Kibernetički incident više nije isključivo problem IT odjela. Ako napad zaustavi proizvodnju, kompromitira zdravstvene podatke, prekine pružanje usluge ili ugrozi lanac opskrbe, posljedice postaju poslovne, regulatorne i upravljačke. Zato NIS2 Hrvatska treba promatrati kao promjenu načina na koji organizacija upravlja odgovornošću, rizicima i dokazima o provedenim sigurnosnim mjerama.
Za uprave, CISO-e, voditelje usklađenosti i interne revizore ključno pitanje nije samo podliježe li organizacija propisima. Pitanje je može li u svakom trenutku pokazati da razumije svoj rizik, da je poduzela primjerene mjere i da ima operativan postupak kada se incident dogodi.
Što NIS2 u Hrvatskoj mijenja u praksi
NIS2 je europski regulatorni okvir za višu zajedničku razinu kibernetičke sigurnosti. U Hrvatskoj se njegove obveze provode kroz nacionalni zakonodavni okvir, ponajprije Zakon o kibernetičkoj sigurnosti i povezane podzakonske zahtjeve. Cilj nije formalno prikupljanje politika u jednoj mapi. Cilj je dokaziva operativna otpornost organizacija čije bi ozbiljnije narušavanje sigurnosti moglo imati šire posljedice za gospodarstvo, javne usluge ili građane.
Obuhvat se odnosi na subjekte u kritičnim i važnim sektorima, uključujući energetiku, promet, zdravstvo, digitalnu infrastrukturu, financijske usluge, javnu upravu, proizvodnju određenih proizvoda, telekomunikacije i druge djelatnosti propisane zakonom. Status ne ovisi uvijek samo o nazivu djelatnosti. Veličina organizacije, vrsta usluge, njezina važnost za društvo i međusobna povezanost s drugim subjektima također mogu biti relevantni.
Zato početna procjena ne smije biti usputna administrativna vježba. Organizacija najprije treba utvrditi svoj regulatorni status, primjenjive zahtjeve i odgovorne osobe. Pogrešna pretpostavka da se propis “vjerojatno ne odnosi na nas” može skupo koštati, posebno kada dobavljač ili partner zatraži dokaz o sigurnosnoj spremnosti.
NIS2 Hrvatska stavlja upravu u središte odgovornosti
Jedna od najvažnijih promjena jest jasnija uloga upravljačkih tijela. Uprava ne mora osobno konfigurirati zaštitu mreže niti analizirati zapise sustava. Međutim, mora nadzirati provedbu mjera upravljanja kibernetičkim rizicima, osigurati potrebne resurse i razumjeti ključne rizike kojima je organizacija izložena.
To u praksi znači da kibernetička sigurnost mora dobiti mjesto u redovitom upravljačkom ciklusu. Uprava treba dobivati jasne, sažete i mjerljive informacije: koje su ključne neusklađenosti, koji su rizici iznad prihvatljive razine, tko je vlasnik pojedine aktivnosti, koji su rokovi te postoji li dokaz da je mjera stvarno provedena.
Samo godišnja prezentacija o stanju sigurnosti nije dovoljna ako između dva izvještajna razdoblja nema praćenja provedbe. NIS2 zahtijeva kontinuitet. Organizacija koja ima kvalitetnu politiku, ali ne zna jesu li kontrolne mjere aktivne u stvarnim poslovnim procesima, ostaje izložena i regulatorno i operativno.
Odgovornost nije isto što i tehnička izvedba
Uspješan model razdvaja upravljačku odgovornost od svakodnevne tehničke provedbe. Uprava određuje smjer, prihvaća rizik na svjesnoj osnovi i prati izvršenje. CISO, IT tim, vlasnici procesa, pravna služba, ljudski resursi i nabava provode dodijeljene obveze unutar svojih područja.
Takva podjela rada sprječava čestu pogrešku: pretvaranje NIS2 usklađenosti u izolirani IT projekt. Sigurnosni zahtjevi dotiču upravljanje dobavljačima, kontinuitet poslovanja, upravljanje imovinom, edukaciju zaposlenika, ugovore, postupke zapošljavanja i upravljanje promjenama. Bez uključenosti tih funkcija dokumentacija će postojati, ali kontrola nad rizikom neće.
Koje sposobnosti organizacija mora moći dokazati
Regulatorni zahtjevi traže mjere upravljanja rizicima koje su primjerene izloženosti organizacije. Ne postoji identičan popis tehničkih rješenja za svakog subjekta. Bolnica, operator digitalne infrastrukture i proizvodna tvrtka imaju različite kritične procese, sustave i toleranciju na prekid rada.
Ipak, organizacija u pravilu mora moći pokazati da sustavno upravlja nekoliko povezanih područja:
- procjenom rizika i sigurnosnim politikama
- upravljanjem incidentima i kontinuitetom poslovanja
- sigurnošću lanca opskrbe i vanjskih pružatelja usluga
- upravljanjem ranjivostima, zakrpama, identitetima i pristupima
- edukacijom zaposlenika te osnovnom kibernetičkom higijenom
- praćenjem učinkovitosti mjera i upravljanjem dokazima.
