Koliko traje priprema za NIS2 najčešće ovisi manje o veličini organizacije, a više o tome može li ona dokazati da sigurnosne mjere doista provodi. Organizacija s uređenim upravljanjem rizicima, evidentiranom imovinom, ugovorima s dobavljačima i aktualnim dokazima može pripremu strukturirati u nekoliko mjeseci. Ako dokumentacija ne postoji, odgovornosti nisu dodijeljene ili se mjere provode neformalno, realan rok često je između šest i dvanaest mjeseci.
Važno je razlikovati pripremu za usklađivanje od jednokratnog projekta. NIS2 je europska direktiva, dok se obveze za organizacije u Hrvatskoj primjenjuju kroz Zakon o kibernetičkoj sigurnosti – ZKS (NN 14/2024) i Uredbu o kibernetičkoj sigurnosti (NN 135/2024). Stoga trajanje pripreme treba planirati prema zahtjevima hrvatskog propisnog okvira, statusu subjekta i stvarnom stanju kontrola.
Koliko traje priprema za NIS2 prema početnom stanju
Za većinu ključnih i važnih subjekata koristan je plan u tri vremenska horizonta. Prvih 30 do 60 dana služi za utvrđivanje opsega, početnu samoprocjenu i prikupljanje postojećih dokaza. Sljedeća dva do šest mjeseci obično su potrebna za uklanjanje utvrđenih nedostataka. Završna faza uključuje provjeru provedbe, pripremu upravljačkog pregleda i uspostavu kontinuiranog praćenja.
| Početno stanje organizacije | Tipično trajanje | Što najviše utječe na rok | |—|—:|—| | Uređen sustav upravljanja sigurnošću i redovite interne provjere | 2 do 4 mjeseca | Usklađivanje postojećih dokaza sa zahtjevima ZKS-a i Uredbe | | Djelomično uređene politike i tehničke kontrole | 4 do 8 mjeseci | Formaliziranje procesa, odgovornosti, evidencija i upravljanja dobavljačima | | Neujednačene mjere, nepregledna dokumentacija i nedostatak dokaza | 6 do 12 mjeseci | Izgradnja upravljačkog sustava, procjena rizika i provedba prioritetnih mjera |
Ovi rasponi nisu zakonski rokovi niti zamjenjuju procjenu za pojedinu organizaciju. Mogu se skratiti kada uprava pravodobno osigura vlasnike aktivnosti, proračun i pristup relevantnim dokazima. Mogu se produljiti ako je potrebno mijenjati ugovore, nabaviti sigurnosne usluge, uvesti nove procedure ili uskladiti više povezanih društava.
Što mora biti obuhvaćeno pripremom
Prvi korak nije pisanje politike informacijske sigurnosti, nego utvrđivanje primjenjivosti propisa i opsega. Organizacija mora razumjeti pripada li kategoriji ključnog ili važnog subjekta, koje usluge pruža, koji su sustavi nužni za njihovu isporuku i gdje se obrađuju podaci. Pogrešno određen opseg stvara privid brzog napretka, ali kasnije dovodi do propuštenih sustava, dobavljača i rizika.
Nakon toga slijedi procjena trenutačnog stanja prema primjenjivim organizacijskim, operativnim i tehničkim zahtjevima. U praksi se procjenjuju upravljanje rizicima, odgovornosti uprave, upravljanje imovinom, kontrola pristupa, upravljanje incidentima, kontinuitet poslovanja, sigurnost lanca opskrbe, edukacija zaposlenika, upravljanje ranjivostima te nadzor učinkovitosti mjera.
Nije dovoljno potvrditi da neka mjera postoji. Potrebno je utvrditi je li odobrena, primjenjuje li se u praksi, tko je odgovoran i postoji li dokaz koji to može potkrijepiti. Primjerice, politika upravljanja pristupima bez zapisa o periodičnim pregledima ovlasti nije potpuni dokaz funkcioniranja kontrole. Jednako tako, plan odgovora na incidente bez evidentirane vježbe ne dokazuje da su osobe koje sudjeluju u incidentu spremne djelovati.
Dokazi najčešće određuju stvarno trajanje
Najveće usporenje obično nije tehnička provedba, nego pronalaženje i provjera dokaza. Revizijski tragovi mogu uključivati odluke uprave, procjene rizika, popise informacijskih dobara, zapisnike o pregledima, izvještaje nadzora, evidencije edukacija, testove oporavka, ugovorne odredbe s pružateljima usluga te zapise o korektivnim radnjama.
