NIS2 nije pitanje koje se može prepustiti isključivo IT odjelu, vanjskom dobavljaču ili jednoj osobi zaduženoj za informacijsku sigurnost. Kada se postavi pitanje tko odgovara za NIS2, polazište je jasno: krajnja odgovornost za upravljanje kibernetičkim rizicima pripada upravljačkom tijelu organizacije. U praksi to znači upravi, izvršnim direktorima, članovima upravnog odbora ili drugom tijelu koje donosi najviše poslovne odluke.
To ne znači da uprava mora osobno konfigurirati sigurnosne alate ili voditi evidenciju svakog incidenta. Međutim, mora razumjeti rizike, odobriti mjere upravljanja rizicima, nadzirati njihovu provedbu i moći pokazati da je organizacija sigurnosti pristupila sustavno. Za subjekte obuhvaćene hrvatskim Zakonom o kibernetičkoj sigurnosti i povezanim obvezama NIS2, to je upravljačka, a ne samo tehnička odgovornost.
Tko odgovara za NIS2: uprava je krajnje odgovorna
NIS2 podiže razinu odgovornosti upravljačkih tijela. Sigurnost više nije izdvojena tehnička tema koja se otvara tek nakon incidenta, nego dio korporativnog upravljanja, kontinuiteta poslovanja i regulatorne odgovornosti.
Upravljačko tijelo treba odobriti mjere za upravljanje rizicima kibernetičke sigurnosti i pratiti njihovu provedbu. Također mora proći odgovarajuću edukaciju kako bi moglo prepoznati glavne prijetnje, razumjeti posljedice sigurnosnih propusta i donositi informirane odluke. Očekivanje nije da svaki član uprave postane stručnjak za mrežnu sigurnost. Očekivanje je da ne može tvrditi kako nije znao da organizacija nema kontrolu nad ključnim rizicima.
Ta razlika je presudna. CISO, voditelj informatike ili službenik za usklađenost mogu pripremiti procjenu rizika, predložiti kontrole i voditi provedbu. Uprava mora osigurati mandat, resurse, prioritete i nadzor. Ako sigurnosni plan ostane neodobren, ako za kritične nedostatke nema vlasnika ili ako se mjere godinama odgađaju bez evidentirane odluke, problem nije samo operativan.
Odgovornost uprave posebno dolazi do izražaja kod odluka koje prelaze granice jednog odjela: ulaganja u zaštitu infrastrukture, upravljanje dobavljačima, planovi kontinuiteta poslovanja, prihvaćanje preostalog rizika te postupanje nakon ozbiljnog incidenta.
Operativna odgovornost mora biti jasno raspoređena
Krajnja odgovornost ne znači da svi zadaci završavaju na stolu uprave. Organizacija mora odrediti tko je operativno odgovoran za pojedine dijelove sustava upravljanja kibernetičkom sigurnošću. Bez toga NIS2 lako postaje niz nepovezanih dokumenata, tehničkih projekata i tablica koje nitko ne održava.
Najčešće je voditelj informacijske sigurnosti ili CISO nositelj koordinacije. On ili ona prati procjenu rizika, definira sigurnosne politike, usklađuje rad IT-a, pravne službe, ljudskih potencijala i nabave te izvještava upravu o stanju rizika i napretku mjera. U manjim organizacijama tu ulogu može obavljati IT menadžer ili vanjski stručnjak, pod uvjetom da su ovlasti, opseg rada i način izvještavanja nedvosmisleno utvrđeni.
IT odjel odgovara za tehničku provedbu: upravljanje pristupima, zakrpe, sigurnosne kopije, nadzor sustava, segmentaciju mreže, zaštitu krajnjih uređaja i oporavak. No IT ne može sam riješiti pitanja kao što su kriteriji za odabir dobavljača, klasifikacija poslovno kritičnih usluga, ugovorne obveze partnera ili odluka o prihvatljivoj razini rizika.
Pravna služba i služba usklađenosti trebaju pratiti regulatorne obveze, rokovnike, način dokumentiranja odluka te veze između kibernetičke sigurnosti, zaštite osobnih podataka i sektorskih propisa. Nabava mora uključiti sigurnosne zahtjeve u odabir i ugovaranje dobavljača. Ljudski potencijali imaju ulogu u edukaciji zaposlenika, postupcima zapošljavanja i upravljanju pristupima pri promjeni radnog mjesta ili odlasku zaposlenika.
Drugim riječima, NIS2 zahtijeva vlasništvo nad procesima, ne samo vlasništvo nad dokumentima.
Vanjski partner može pomoći, ali ne preuzima obvezu
Mnoge organizacije koriste vanjski SOC, cloud infrastrukturu, upravljane IT usluge ili vanjskog DPO-a i sigurnosnog savjetnika. To je često racionalno, osobito kada nedostaju specijalizirani ljudi ili kada je potreban neprekidan nadzor. Međutim, prijenos aktivnosti nije prijenos odgovornosti.
Vanjski pružatelj može otkrivati prijetnje, upravljati sigurnosnim kopijama, provoditi testiranja ili pripremati dokumentaciju. Organizacija i dalje mora znati koje usluge pružatelj stvarno pokriva, koje su njegove ugovorne obveze, koliko brzo prijavljuje incident i kako se provjerava kvaliteta isporuke. Uprava mora dobiti pouzdanu informaciju o tome postoje li preostali rizici koje ugovor ne pokriva.