Važno je razlikovati postojanje kontrole od njezine učinkovitosti. Primjerice, višefaktorska autentifikacija može biti implementirana, ali izuzeci za administrativne račune mogu ostati nedokumentirani. Plan oporavka može biti napisan, ali nikada testiran. Ugovor s dobavljačem može sadržavati opću sigurnosnu klauzulu, ali bez obveze prijave incidenta i prava na provjeru.
Nadzor će upravo na takvim razlikama prepoznati je li riječ o stvarnoj usklađenosti ili samo o uredno pripremljenim dokumentima.
Prijava incidenata traži pripremu prije incidenta
Rokovi za prijavu značajnih incidenata mogu biti kratki. Zbog toga se odgovor ne može graditi tek kada je organizacija pod pritiskom napada, prekida usluge ili medijskog upita. Potrebni su unaprijed definirani kriteriji za procjenu značajnosti, kontaktne točke, eskalacijski put, predlošci obavijesti i ovlasti za donošenje odluka.
Posebnu pozornost treba posvetiti vezi između sigurnosnog, pravnog i komunikacijskog tima. Kibernetički incident može istodobno otvoriti obveze prema pravilima o zaštiti osobnih podataka, ugovornim partnerima, osiguravatelju i nadležnim tijelima. Ako timovi rade odvojeno, raste rizik kontradiktornih poruka, propuštenih rokova i nepotpunih činjenica.
Dobra procedura ne pretpostavlja da će svaki detalj biti poznat u prvih nekoliko sati. Ona određuje kako se prijavljuje početna procjena, kako se informacije ažuriraju i tko čuva dokaz o svim poduzetim koracima. Ta sljedivost često je jednako važna kao i sama tehnička sanacija.
Zašto tablice i dijeljene mape brzo postaju ograničenje
Mnoge organizacije kreću s proračunskom tablicom, popisom kontrola i mapom dokaza. To može biti razumno za početno mapiranje obveza. Problem nastaje kada treba povezati pojedini zahtjev s vlasnikom aktivnosti, procjenom rizika, dokazom, rokovima, utvrđenom neusklađenošću i izvještajem za upravu.
Tada se pojavljuju duplikati, zastarjeli dokumenti, nejasne odgovornosti i višestruke verzije istog izvještaja. Timovi počinju trošiti stotine sati na traženje potvrda, usklađivanje statusa i pripremu materijala za reviziju, umjesto na smanjenje stvarnog rizika.
Operativno rješenje treba omogućiti jedinstven pregled zahtjeva, kontrola, dokaza i korektivnih aktivnosti. AI može ubrzati analizu dokumentacije, prepoznati nedostatke u dokazima i pomoći pri izradi plana usklađivanja, ali ne smije zamijeniti stručnu procjenu odgovorne osobe. Posebno u reguliranim sektorima važno je znati gdje se podaci obrađuju, tko im pristupa i kako su zaštićeni.
ITrevizija.hr pristupa tom problemu kroz strukturiranu samoprocjenu, upravljanje dokazima, praćenje neusklađenosti i automatizirano izvješćivanje. Prednost takvog pristupa nije samo brži početak rada, nego mogućnost da se usklađenost prati kao proces koji se može mjeriti, provjeriti i braniti pred nadzorom.
Prvih 90 dana: od neizvjesnosti do upravljačkog plana
Najbolji početak nije kupnja tehnologije niti naručivanje velikog broja politika. Početak je precizna slika postojećeg stanja. Organizacija treba imenovati vlasnika programa, potvrditi primjenjivost propisa i mapirati kritične usluge, imovinu, ovisnosti i ključne dobavljače.
Nakon toga slijedi procjena jaza prema primjenjivim zahtjevima. Svaka utvrđena neusklađenost treba dobiti vlasnika, prioritet, rok, procjenu potrebnih resursa i očekivani dokaz zatvaranja. Plan bez vlasnika i roka nije plan upravljanja, nego popis želja.
U prvih 90 dana korisno je uspostaviti i ritam izvještavanja prema upravi. Kratko mjesečno izvješće s pregledom najvećih rizika, otvorenih aktivnosti, statusa dokaza i prepreka u provedbi daje bolju kontrolu od opsežnog izvještaja jednom godišnje. Ako se promijeni kritični dobavljač, dogodi spajanje sustava ili otkrije ozbiljna ranjivost, procjena se mora ažurirati.
Trošak usklađivanja ovisi o početnoj zrelosti, broju lokacija, složenosti informacijskih sustava i razini oslanjanja na vanjske pružatelje usluga. Neke će organizacije trebati prije svega urediti upravljačku dokumentaciju i dokaze. Druge će morati ulagati u segmentaciju mreže, nadzor, upravljanje identitetima, oporavak od incidenta ili sigurnost dobavljača. Zato je procjena stanja prije izrade proračuna pouzdanija od generičkog paketa mjera.
NIS2 nije projekt koji završava predajom jednog izvještaja. Organizacija koja sada uspostavi jasne odgovornosti, vjerodostojne dokaze i redovito upravljanje rizicima neće samo lakše odgovoriti na nadzor. Imat će i konkretnu prednost kada se dogodi sigurnosni događaj koji ne može čekati administrativnu pripremu.