Pogrešan odgovor na pitanje DORA ili NIS2 regulativa može organizaciju odvesti u pogrešan projekt usklađivanja, s pogrešnim opsegom kontrola i nedostatnim dokazima za nadzor. Financijska institucija koja pretpostavi da je obuhvaćena samo NIS2 može previdjeti detaljne zahtjeve DORA-e. S druge strane, društvo koje nije financijski subjekt ne može se osloniti na DORA-u kao zamjenu za obveze koje proizlaze iz hrvatskog Zakona o kibernetičkoj sigurnosti.
Ovo nije izbor između dvije usporedive opcije. DORA i NIS2 imaju zajednički cilj – povećati otpornost organizacija na kibernetičke incidente – ali uređuju različite skupine subjekata, različito definiraju prioritete i zahtijevaju drukčiju razinu operativne pripreme. Za upravu, CISO-a i funkciju usklađenosti ključno je najprije utvrditi primjenjivi regulatorni opseg, a zatim uspostaviti sustav kojim se obveze mogu dokazati kontinuirano, ne samo neposredno prije nadzora.
DORA ili NIS2 regulativa: temeljna razlika
NIS2 je europska direktiva o mjerama za visoku zajedničku razinu kibernetičke sigurnosti. Države članice prenose njezine zahtjeve u nacionalno zakonodavstvo. U Hrvatskoj se obveze za obuhvaćene subjekte prvenstveno promatraju kroz Zakon o kibernetičkoj sigurnosti i povezane provedbene zahtjeve. Fokus je na subjektima u ključnim i važnim sektorima, među kojima su energetika, promet, zdravstvo, digitalna infrastruktura, javna uprava, proizvodnja određenih kritičnih proizvoda, upravljanje otpadom i drugi sektori navedeni propisima.
DORA je uredba Europske unije koja se izravno primjenjuje na financijski sektor. Od 17. siječnja 2025. uspostavlja jedinstvena pravila digitalne operativne otpornosti za banke, kreditne institucije, investicijska društva, društva za osiguranje, platne institucije, upravitelje fondova, pružatelje usluga povezanih s kriptoimovinom i druge financijske subjekte obuhvaćene uredbom.
Ključna razlika nije samo u sektoru. NIS2 postavlja široki horizontalni okvir upravljanja kibernetičkim rizicima za značajan broj organizacija. DORA ide dublje u specifičnosti financijskog poslovanja: upravljanje ICT rizikom, prijavu ozbiljnih incidenata, testiranje digitalne operativne otpornosti, ugovorne odnose s ICT dobavljačima i nadzor kritičnih pružatelja ICT usluga.
Kada se primjenjuje DORA, a kada NIS2?
Financijski subjekt ne bi trebao automatski pretpostaviti da mora paralelno provoditi identičan skup DORA i NIS2 obveza. NIS2 predviđa odnos sa sektorskim propisima Unije koji za pojedine subjekte propisuju zahtjeve za upravljanje kibernetičkim rizicima i izvješćivanje barem jednakog učinka. DORA je upravo takav sektorski propis za financijske entitete u području koje uređuje.
U praksi to znači da će za banku, osiguravatelja ili platnu instituciju DORA najčešće biti primarni okvir za digitalnu operativnu otpornost. Međutim, stvarna procjena nikad ne bi smjela stati na nazivu društva. Potrebno je provjeriti pravni status subjekta, vrstu licenci, djelatnosti pojedinih društava unutar grupe, usluge koje se pružaju drugim organizacijama te nacionalne obveze koje mogu postojati izvan užeg područja DORA-e.
Za organizacije iz zdravstva, energetike, telekomunikacija, vodnog gospodarstva, digitalnih usluga i drugih NIS2 sektora, hrvatski propisi o kibernetičkoj sigurnosti u pravilu će biti polazište. Ako takva organizacija pruža ICT usluge financijskim institucijama, DORA joj može biti iznimno važna i bez statusa financijskog subjekta. Financijski klijenti će od nje ugovorom tražiti sigurnosne kontrole, prava na reviziju, obavještavanje o incidentima, planove kontinuiteta i dokazivu sposobnost upravljanja rizicima.
Drugim riječima, formalna izravna obveznost i tržišni zahtjevi kupaca nisu isto, ali mogu dovesti do vrlo sličnih operativnih očekivanja.
Preklapanje postoji, ali dokazi nisu isti
DORA i NIS2 dijele niz temeljnih područja: odgovornost upravljačkog tijela, procjenu rizika, upravljanje incidentima, kontinuitet poslovanja, sigurnost opskrbnog lanca, edukaciju zaposlenika i praćenje učinkovitosti mjera. Organizacija koja već ima zrelu informacijsku sigurnost neće kretati od nule.
Ipak, nije dovoljno imati politiku informacijske sigurnosti, godišnju procjenu rizika i nekoliko zapisa o edukaciji. Regulatorni nadzor traži trag između obveze, uspostavljene kontrole, osobe odgovorne za provedbu i dokaza da se kontrola stvarno provodi. Upravo se na toj poveznici najčešće pojavljuju neusklađenosti.
