Nadzor rijetko otkriva samo jedan propust. Češće pokaže obrazac: dokumenti postoje, ali nisu ažurni; kontrole se provode, ali nema dokaza; odgovornost je formalno dodijeljena, ali nitko ne prati rokove. Regulatorna spremnost organizacije zato nije mapa politika pripremljena za slučaj potrebe. To je sposobnost da u svakom trenutku pokažete što radite, zašto to radite, tko je odgovoran i kako dokazujete stvarnu provedbu.
Za subjekte obuhvaćene Zakonom o kibernetičkoj sigurnosti, Uredbom o kibernetičkoj sigurnosti i NIS2 obvezama, razlika između deklarirane i dokazive usklađenosti može imati ozbiljne posljedice. Uprava treba imati pregled rizika i odluka, operativni timovi trebaju jasan plan rada, a osobe odgovorne za usklađenost trebaju pouzdanu vezu između zahtjeva, kontrola, dokaza i izvješća. Bez te veze organizacija troši vrijeme na traženje informacija umjesto na smanjenje rizika.
Regulatorna spremnost organizacije nije projekt za nadzor
Mnoge organizacije započinju pripremu tek kada prime upit nadležnog tijela, kada se približi interna revizija ili nakon ozbiljnog sigurnosnog incidenta. Takav pristup stvara pritisak, ali rijetko stvara trajnu kontrolu nad procesom. Timovi tada prikupljaju dokumente iz više sustava, provjeravaju verzije procedura i pokušavaju rekonstruirati odluke koje nisu bile uredno evidentirane.
Stvarna spremnost počinje puno prije nadzora. Ona uključuje redovito praćenje statusa obveza, procjenu promjena u poslovanju i tehnologiji te upravljanje neusklađenostima do njihova zatvaranja. Organizacija ne mora imati savršeno stanje u svakom trenutku. Može postojati otvoreni nedostatak, odgođena mjera ili preostali rizik. Ključno je da je stanje poznato, procijenjeno, dodijeljeno odgovornoj osobi i potkrijepljeno realnim planom postupanja.
To je posebno važno u složenim okruženjima. Zdravstvena ustanova može ovisiti o starijoj medicinskoj opremi koju nije moguće brzo nadograditi. Energetski subjekt može imati izdvojene operativne mreže s posebnim ograničenjima pristupa. Financijska institucija može koristiti velik broj vanjskih pružatelja usluga. U takvim slučajevima usklađenost nije pitanje prepisivanja generičke politike, nego dokazivanja da su rizici razumljivi i da su mjere razmjerne stvarnom okruženju.
Od regulatornog zahtjeva do operativne kontrole
Regulatorni tekst sam po sebi nije radni plan. Zahtjevi se moraju prevesti u konkretne kontrole, vlasnike, rokove i dokaze. Ako taj prijevod nije jasan, ista se obveza različito tumači u IT-u, pravnoj službi, upravljanju rizicima i poslovnim jedinicama. Rezultat su praznine koje često postanu vidljive tek pri reviziji.
Odredite opseg i vlasništvo
Prvi korak je utvrditi koje se pravne i regulatorne obveze odnose na organizaciju, njezine usluge, informacijske sustave i dobavljače. Opseg ne smije biti pretpostavka. Treba ga dokumentirati i periodično preispitati, osobito nakon akvizicije, uvođenja nove digitalne usluge, migracije u oblak ili promjene ključnog dobavljača.
Nakon toga svaka obveza treba imati poslovnog vlasnika. CISO ili voditelj informacijske sigurnosti može koordinirati proces, ali ne može sam nositi odgovornost za upravljanje dobavljačima, kontinuitet poslovanja, klasifikaciju podataka ili edukaciju zaposlenika. Uprava mora potvrditi prioritete i prihvat preostalog rizika, dok vlasnici procesa trebaju dokazati provedbu u svojem području.
Povežite zahtjeve s kontrolama
Dobra matrica usklađenosti ne staje na oznaci članka zakona. Ona pokazuje koja politika, postupak, tehnička mjera ili ugovorna obveza odgovara pojedinom zahtjevu. Primjerice, zahtjev za upravljanjem pristupima nije ispunjen samo pravilnikom o lozinkama. Potrebni su postupci dodjele i ukidanja pristupa, zapisi o periodičnim provjerama ovlasti, pravila za privilegirane račune te dokaz da se postupak zaista provodi.
Ovdje je korisno razlikovati dizajn kontrole od njezine operativne učinkovitosti. Politika može biti kvalitetno napisana, ali ako se revizija pristupa ne provodi u predviđenim intervalima, kontrola nije učinkovita. Upravo se na toj razlici često gubi vrijeme: organizacija ulaže napor u izradu dokumenata, a premalo u dokazivanje dosljedne provedbe.
Upravljajte nedostacima kao poslovnim odlukama
Neusklađenost ne treba skrivati u tablici bez vlasnika. Svaki utvrđeni nedostatak treba opisati kroz pogođeni zahtjev, rizik, uzrok, privremenu mjeru, trajno rješenje, odgovornu osobu i rok. Time se rasprava mijenja iz pitanja „jesmo li usklađeni?” u pitanje „koji je rizik, što radimo i kada će mjera biti dovršena?”.
