastruktura, upravljanje ICT uslugama za druge tvrtke te javna uprava.

Drugi kritični sektori uključuju: poštanske i kurirske usluge, gospodarenje otpadom, proizvodnju i distribuciju kemikalija, proizvodnju i distribuciju hrane, dio prerađivačke industrije (medicinski proizvodi, računala i elektronika, električna oprema, strojevi, motorna vozila i druga prijevozna sredstva), pružatelje digitalnih usluga i istraživanje.

Veličina. Pravilo je da su obuhvaćena srednja i velika poduzeća u tim sektorima. Srednje poduzeće je, pojednostavljeno, ono s 50 ili više zaposlenih ili s godišnjim prometom odnosno bilancom većom od 10 milijuna eura. Neke vrste subjekata obuhvaćene su bez obzira na veličinu, primjerice određeni pružatelji digitalne infrastrukture i usluga povjerenja.

Kako saznati jeste li obveznik

U Hrvatskoj razvrstavanje provode nadležna tijela i subjektu dostavljaju obavijest o kategorizaciji. Od te obavijesti teku rokovi za provedbu mjera.

To ne znači da treba čekati. Ako ste u jednom od navedenih sektora i prelazite prag veličine, razumno je pretpostaviti da ćete biti obuhvaćeni i krenuti s pripremom, jer provedba traje mjesecima.

Zašto vas se tiče i ako niste obveznik

Obveznici moraju upravljati sigurnošću svojeg opskrbnog lanca. U praksi to znači da svojim dobavljačima šalju upitnike, traže dokaze o mjerama i unose sigurnosne odredbe u ugovore.

Mala tvrtka koja održava programe, isporučuje dijelove ili vodi knjige većem subjektu nije obveznik zakona, ali će dobiti iste zahtjeve od svojeg kupca. Tko na njih ne može odgovoriti, riskira ugovor.

Što zakon traži

Mjere upravljanja rizicima. Zakon ne propisuje konkretne proizvode, nego područja koja moraju biti pokrivena. Među njima su:

• procjena rizika i sigurnosne politike
• postupanje s incidentima
• kontinuitet poslovanja, sigurnosne kopije i oporavak
• sigurnost opskrbnog lanca
• sigurnost pri nabavi, razvoju i održavanju sustava
• kontrola pristupa i upravljanje imovinom
• višefaktorska provjera identiteta i šifriranje gdje je primjereno
• osposobljavanje zaposlenika

Prijava incidenata. Značajan incident prijavljuje se u kratkim rokovima: rano upozorenje u roku od 24 sata od saznanja, potpunija obavijest u roku od 72 sata i završno izvješće u roku od mjesec dana. Te rokove nije moguće ispuniti bez unaprijed dogovorenog postupka i odgovornih osoba.

Odgovornost uprave. Uprava odobrava mjere, nadzire njihovu provedbu i odgovara za propuste. Sigurnost više nije samo tema informatičkog odjela, a članovi uprave moraju proći odgovarajuće osposobljavanje.

Kazne. Za ključne subjekte predviđene su novčane kazne do 10 milijuna eura ili 2 % ukupnog godišnjeg prometa, a za važne do 7 milijuna eura ili 1,4 % prometa.

Odakle krenuti

1. Utvrdite status. Sektor, veličina, povezana društva. Ako ste na granici, zatražite stručno mišljenje.
2. Popišite imovinu. Sustavi, podaci, uređaji i usluge o kojima poslovanje ovisi, s odgovornom osobom za svaki. Ne može se štititi ono za što se ne zna da postoji.
3. Napravite analizu odstupanja. Usporedite postojeće stanje sa zahtjevima. Rezultat je popis onoga što nedostaje, poredan po riziku.
4. Riješite osnove. Višefaktorska prijava, redovite nadogradnje, ograničena administratorska prava i provjerene sigurnosne kopije uklanjaju velik dio rizika uz razmjerno mali trošak.
5. Napišite postupak za incidente. Tko odlučuje, tko prijavljuje, koga se zove u dva ujutro, i gdje se to nalazi kad mreža ne radi.
6. Pregledajte dobavljače. Tko ima pristup vašim sustavima i podacima, i što o tome piše u ugovoru.
7. Dokumentirajte. U nadzoru vrijedi ono što se može pokazati. Mjera koja postoji, ali nije zapisana, teško se dokazuje.

Najčešće zablude

• “Imamo antivirus i vatrozid.” To su dvije od desetaka mjera. Zakon traži upravljanje rizikom, a ne popis alata.
• “To je posao informatičara.” Odgovornost je na upravi, a dobar dio mjera je organizacijski: politike, ugovori, osposobljavanje.
• “Premali smo da bi nas itko napadao.” Većina napada je automatizirana i ne bira žrtvu po veličini. Male tvrtke češće plaćaju otkupninu upravo zato što nemaju kopije.
• “Kupit ćemo rješenje.” Nijedan proizvod sam ne donosi usklađenost. Donosi je postupak koji se provodi i može dokazati.

Što provjeriti

Popis sektora, pragovi, rokovi i iznosi kazni u ovom članku navedeni su sažeto. Za odluku o statusu svoje tvrtke provjerite tekst zakona i uredbe ili zatražite mišljenje, jer iznimke i pravila o povezanim društvima mogu promijeniti zaključak.

Procjenu stanja i plan mjera radimo u sklopu kibernetičke sigurnosti, uz financijsku stranu priče: koliko mjere koštaju i koliki rizik pokrivaju. Ako želite znati gdje ste, javite nam se.