To je osobito važno u lancu opskrbe. Incident kod dobavljača može zaustaviti proizvodnju, uskratiti pristup podacima ili kompromitirati korisničke račune, bez obzira na to je li napad započeo unutar organizacije. Stoga se odgovornost ne iscrpljuje potpisivanjem ugovora s poznatim pružateljem usluge. Potrebna je procjena rizika dobavljača i dokazi o kontinuiranom nadzoru.
Kako uprava dokazuje da je ispunila svoju ulogu
Kod nadzora nije dovoljno reći da se sigurnost redovito razmatra. Organizacija treba moći predočiti trag donošenja odluka i provedbe. Dobra praksa počinje periodičnim izvještavanjem uprave koje ne zatrpava članove tehničkim detaljima, nego jasno pokazuje stanje.
Takav izvještaj treba obuhvatiti ključne rizike, status obveznih mjera, otvorene nesukladnosti, ozbiljne incidente i rezultate vježbi, ovisnosti o dobavljačima te odluke koje zahtijevaju upravljačku razinu. Kada postoji odstupanje – primjerice, kritični sustav nema testiran plan oporavka – mora biti vidljivo tko je vlasnik mjere, koji je rok, koji su potrebni resursi i je li uprava prihvatila eventualni preostali rizik.
Za dokazivu usklađenost posebno su vrijedni sljedeći zapisi:
- odluke uprave o odobravanju sigurnosnih politika, programa i proračuna
- zapisnici ili materijali koji potvrđuju edukaciju upravljačkog tijela
- aktualna procjena rizika s jasno imenovanim vlasnicima rizika
- plan postupanja po nesukladnostima, s rokovima i dokazima zatvaranja
- evidencije incidenata, vježbi, testiranja i postupanja nakon nalaza
- procjene dobavljača te ugovorni sigurnosni zahtjevi za kritične usluge.
Kvaliteta tih dokaza važnija je od njihove količine. Zastarjela politika bez potvrde primjene ne dokazuje puno. Jednako tako, tehnički alat sam po sebi nije dokaz da se rizikom upravlja. Dokaz nastaje kada se može povezati zahtjev, procijenjeni rizik, donesena odluka, provedena mjera i provjera njezina učinka.
Najčešća pogreška: odgovornost bez ovlasti i resursa
Organizacije često formalno imenuju odgovornu osobu, ali joj ne daju pristup upravi, proračun, mogućnost traženja podataka od drugih odjela ni ovlast za eskalaciju. Tada je odgovornost samo deklarativna. Osoba zadužena za sigurnost može upozoravati na problem, ali ne može osigurati njegovo rješavanje.
Druga česta pogreška jest pretpostavka da će certifikat, sigurnosni alat ili vanjska revizija automatski riješiti NIS2 obveze. Ti elementi mogu biti vrlo korisni, ali nisu zamjena za sustavno upravljanje. Organizacija može imati kvalitetne tehničke kontrole, a i dalje nemati dokumentiranu procjenu rizika, plan prijave incidenta ili uredno upravljanje dobavljačima.
Suprotan problem je pretjerana birokracija. Ako se usklađenost pretvori u ručno prikupljanje dokaza po e-pošti i nepregledne proračunske tablice, timovi troše vrijeme na administraciju umjesto na smanjenje rizika. Operativni model mora biti dovoljno detaljan za nadzor, ali dovoljno jednostavan da se može održavati tijekom cijele godine.
Praktičan model odgovornosti za NIS2
Učinkovit model može se postaviti kroz tri razine. Uprava odobrava smjer, toleranciju na rizik, prioritete i resurse te prima redovita izvješća. Vlasnik programa kibernetičke sigurnosti koordinira zahtjeve, prati stanje usklađenosti i eskalira prepreke. Vlasnici procesa u IT-u, nabavi, pravnoj službi, poslovnim jedinicama i ljudskim potencijalima provode konkretne mjere i prilažu dokaze.
Takva podjela mora biti zapisana, ali i primjenjiva. Za svaki zahtjev treba biti jasno tko ga provodi, tko odobrava rezultat, tko dostavlja dokaz i kada se status ponovno provjerava. Kod kritičnih mjera korisno je definirati i zamjenu odgovorne osobe, jer usklađenost ne smije ovisiti o znanju jednog zaposlenika.
Platforme poput ITrevizija.hr mogu taj proces učiniti znatno preglednijim: povezati regulatorne zahtjeve s kontrolama, dodijeliti vlasnike aktivnosti, prikupljati i analizirati dokaze te upravi dati aktualan prikaz otvorenih rizika i nesukladnosti. Time se odgovornost ne automatizira niti prenosi na softver, ali se uklanja velik dio ručnog rada koji skriva stvarno stanje.
Najbolji prvi korak nije izrada još jedne opće politike. To je kratka, iskrena provjera: zna li uprava koji su najvažniji kibernetički rizici, tko je vlasnik svakog od njih i postoje li dokazi da se dogovorene mjere doista provode? Ako odgovor nije jasan, upravo tu treba započeti rad na NIS2 spremnosti.