Nadzor ne počinje onoga dana kada regulator zatraži dokumentaciju. Počinje mjesecima ranije, u trenutku kada organizacija mora pokazati tko je odgovoran za pojedinu mjeru, kojim je dokazom potvrđena provedba i kako se upravlja uočenim rizikom. Zato pitanje kako automatizirati usklađenost s NIS2 nije pitanje nabave još jednog alata, nego uspostave procesa koji trajno pretvara sigurnosne aktivnosti u dokazivu regulatornu spremnost.
Za srednje i velike organizacije problem rijetko leži u potpunom izostanku kontrola. Sigurnosne politike postoje, administratori vode zapise, vanjski partneri dostavljaju izvješća, a uprava donosi odluke o ulaganjima. Problem nastaje kada su ti podaci raspršeni po mapama, tablicama, e-pošti i različitim operativnim sustavima. U tom stanju usklađenost ovisi o ručnom radu nekoliko stručnjaka, a ne o kontroliranom sustavu.
Kako automatizirati usklađenost s NIS2 bez gubitka kontrole
Automatizacija treba započeti prevođenjem zakonskih i regulatornih zahtjeva u jasan katalog kontrola, odgovornosti, dokaza i rokova. NIS2 i hrvatski okvir kibernetičke sigurnosti traže upravljanje rizicima, odgovarajuće sigurnosne mjere, postupanje u incidentima, kontinuitet poslovanja, sigurnost dobavnog lanca i odgovornost upravljačkih struktura. Općenito navođenje tih obveza nije dovoljno za operativan rad.
Svaki zahtjev treba povezati s konkretnim pitanjem: koja kontrola postoji, tko je njezin vlasnik, koji dokaz potvrđuje njezino djelovanje, kada je posljednji put provjerena i što se događa ako dokaz nedostaje. Tek tada se može automatizirati tijek rada. Sustav može dodijeliti zadatak vlasniku kontrole, poslati podsjetnik prije isteka roka, evidentirati dostavljeni dokaz i označiti kontrolu za pregled.
Ovaj pristup ima važnu granicu. Automatizacija ne može preuzeti odgovornost uprave, procijeniti poslovni učinak svakog rizika bez konteksta niti sama odlučiti je li određena mjera razmjerna kritičnosti usluge. Može, međutim, ukloniti administrativno opterećenje zbog kojeg se takve odluke donose prekasno ili bez potpune slike.
Počnite od stvarnog stanja, ne od popisa dokumenata
Najbrži put do prividne usklađenosti jest masovno prikupljanje politika i procedura bez provjere primjenjuju li se. Najbrži put do stvarne usklađenosti jest strukturirana početna procjena. Ona uspoređuje postojeće stanje s primjenjivim zahtjevima te odmah razdvaja tri kategorije: kontrole koje su uspostavljene i dokazive, kontrole koje postoje ali nemaju dovoljno dokaza te kontrole koje nedostaju.
AI vođena samoprocjena može znatno ubrzati tu fazu. Umjesto općenitih upitnika, odgovorne osobe dobivaju pitanja vezana uz pojedine obveze, sustave i procese. Odgovori se zatim povezuju s dokazima i procjenjuju prema unaprijed strukturiranim kriterijima. Rezultat nije samo postotak usklađenosti, nego obrazloženi pregled prioriteta.
To je posebno vrijedno kada organizacija posluje kroz više lokacija, društava ili poslovnih jedinica. Jedinstvena metodologija omogućuje usporedivost, ali ne smije izbrisati lokalne razlike. Primjerice, kontrola upravljanja privilegiranim pristupom može biti centralizirana, dok će dokazi o fizičkoj sigurnosti, kritičnim dobavljačima ili kontinuitetu poslovanja često ostati na razini pojedine lokacije.
Dokaz nije datoteka, nego veza s kontrolom
Revizijski dokaz postaje vrijedan tek kada je jasno što dokazuje. Politika upravljanja incidentima sama po sebi ne potvrđuje da se incidenti prijavljuju, analiziraju i zatvaraju prema utvrđenom postupku. Za to mogu biti potrebni zapisi o vježbama, evidencije prijava, zapisnici o poukama nakon incidenta i dokazi o obavještavanju nadležnih osoba.
Zato platforma za usklađenost mora upravljati dokazima na razini kontrola. Svaki dokument, zapis ili potvrda treba imati vlasnika, datum, status pregleda, razdoblje valjanosti i vezu s konkretnim zahtjevom. Kada dokaz zastari ili nedostaje, sustav treba otvoriti zadatak, a ne čekati da problem otkrije interna revizija.
AI analiza dokumentacije može pritom ubrzati prvu provjeru: prepoznati relevantne dijelove politike, uočiti nedostajuće elemente ili upozoriti da dokument više ne odgovara promijenjenoj obvezi. Završnu stručnu ocjenu ipak mora potvrditi odgovorna osoba. Kod regulatornih dokaza, brzina je korisna samo ako je sljedivost potpuna.
