Nove obveze subjekata prema NIS2 ne svode se na donošenje još jednog pravilnika o informacijskoj sigurnosti. Za pogođene organizacije one mijenjaju način na koji uprava upravlja kibernetičkim rizikom, kako se evidentiraju kontrole, tko donosi odluke tijekom incidenta i koliko se brzo može dokazati da su obveze stvarno provedene. Najveći izazov zato nije razumjeti tekst propisa, nego pretvoriti ga u svakodnevni, mjerljiv i dokaziv proces.
NIS2 je podignuo očekivanja za ključne i važne subjekte u Europskoj uniji, a hrvatski Zakon o kibernetičkoj sigurnosti i podzakonski okvir daju nacionalni operativni kontekst. Organizacije koje se oslanjaju na neformalne procese, tablice bez vlasnika ili dokumentaciju koja se ažurira tek pred nadzor, preuzimaju nepotreban regulatorni i poslovni rizik.
Koga obveze zahvaćaju i zašto je procjena statusa prvi korak
Prvo pitanje nije „imamo li certifikat?”, nego „jesmo li obuhvaćeni i u kojoj kategoriji?”. NIS2 obuhvaća niz sektora, uključujući energetiku, promet, zdravstvo, financijsku infrastrukturu, digitalnu infrastrukturu, javnu upravu, proizvodnju određenih proizvoda, upravljanje otpadom, poštanske i kurirske usluge te pružatelje digitalnih usluga. Veličina organizacije, vrsta djelatnosti, važnost usluge i posebne nacionalne odredbe utječu na konačnu procjenu.
Pogrešna klasifikacija ima dvije posljedice. Organizacija može propustiti obvezu registracije ili provedbe sigurnosnih mjera, ali može i nepotrebno ulagati u kontrole koje nisu prioritet. Zato procjenu statusa treba dokumentirati, povezati s relevantnim djelatnostima i redovito preispitivati kod akvizicija, promjene usluga, rasta organizacije ili promjene dobavljačkog lanca.
Nove obveze subjekata prema NIS2 počinju u upravi
Jedna od najvažnijih promjena jest jasnija odgovornost upravljačkih tijela. Uprava više ne može kibernetičku sigurnost tretirati isključivo kao tehničko pitanje delegirano IT odjelu. Ona mora odobravati mjere upravljanja rizicima, pratiti njihovu provedbu i imati dovoljno znanja za donošenje informiranih odluka. U praksi to znači da sigurnosni rizici trebaju imati mjesto u upravljačkom izvještavanju, zajedno s vlasnicima rizika, rokovima i preostalom razinom izloženosti.
To ne znači da svaki član uprave mora razumjeti tehničke detalje segmentacije mreže ili upravljanja ranjivostima. Mora, međutim, razumjeti posljedice odluke da se kritična zakrpa odgodi, da se tolerira dobavljač bez adekvatnih ugovornih obveza ili da plan oporavka nije testiran. Edukacija uprave i rukovoditelja zato nije formalnost, nego kontrola koja povezuje poslovnu odgovornost s kibernetičkom otpornošću.
Politike nisu dokaz provedbe
Mnoge organizacije već posjeduju politiku sigurnosti, plan kontinuiteta poslovanja i proceduru upravljanja incidentima. Problem nastaje kada ti dokumenti ne odražavaju stvarno stanje. Ako nije jasno tko pregledava zapise, kako se prati provedba mjera, gdje se čuvaju dokazi i kada se eskalira odstupanje, politika sama po sebi neće biti dovoljna.
Korisno je svaku obvezu rastaviti na četiri elementa: odgovornog vlasnika, konkretnu aktivnost, dokaz provedbe i učestalost provjere. Primjerice, mjera višefaktorske autentifikacije nije završena kupnjom alata. Potrebno je utvrditi obuhvat korisnika, iznimke, rokove za uklanjanje iznimaka, zapise o konfiguraciji i periodičnu provjeru učinkovitosti.
Upravljanje rizicima mora pokriti stvarne scenarije napada
NIS2 zahtijeva odgovarajuće i razmjerne mjere upravljanja kibernetičkim rizicima. Riječ „razmjerne” je važna. Mala organizacija ne treba kopirati operativni model velike banke, ali mora moći pokazati da je procijenila rizike prema vlastitim uslugama, podacima, ovisnostima i mogućim posljedicama prekida rada.
Mjere se tipično odnose na analizu rizika i sigurnosne politike, upravljanje incidentima, kontinuitet poslovanja, sigurnost lanca opskrbe, sigurnost u nabavi i razvoju sustava, upravljanje ranjivostima, kontrolu pristupa, kriptografiju, edukaciju te procjenu učinkovitosti mjera. Te kategorije nisu zasebni projekti. One se preklapaju u stvarnim scenarijima.
Napad putem kompromitiranog dobavljača, primjerice, istodobno otvara pitanja ugovornih zahtjeva, evidencije vanjskih pristupa, nadzora zapisa, upravljanja privilegiranim računima, rezervnih kopija i komunikacije s pogođenim korisnicima. Procjena rizika koja se temelji samo na popisu IT imovine neće dati dovoljno pouzdan odgovor. Potrebno je razumjeti poslovnu kritičnost usluge i ovisnosti koje je podržavaju.