Rokovi moraju biti realni. Prekratak rok može stvoriti privid napretka, a zatim niz odgoda koje narušavaju vjerodostojnost izvješćivanja. Predug rok bez kompenzacijskih mjera ostavlja organizaciju izloženom. Pravi izbor ovisi o kritičnosti sustava, vjerojatnosti zlouporabe, dostupnim resursima i utjecaju na poslovanje.
Dokazi koji izdržavaju provjeru
Dokaz nije isto što i dokument. Politika informacijske sigurnosti dokazuje da je organizacija propisala pravila. Zapis o provedenoj edukaciji, izvještaj o testiranju sigurnosne kopije, zapisnik upravljačkog pregleda ili evidencija zatvorenog incidenta pokazuju da se pravila primjenjuju. Za svaku kontrolu treba unaprijed znati koji dokaz se očekuje, tko ga dostavlja, gdje se čuva i koliko dugo ostaje dostupan.
Poseban problem nastaje kada se dokazi nalaze u poštanskim pretincima, lokalnim mapama ili alatima kojima pristup ima samo jedna osoba. Takva decentralizacija povećava administrativni trošak i rizik gubitka konteksta. Centralizirano upravljanje dokazima omogućuje da se uz svaki zahtjev vide relevantni zapisi, datum prikupljanja, odgovorna osoba, status provjere i povezana neusklađenost.
Kvaliteta je važnija od količine. Stotine privitaka ne pomažu ako nije jasno što pojedini dokument potvrđuje. S druge strane, mali skup dobro označenih, ažurnih i provjerenih dokaza može znatno ubrzati internu reviziju i pripremu za nadzor. Dokaz mora biti relevantan, vjerodostojan i dovoljno svjež da prikazuje aktualno stanje, a ne stanje od prije dvije godine.
Kako mjeriti stvarnu razinu spremnosti
Postotak usklađenosti koristan je signal, ali nije dovoljan za upravljanje. Dvije organizacije mogu imati istu ukupnu ocjenu, dok jedna ima otvoren nedostatak u upravljanju incidentima, a druga manje važan nedostatak u administrativnoj evidenciji. Uprava zato treba pregled koji povezuje razinu usklađenosti s poslovnim rizikom i prioritetima ulaganja.
Praktičan model mjerenja prati nekoliko dimenzija: pokrivenost zahtjeva, status kontrola, kvalitetu dokaza, otvorene neusklađenosti, kašnjenja aktivnosti i preostali rizik. Takav pregled omogućuje odgovornim osobama da brzo utvrde gdje su potrebne odluke. Ako je dokaz zastario, treba ga obnoviti. Ako se aktivnost ponavlja, možda treba promijeniti proces ili dodijeliti dodatne resurse. Ako je rizik prihvaćen, odluka mora biti formalno evidentirana i povremeno preispitana.
Kontinuirano praćenje također smanjuje ovisnost o pojedincima. Kada ključna osoba ode na godišnji odmor ili napusti organizaciju, regulatorna evidencija ne smije nestati s njom. Proces mora ostati vidljiv, provjerljiv i dostupan ovlaštenim korisnicima uz odgovarajuće kontrole pristupa.
Uloga automatizacije i AI podrške
Automatizacija je najkorisnija ondje gdje se usklađenost ponavlja: prikupljanje dokaza, podsjetnici na rokove, povezivanje kontrola s obvezama, analiza dokumentacije i izrada izvješća. Ona smanjuje ručni rad i povećava dosljednost, ali ne uklanja potrebu za stručnom procjenom. AI može prepoznati nedostajući sadržaj u dokumentaciji ili predložiti povezanost s regulatornim zahtjevom, no odgovorna osoba mora potvrditi nalaz i odlučiti o mjeri.
Platforma ITrevizija.hr taj pristup primjenjuje kroz AI vođenu procjenu usklađenosti, upravljanje i analizu dokaza, planiranje mjera te automatizirano izvješćivanje. Vrijednost nije u dodatnom alatu koji treba mjesecima konfigurirati, nego u tome da organizacija brzo dobije strukturirano početno stanje, jasno označene praznine i operativan put prema njihovom zatvaranju. Za osjetljive podatke jednako je važno provjeriti gdje se podaci obrađuju, kako se kontrolira pristup i koje se mjere zaštite primjenjuju.
Spremnost se potvrđuje u svakodnevnom radu
Regulatorna spremnost nije rezultat jednokratne kampanje ni odgovornost jednog odjela. Ona se gradi kroz odluke uprave, disciplinu vlasnika procesa, kvalitetu dokaza i redovito preispitivanje rizika. Kada se zahtjevi pretvore u mjerljive aktivnosti, a aktivnosti u provjerljive zapise, nadzor prestaje biti izvanredan događaj koji paralizira organizaciju.
Najkorisnije pitanje koje možete postaviti svojem timu nije „imamo li svu dokumentaciju?”, nego „možemo li danas dokazati da naše najvažnije kontrole rade?”. Odgovor na to pitanje pokazuje stvarnu razinu spremnosti i daje jasan smjer za sljedeću odluku.