Revizijski sastanak ne počinje kada revizor postavi prvo pitanje, nego mnogo ranije – u trenutku kada organizacija može pokazati tko je odgovoran za pojedinu obvezu, koji dokaz to potvrđuje i kada je dokaz posljednji put provjeren. Dobro strukturirana kontrolna lista za NIS2 audit pretvara regulatorne zahtjeve u provjerljive aktivnosti, bez oslanjanja na usmena objašnjenja, nepovezane tablice i dokumente pohranjene na različitim lokacijama.
Za subjekte obuhvaćene NIS2 regulativom i hrvatskim Zakonom o kibernetičkoj sigurnosti, cilj nije samo proći pojedinačni nadzor. Cilj je uspostaviti dokazivu, ponovljivu i upravljivu razinu kibernetičke sigurnosti. To zahtijeva jasnu vezu između rizika, kontrola, vlasnika aktivnosti, dokaza i korektivnih mjera.
Što kontrolna lista za NIS2 audit mora pokazati
Kontrolna lista nije popis politika koje organizacija namjerava napisati. Ona je operativni model pripreme: za svaki zahtjev mora biti jasno postoji li kontrola, primjenjuje li se u praksi, tko je njezin vlasnik, gdje se nalazi dokaz i postoji li otvorena nesukladnost.
To je posebno važno jer dokument sam po sebi rijetko predstavlja dovoljan dokaz. Politika upravljanja pristupima može biti odobrena, ali audit će tražiti i tragove njezine primjene: evidencije dodjele i ukidanja prava, periodične recertifikacije pristupa, zapise o privilegiranim računima i postupanje pri odlasku zaposlenika. Ista logika vrijedi za sigurnosne kopije, upravljanje ranjivostima, planove oporavka i prijavu incidenata.
Kvalitetna lista zato razlikuje tri statusa. Prvi je „usklađeno i dokazano”, kada je kontrola provedena i dokaz je aktualan. Drugi je „djelomično usklađeno”, kada praksa postoji, ali nije dosljedna, dokumentirana ili mjerljiva. Treći je „neusklađeno”, kada kontrola nedostaje ili se ne može dokazati. Upravo druga kategorija najčešće stvara najveći rizik jer organizacije pogrešno pretpostavljaju da neformalna praksa automatski znači usklađenost.
1. Upravljanje, odgovornost i nadzor uprave
NIS2 snažno naglašava odgovornost upravljačkih tijela. U revizijskoj pripremi treba provjeriti jesu li uloge i ovlasti u području kibernetičke sigurnosti formalno definirane, razumije li uprava ključne rizike te prima li redovita izvješća o stanju sigurnosti i provedbi mjera.
Dokazi u ovom području mogu uključivati odluke uprave, zapisnike sjednica, odobrene politike, imenovanja odgovornih osoba, izvješća o rizicima i planove edukacije rukovodstva. Nije dovoljno imenovati CISO-a ili voditelja informacijske sigurnosti ako ta osoba nema mandat, resurse i jasnu eskalacijsku putanju prema upravi.
Praktično pitanje za audit glasi: može li organizacija u nekoliko minuta pokazati tko donosi sigurnosne odluke, tko ih provodi i kako uprava prati rezultate? Ako odgovor ovisi o više osoba i ne postoji jedinstvena evidencija, riječ je o organizacijskom nedostatku koji treba zatvoriti prije nadzora.
2. Procjena rizika i upravljanje imovinom
Mjere sigurnosti trebaju proizlaziti iz procijenjenih rizika, a ne iz nasumično odabranog skupa tehničkih alata. Kontrolna lista treba obuhvatiti metodologiju procjene rizika, registar rizika, kriterije prihvatljivosti rizika, vlasnike rizika i odluke o njihovu tretmanu.
Osnova toga je pouzdan popis imovine. Organizacija mora znati koje informacijske sustave, podatke, mrežne komponente, cloud usluge, lokacije i vanjske ovisnosti štiti. U reguliranim sektorima često nisu problem samo produkcijski sustavi. Razvojna okruženja, udaljeni pristup dobavljača, nezaštićene administrativne konzole i zastarjeli sustavi jednako mogu otvoriti put prema kritičnim podacima ili uslugama.
Ovdje treba izbjeći formalizam. Registar imovine koji se ažurira jednom godišnje možda je dovoljan za stabilnu infrastrukturu, ali nije dovoljan ako se sustavi, dobavljači i cloud resursi mijenjaju iz mjeseca u mjesec. Učestalost pregleda mora odgovarati stvarnoj dinamici poslovanja i razini rizika.
3. Tehničke i operativne sigurnosne mjere
NIS2 zahtijeva skup mjera upravljanja kibernetičkim rizicima, ali ne propisuje jednu identičnu tehničku konfiguraciju za svaku organizaciju. Kontrole moraju biti proporcionalne izloženosti, veličini subjekta, kritičnosti usluga i posljedicama prekida poslovanja.