Dokaz mora biti relevantan, aktualan i povezan s konkretnim zahtjevom. Dokument iz druge organizacije, predložak koji nije formalno odobren ili snimka zaslona bez konteksta mogu pomoći u analizi, ali sami po sebi često nisu dovoljni. Zato je korisno već u početnoj procjeni definirati vlasnika svakog dokaza, mjesto pohrane i datum sljedećeg pregleda.
Plan rada koji smanjuje kašnjenja
Učinkovita priprema počinje mandatom uprave. Uprava treba odrediti odgovornu osobu ili tim, potvrditi opseg rada i uspostaviti način izvještavanja o rizicima, nedostacima i potrebnim odlukama. Odgovornost uprave ne može se prenijeti na IT odjel, vanjskog konzultanta ili softverski alat.
Operativni tim zatim provodi početnu samoprocjenu i izrađuje registar nedostataka. Svaki nedostatak treba sadržavati zahtjev na koji se odnosi, opis rizika, vlasnika aktivnosti, potrebne dokaze, prioritet, rok i status. Takav registar pretvara općenitu tvrdnju da organizacija „radi na NIS2” u upravljiv plan rada.
Prioritet ne treba određivati samo prema jednostavnosti provedbe. Prednost imaju mjere koje smanjuju najveći rizik za ključne usluge, zatvaraju očite upravljačke praznine ili stvaraju preduvjete za druge kontrole. Na primjer, bez pouzdanog popisa ključne imovine teško je dosljedno upravljati ranjivostima, kontinuitetom i pristupima.
Posebnu pozornost zahtijevaju dobavljači. Ako ključni dio usluge pruža vanjski podatkovni centar, pružatelj upravljanih IT usluga ili razvojni partner, organizacija mora razumjeti povezane rizike i ugovorna očekivanja. Prikupljanje dokaza od dobavljača često traje dulje od internog uređenja, osobito kada treba obnoviti ugovore ili uskladiti sigurnosne zahtjeve s postojećim ugovornim odnosima.
Kako automatizacija utječe na trajanje pripreme
Automatizacija može znatno smanjiti administrativni dio posla, ali ne smije zamijeniti stručnu prosudbu. Najveća korist nije u automatskom stvaranju generičkih dokumenata, nego u dosljednom povezivanju zahtjeva, dokaza, rizika, neusklađenosti i korektivnih mjera.
Platforma ITrevizija.hr može pomoći organizacijama u strukturiranoj samoprocjeni prema hrvatskom okviru ZKS-a i Uredbe, analizi dostavljene dokumentacije te evidentiranju nedostataka i plana daljnjeg postupanja. Takav pristup olakšava pregled statusa po zahtjevu i vlasniku aktivnosti, osobito kada se dokazi prikupljaju iz više poslovnih jedinica. Sigurna obrada podataka, kontrola pristupa, enkripcija i EU hosting pritom su važni kriteriji jer dokumentacija za usklađivanje često sadrži osjetljive informacije o sustavima i procesima.
Alat ne potvrđuje automatski zakonsku usklađenost. Organizacija i dalje mora provjeriti činjenice, donijeti upravljačke odluke, provesti mjere i osigurati da su dokumenti i zapisi vjerodostojni. No dobro strukturiran sustav može smanjiti vrijeme izgubljeno na verzije proračunskih tablica, traženje privitaka i ručno praćenje rokova.
Kada je organizacija stvarno spremna
Priprema nije završena kada su svi dokumenti napisani. Organizacija je znatno spremnija kada može jasno pokazati vezu između svojih ključnih usluga, procijenjenih rizika, odabranih mjera, odgovornih osoba i provjerljivih dokaza. Također mora imati realan plan za preostale nedostatke, s prioritetima koje je uprava pregledala i odobrila.
Dobar završni test glasi: može li vlasnik kontrole u kratkom roku objasniti što radi, zašto to radi, kojim se dokazom potvrđuje provedba i što se događa ako kontrola zakaže? Ako odgovor ovisi o jednoj osobi, neaktualnoj datoteci ili neformalnom dogovoru, priprema još nije dovoljno zrela.
Najkraći put do održive usklađenosti nije pokušaj da se sve zatvori odjednom. Počnite s točnim opsegom, procijenite stvarno stanje na temelju dokaza i redovito pratite mjere koje su vlasnici preuzeli. Tako priprema za NIS2 postaje upravljiv proces, a ne jednokratna dokumentacijska akcija pred provjeru.