Lanac opskrbe više nije sporedna tema
Dobavljači softvera, cloud usluga, održavanja, upravljanih sigurnosnih usluga i vanjske podrške često imaju pristup sustavima i podacima koji su ključni za poslovanje. Organizacija ne može ugovorom u potpunosti prenijeti vlastitu odgovornost na dobavljača.
Razuman pristup uključuje procjenu dobavljača prije angažmana, sigurnosne zahtjeve u ugovorima, definirane obveze prijave incidenata, kontrolu pristupa, redovitu provjeru kritičnih pružatelja i plan zamjene kada je ovisnost previsoka. Opseg provjera ovisi o riziku. Dobavljač koji održava javnu web-stranicu nije u istoj kategoriji kao pružatelj koji administrira proizvodni sustav ili obrađuje osjetljive zdravstvene podatke.
Prijava incidenata traži unaprijed uvježban proces
Kod značajnih incidenata vrijeme je presudno. NIS2 predviđa rano upozorenje u roku od 24 sata, obavijest o incidentu u roku od 72 sata te završno izvješće, uz daljnje dopune prema potrebi. Nacionalni propisi i upute nadležnih tijela određuju konkretan postupak, kanale i sadržaj komunikacije koje organizacija mora primijeniti.
Ovi rokovi pokazuju zašto se incident ne smije otkrivati tek kada ga sigurnosni tim tehnički u potpunosti razjasni. U prvih nekoliko sati često nisu poznati puni uzrok, opseg ni konačna poslovna šteta. Ipak, organizacija mora znati tko procjenjuje značaj incidenta, tko kontaktira nadležna tijela, tko odobrava vanjsku komunikaciju i gdje se dokumentiraju činjenice koje se mijenjaju.
Dobra procedura prijave ne pretpostavlja savršene informacije. Ona razlikuje potvrđene činjenice od pretpostavki, omogućuje pravovremenu eskalaciju i čuva trag odluka. Vježba stolnog scenarija, primjerice ransomware napada ili nedostupnosti ključnog dobavljača, brzo otkriva nedostatke koje dokument na papiru ne pokazuje: nepostojeće kontakt-liste, nejasne ovlasti, nedostupne evidencije ili neusklađenu komunikaciju pravne, IT i poslovne funkcije.
Dokazivost je jednako važna kao i sama kontrola
Tijekom nadzora nije dovoljno reći da se provode sigurnosne mjere. Potrebno je brzo pokazati relevantne dokaze: zapisnike procjene rizika, odobrene politike, evidencije edukacija, izvještaje o ranjivostima, rezultate testiranja oporavka, ugovorne zahtjeve prema dobavljačima, zapisnike uprave i evidenciju incidenata.
Najčešći operativni problem je raspršenost tih dokaza. Dio se nalazi u e-pošti, dio u sustavu za servisne zahtjeve, dio u mapama bez jasne strukture, a dio kod vanjskog partnera. Posljedica nije samo sporija priprema za nadzor. Organizacija gubi pregled nad stvarnim stanjem usklađenosti i teško razlikuje provedenu mjeru od aktivnosti koja je tek planirana.
Zato upravljanje usklađenošću treba uspostaviti kao kontinuirani ciklus: procijeniti stanje, evidentirati manjkavosti, dodijeliti aktivnosti, pratiti rokove, priložiti dokaze i izvijestiti upravu o napretku. Platforma poput ITrevizija.hr može taj ciklus objediniti kroz AI vođenu samoprocjenu, upravljanje dokazima, analizu dokumentacije, plan usklađivanja i automatizirano izvješćivanje. Vrijednost nije u još jednom repozitoriju datoteka, nego u jasnoj vezi između regulatornog zahtjeva, kontrole, odgovorne osobe i provjerljivog dokaza.
Kako postaviti provediv plan bez višemjesečnog zastoja
Najbrži put nije pokušati istodobno zatvoriti svaku moguću sigurnosnu temu. Potrebno je prvo utvrditi obuhvat, napraviti početnu procjenu jaza i izdvojiti nedostatke s najvećim regulatornim i poslovnim učinkom. U većini organizacija među prioritetima će biti upravljačke odgovornosti, proces prijave incidenata, procjena rizika, upravljanje pristupima, sigurnosne kopije i oporavak, kritični dobavljači te centralizirana evidencija dokaza.
Nakon toga treba odrediti realne vlasnike aktivnosti. CISO ili IT menadžer ne može sam zatvoriti sve obveze jer dio mjera pripada pravnoj funkciji, nabavi, ljudskim resursima, kontinuitetu poslovanja i upravi. Plan mora navesti rok, očekivani rezultat, ovisnosti i kriterij prihvaćanja. „Ažurirati politiku” nije dovoljno precizan zadatak. „Odobriti politiku, objaviti je ciljanim korisnicima, provesti edukaciju i evidentirati potvrde” već jest.
Organizacije koje rano uspostave evidenciju dokaza ne pripremaju se samo za nadzor. One brže donose odluke tijekom incidenta, smanjuju ponavljanje istih nalaza i stvaraju pregled koji upravi omogućuje upravljanje rizikom na temelju činjenica. To je praktična vrijednost NIS2 obveza: sigurnost postaje upravljiv poslovni proces, a ne skup hitnih aktivnosti kada rokovi već počnu pritiskati.