DORA osobito traži disciplinu u upravljanju ICT dobavljačima. Nije dovoljno evidentirati tko pruža uslugu u oblaku ili održava poslovnu aplikaciju. Organizacija mora razumjeti kritičnost usluge, koncentracijski rizik, lokaciju i tokove podataka, ugovorne obveze dobavljača, izlaznu strategiju te način na koji se dobavljač uključuje u postupanje kod incidenta.
Kod NIS2 naglasak je snažno vezan uz primjerenost mjera rizicima organizacije i pravodobno prijavljivanje značajnih incidenata nadležnim tijelima. To zahtijeva unaprijed definirane kriterije za klasifikaciju incidenta, jasne kontakte, uloge, komunikacijske predloške i redovito uvježbavanje postupaka. Plan koji postoji samo kao dokument, bez zapisa o testiranju i nalazima, teško će biti uvjerljiv dokaz spremnosti.
Uprava ostaje odgovorna
I DORA i NIS2 odgovornost za kibernetičku sigurnost podižu na razinu upravljačkog tijela. To ne znači da uprava mora samostalno odobravati svaku tehničku postavku ili analizirati svaki sigurnosni zapisnik. Znači da mora razumjeti ključne rizike, odobriti relevantne politike, osigurati resurse, pratiti provedbu i moći obrazložiti svoje odluke.
Najčešći problem nije nedostatak tehnologije, nego nedostatak upravljačke slike. CISO može imati popis ranjivosti, IT može voditi projekte, a pravna služba ugovore s dobavljačima, ali uprava i dalje nema objedinjeni pogled na otvorene rizike, rokove, vlasnike aktivnosti i preostalu razinu neusklađenosti. Bez toga odluke ostaju reaktivne.
Dobar model upravljanja zato redovito povezuje poslovne rizike, tehničke nalaze i regulatorne obveze. Izvješće za upravu treba pokazati što je procijenjeno, koje su kontrole neadekvatne, koji je rok za otklanjanje, tko je odgovoran i koji rizik organizacija prihvaća do zatvaranja aktivnosti.
Kako odrediti stvarni opseg obveza
Najbrži put nije kopiranje kontrolne liste s interneta, nego strukturirana početna procjena. Ona treba povezati regulatorne zahtjeve s konkretnim poslovnim procesima, informacijskom imovinom, dobavljačima i postojećim dokazima.
Za učinkovitu odluku potrebno je provjeriti najmanje pet područja:
- pravni status organizacije, sektor, veličinu i usluge koje pruža
- društva, podružnice i zajedničke ICT funkcije unutar grupe
- kritične poslovne usluge, sustave, podatke i ovisnosti o dobavljačima
- postojeće politike, registre, procjene rizika, ugovore i zapise o testiranjima
- postupke prijave incidenata te stvarnu sposobnost odgovora unutar propisanih rokova.
Rezultat ne bi trebao biti samo oznaka DORA ili NIS2. Koristan rezultat je registar obveza s vlasnicima, procijenjenim stanjem, dokazima, prioritetima i planom korektivnih aktivnosti. Ako se utvrdi da organizacija podliježe DORA-i, procjena mora posebno obuhvatiti njezina područja ICT rizika, testiranja i upravljanja trećim stranama. Ako je obuhvaćena NIS2 okvirom, procjena se mora uskladiti s hrvatskim zakonskim i provedbenim zahtjevima te nadležnim tijelima.
Kontinuirana usklađenost umjesto projekta pred nadzor
Usklađenost nije dokument koji se izradi jednom godišnje. Promjena dobavljača, migracija u oblak, akvizicija, novi digitalni kanal ili ozbiljan incident mogu promijeniti profil rizika i učiniti prethodnu procjenu zastarjelom. Zato organizacija treba održavati dokaze tijekom redovnog rada.
To je posebno važno kada su dokazi raspršeni po e-pošti, mrežnim diskovima, alatima za upravljanje projektima i osobnim mapama. Traženje dokumentacije neposredno prije nadzora tada postaje višemjesečni administrativni posao, a kvaliteta odgovora ovisi o dostupnosti pojedinaca.
Platforme za upravljanje usklađenošću mogu taj proces pretvoriti u kontrolirani operativni ciklus: zahtjev se povezuje s kontrolom, kontrola s dokazom, nalaz s vlasnikom, a aktivnost s rokom i izvješćem. ITrevizija.hr pritom koristi AI za analizu dokumentacije, upravljanje dokazima, procjenu neusklađenosti i izradu plana usklađivanja, uz EU hosting, interne AI modele i enkripciju na razini polja. Takav pristup ne uklanja odgovornost uprave ni stručnu prosudbu, ali značajno smanjuje vrijeme potrebno za prikupljanje, provjeru i dokazivanje provedbe.
Pravo pitanje zato nije samo podliježete li DORA-i ili NIS2. Pitanje je možete li već sada, za svaku ključnu obvezu, pokazati vlasnika, provedenu kontrolu, aktualan dokaz i sljedeći korak ako dokaz otkrije nedostatak. Organizacija koja to može učiniti ne čeka nadzor da bi saznala svoje stvarno stanje sigurnosti.