U operativnoj provjeri potrebno je obuhvatiti najmanje sljedeća područja:
- upravljanje identitetima, višefaktorsku autentifikaciju i privilegirane pristupe
- upravljanje ranjivostima, zakrpama, konfiguracijama i životnim ciklusom sustava
- sigurnosne kopije, testiranje povrata podataka i planove kontinuiteta poslovanja
- nadzor sigurnosnih događaja, vođenje zapisa i postupanje po upozorenjima
- segmentaciju mreže, zaštitu krajnjih točaka i sigurnost komunikacija
- edukaciju zaposlenika, simulacije i postupanje s prijavama sumnjivih aktivnosti.
Za svako područje revizijska evidencija mora sadržavati više od opisa alata. Primjerice, nabava EDR rješenja nije dokaz da se krajnje točke nadziru. Potrebno je pokazati pokrivenost uređaja, pravila za upozorenja, odgovornu osobu, evidenciju postupanja po incidentima i redovito izvještavanje. Slično vrijedi za sigurnosne kopije: uspješna izrada kopije nije isto što i uspješno testiran oporavak.
4. Upravljanje incidentima i zakonsko izvješćivanje
Incident response plan često postoji kao dokument, ali tijekom audita brzo se utvrdi je li organizacija sposobna primijeniti ga pod pritiskom. Kontrolna lista treba potvrditi da su definirani kriteriji klasifikacije, kanali eskalacije, odgovornosti, kontaktni podaci, komunikacijski predlošci i proces očuvanja dokaza.
Posebnu pozornost treba posvetiti obvezama prijavljivanja značajnih incidenata nadležnim tijelima. Organizacija mora moći procijeniti ozbiljnost događaja, prikupiti činjenice bez nepotrebnog odgađanja i pripremiti tražene obavijesti u propisanim rokovima. To nije zadatak koji se smije improvizirati tek nakon ransomware napada ili prekida ključne usluge.
Dobar test spremnosti jest scenarijska vježba. Odaberite realan događaj, primjerice kompromitirani korisnički račun s pristupom osjetljivim sustavima, i provjerite koliko je vremena potrebno da se incident otkrije, procijeni, eskalira, ograniči i dokumentira. Vježba često otkrije nedostupne kontakte, nejasne ovlasti i praznine u zapisima koje politika nije mogla pokazati.
5. Sigurnost dobavljača i lanca opskrbe
Mnoge ključne poslovne usluge danas ovise o vanjskim pružateljima: cloud infrastrukturi, održavanju poslovnih aplikacija, telekomunikacijama, sigurnosnim operativnim centrima ili specijaliziranim integratorima. NIS2 audit zato ne smije stati na granici vlastite mreže.
Provjerite postoji li klasifikacija dobavljača prema kritičnosti, sigurnosna procjena prije ugovaranja, ugovorne obveze vezane uz zaštitu podataka i incidente te periodični nadzor usluga. Za kritične dobavljače treba definirati i izlazni plan – što se događa ako usluga prestane, dobavljač pretrpi incident ili više ne može ispunjavati sigurnosne zahtjeve.
Razina dubine ovisi o ugovornom odnosu i kritičnosti usluge. Organizacija ne može uvijek provesti izravni audit velikog globalnog pružatelja usluga, ali može zahtijevati relevantne potvrde, izvješća, ugovorne klauzule i transparentan proces prijave incidenata. Bitno je da procjena nije prepuštena pretpostavci da je poznati dobavljač automatski prihvatljiv rizik.
Kako upravljati dokazima bez administrativnog kaosa
Najveći operativni problem pripreme za audit obično nije nedostatak pojedinačnih dokumenata, nego njihov nedostatak konteksta. Dokaz mora biti povezan s konkretnim zahtjevom, kontrolom, vlasnikom, datumom provjere i statusom. Bez toga se isti dokumenti iznova traže, rokovi se propuštaju, a uprava nema stvarnu sliku otvorenih rizika.
Centralizirano upravljanje dokazima omogućuje da se za svaku stavku kontrolne liste odmah vidi relevantna dokumentacija, rezultat procjene i sljedeća aktivnost. AI analiza dokumentacije može ubrzati početnu procjenu, prepoznati nedostajuće elemente i pomoći pri razvrstavanju dokaza, ali ne uklanja potrebu za stručnom provjerom. Regulatorna usklađenost traži prosudbu: dokument može sadržavati prave pojmove, a da ipak ne dokazuje stvarnu provedbu kontrole.
Platforma ITrevizija.hr organizacijama omogućuje povezivanje zahtjeva, dokaza, procjena, nesukladnosti i akcijskih planova u jedinstvenom sustavu. Time se priprema ne svodi na jednokratni projekt prije nadzora, nego postaje kontinuirani proces s jasnim vlasništvom i mjerljivim napretkom.
Završna provjera prije NIS2 audita
Prije zatvaranja pripreme, pregledajte svaku stavku iz perspektive osobe koja nije sudjelovala u njezinoj provedbi. Može li ona razumjeti zahtjev, pronaći dokaz, potvrditi datum, identificirati odgovornu osobu i vidjeti kako je eventualni nedostatak riješen? Ako ne može, kontrola još nije revizijski spremna.
Najjača priprema nije ona s najviše dokumenata, nego ona u kojoj svaki dokument ima svrhu, svaki rizik ima vlasnika, a svaka otvorena nesukladnost ima realan rok i odgovornu osobu. Takva disciplina ne služi samo auditu – ona upravi daje kontrolu nad stvarnom kibernetičkom otpornošću organizacije.