Automatizirajte ciklus od neusklađenosti do zatvaranja
Nalaz bez vlasnika i roka nije plan usklađivanja. Nakon procjene, svaka neusklađenost treba postati upravljiva aktivnost: s opisom rizika, prioritetom, odgovornom osobom, potrebnim resursima, rokom i kriterijem zatvaranja. Tako se sigurnosni jaz iz apstraktnog nalaza pretvara u zadatak koji uprava i operativni timovi mogu pratiti.
Prioritet ne treba određivati samo prema broju bodova u upitniku. Treba uzeti u obzir kritičnost usluge, izloženost prijetnjama, ovisnost o dobavljačima, postojeće kompenzacijske mjere i moguće posljedice prekida poslovanja. Neusklađenost u segmentaciji mreže za kritičnu uslugu i zastarjeli zapis o edukaciji zaposlenika ne nose isti operativni rizik, iako obje traže postupanje.
Dobar automatizirani proces zato povezuje procjenu rizika, plan mjera i provedbu. Kada se aktivnost zatvori, vlasnik prilaže dokaz provedbe. Sustav ga povezuje s kontrolom, bilježi promjenu statusa i po potrebi pokreće ponovnu procjenu. Na taj način organizacija dobiva povijest odluka i dokaz da se rizici ne samo registriraju, nego sustavno smanjuju.
Uspostavite izvješćivanje za upravu i operativne timove
Uprava ne treba pregledavati stotine dokumenata da bi izvršavala svoju odgovornost. Treba dobiti pregled koji pokazuje trenutačnu razinu usklađenosti, otvorene rizike, kritične neusklađenosti, rokove koji dolaze te status ključnih akcijskih planova. Operativni timovi, s druge strane, trebaju detalj: konkretan zadatak, vlasnika, dokaz i sljedeći korak.
Automatizirano izvješćivanje uklanja čest problem ručnog sastavljanja prezentacija neposredno prije sastanka ili nadzora. Kada su procjene, dokazi i aktivnosti vođeni u istom sustavu, izvješće se generira iz aktualnih podataka. Time se smanjuje rizik da uprava odlučuje na temelju zastarjelog stanja.
Izvješća moraju biti prilagođena publici. Sažetak za upravu treba naglasiti poslovni rizik, potrebne odluke i trendove. Izvješće za CISO-a ili voditelja usklađenosti treba pokazati kontrolne praznine, dokaze koji čekaju provjeru i aktivnosti koje kasne. Za regulatorni nadzor potrebno je moći brzo rekonstruirati vezu između zahtjeva, kontrole, dokaza i odluke.
Sigurnost platforme dio je same usklađenosti
Organizacija koja u sustav usklađenosti učitava politike, arhitekture, nalaze ranjivosti i revizijske dokaze ne smije sigurnost tog sustava tretirati kao sporedno pitanje. Posebnu pozornost treba posvetiti kontroli pristupa, razdvajanju ovlasti, enkripciji podataka, evidenciji aktivnosti, lokaciji hostinga i upravljanju dobavljačem platforme.
Za zahtjevne subjekte važna je mogućnost EU hostinga, korištenja internih AI modela i enkripcije na razini polja. U nekim okruženjima presudna može biti i on-premise implementacija. Izbor ovisi o osjetljivosti podataka, internim pravilima, sektorskim zahtjevima i postojećoj arhitekturi. Brzina uvođenja ne smije značiti kompromis u privatnosti ili kontroli nad podacima.
ITrevizija.hr pristupa automatizaciji upravo kroz povezivanje AI procjene, upravljanja dokazima, neusklađenostima, akcijskim planovima i zakonski traženim izvješćima. Cilj nije uvesti višemjesečni GRC projekt, nego omogućiti strukturiran početak rada i kontinuirano praćenje stvarnog stanja.
Mjerite spremnost kontinuirano, a ne pred rok
Usklađenost s NIS2 nije projekt koji se zatvara predajom jednog izvješća. Sustavi se mijenjaju, dobavljači se mijenjaju, zaposlenici odlaze, a prijetnje i regulatorna očekivanja evoluiraju. Kontrole koje su bile uredno dokumentirane prije šest mjeseci danas mogu imati istekao dokaz ili drukčiji profil rizika.
Zato automatizirani sustav treba raditi u ciklusu: procjena, dokaz, nalaz, aktivnost, provjera i izvješće. Periodične podsjetnike treba vezati uz stvarne događaje, poput obnove procjene dobavljača, testiranja plana oporavka, pregleda ovlasti ili vježbe odgovora na incident. Takav ritam čini nadzor predvidivim, a ne kriznim projektom.
Najveća vrijednost automatizacije nije u tome da organizacija brže popuni obrazac. Vrijednost je u mogućnosti da u svakom trenutku pokaže što radi, zašto to radi, tko je odgovoran i kojim dokazom potvrđuje provedbu. To je razina operativne discipline koja istodobno smanjuje regulatorni rizik i jača kibernetičku otpornost.