NIS2 v Sloveniji: ali zadeva tudi vaše podjetje?

NIS2 in ZInfV-1 na kratko

NIS2 je evropska direktiva o kibernetski varnosti, ki je v Sloveniji prenesena z Zakonom o informacijski varnosti (ZInfV-1). Velja predvsem za srednja in velika podjetja v naštetih sektorjih, kot so energija, promet, zdravstvo, digitalna infrastruktura, proizvodnja nekaterih izdelkov, prehrana in ravnanje z odpadki. Nekatere organizacije zajame ne glede na velikost. Pristojni organ je URSIV, incidente pa obravnava nacionalni CSIRT, ki ga za večino podjetij predstavlja SI-CERT.

Če vaše podjetje ni neposredno zavezanec, to še ne pomeni, da vas NIS2 ne bo dosegel. Zavezanci morajo poskrbeti tudi za varnost svoje dobavne verige, zato bodo varnostne zahteve vse pogosteje prenašali na svoje dobavitelje.

Ali NIS2 zadeva vaše podjetje: tri vprašanja

Presoja temelji na treh vprašanjih. Odgovore zapišite, saj vas bo to vprašal tudi revizor ali kupec.

1. Ali delujete v enem od zajetih sektorjev?

Direktiva sektorje deli v dve skupini. V prvi so med drugim energetika, promet (letalski, železniški, vodni in cestni), bančništvo in infrastruktura finančnih trgov, zdravstvo, pitna voda in odpadne vode, digitalna infrastruktura in upravljanje IT storitev za druga podjetja. Pri cestnem prometu zakon ne zajame vsakega prevoznika, ampak le določene vrste organizacij, zato tu presojo opravite posebej skrbno. V drugi so med drugim poštne in kurirske storitve, ravnanje z odpadki, kemikalije, proizvodnja in distribucija hrane, digitalni ponudniki ter proizvodnja nekaterih izdelkov:

• medicinskih pripomočkov,
• računalnikov, elektronskih in optičnih izdelkov,
• električne opreme,
• strojev in naprav,
• motornih vozil, prikolic in drugih prevoznih sredstev.

Pozor: odločilna je dejavnost, ki jo dejansko opravljate, ne samo šifra v AJPES.

2. Ali ste srednje ali veliko podjetje?

Praviloma so zavezana podjetja, ki imajo vsaj 50 zaposlenih ali letni promet in bilančno vsoto nad 10 milijonov evrov. Pri podjetjih, ki so del skupine, se lahko upoštevajo tudi podatki povezanih družb, kar marsikoga preseneti.

3. Ali velja katera od izjem?

Nekatere organizacije so zajete ne glede na velikost, na primer ponudniki javnih elektronskih komunikacij, storitev zaupanja in registri domen ali pa edini ponudnik storitve, ki je ključna za družbo. Če ste v dvomih, presojo opravite skupaj s pravnim svetovalcem.

Bistveni in pomembni subjekti

Zavezanci so razdeljeni na bistvene in pomembne subjekte. Razlika je predvsem v načinu in intenzivnosti nadzora: pri bistvenih lahko pristojni organ ukrepa tudi preventivno, pri pomembnih praviloma po incidentu ali prijavi. Obveznosti glede ustreznih ukrepov so za obe skupini podobne. Za kršitve zakon predvideva globe, za nadzor nad izvajanjem ukrepov pa odgovarja vodstvo, zato tema ne sme ostati samo v IT oddelku. Podrobnosti razvrstitve in roke preverite v zakonu, na straneh URSIV ali pri pravnem svetovalcu.

Ko vas zakon ne zajame, kupec pa

Vzemimo logistično podjetje z osemdesetimi zaposlenimi v zaledju Kopra, ki skladišči in pripravlja blago za proizvajalce električne opreme in trgovce s hrano. Samo po sebi morda ni zavezanec, njegovi največji kupci pa so. Nekega dne prejme vprašalnik z dvajsetimi vprašanji: ali uporablja večfaktorsko prijavo, kako hitro bo kupca obvestilo o incidentu, ali ima preizkušene varnostne kopije in kdo je odgovoren za informacijsko varnost.

Če odgovori niso prepričljivi, kupec lahko zahteva dodatne ukrepe ali pri naslednjem razpisu izbere drugega ponudnika. Podobna vprašanja postavljajo tudi zavarovalnice pri sklepanju kibernetskega zavarovanja. Za mnoga mala in srednja podjetja bo prav ta posredna pot najpogostejši stik z NIS2.

Pametna reakcija ni hitro izpolnjevanje vprašalnika s samimi pritrdilnimi odgovori. Bolje je pošteno oceniti stanje, zapisati, kaj že deluje, in kupcu poslati načrt z roki za manjkajoče ukrepe. Kupci praviloma bolje sprejmejo jasen načrt kot neprepričljive trditve, ki bi jih ob prvi presoji dobavitelja težko dokazali.

Kaj NIS2 zahteva v praksi

Zakon ne predpisuje konkretnih izdelkov, ampak ustrezne ukrepe glede na tveganja. V praksi to pomeni urejena področja:

• analiza tveganj in varnostne politike, ki jih vodstvo potrdi,
• obravnava incidentov in obveščanje pristojnih v predpisanih rokih,
• neprekinjeno poslovanje, varnostne kopije in obnova po izpadu,
• varnost dobavne verige in pogodbe z IT dobavitelji,
• nadzor dostopa, večfaktorska prijava in upravljanje gesel,
• upravljanje ranljivosti in redne posodobitve,
• šifriranje, kjer je smiselno,
• usposabljanje zaposlenih in vodstva.

Posebnost NIS2 je poudarjena odgovornost vodstva. Uprava mora ukrepe potrditi in nadzorovati njihovo izvajanje, ne more jih le prepustiti IT oddelku. Kot okvir za urejanje mnoga podjetja uporabijo standard ISO 27001, četudi certifikata ne potrebujejo.

Pogoste zmote o NIS2

»Smo premajhni, nas ne zadeva.« Neposredno morda res ne, posredno prek kupcev pa zelo verjetno. Poleg tega so nekatere organizacije zajete ne glede na velikost.

»To je naloga informatika.« Informatik lahko ukrepe izvede, odločitev o sprejemljivem tveganju, proračunu in prednostih pa je na vodstvu. Brez tega tudi najboljši tehnični ukrepi ostanejo nepovezani.

»Kupimo orodje in smo skladni.« Požarni zid ali sistem za nadzor sta lahko del rešitve, skladnost pa pomeni tudi postopke, odgovornosti in dokazila, da ukrepi delujejo. Orodje brez človeka, ki spremlja opozorila, ne pomaga veliko.

»Potrebujemo certifikat ISO 27001.« Zakon ga ne zahteva. Standard je uporaben okvir, ker pokrije večino področij, certifikacija pa je odločitev, ki je smiselna predvsem, če jo pričakujejo kupci.

Prvi koraki

1. Presodite status. Odgovore na tri vprašanja zapišite in jih dajte v pregled pravnemu svetovalcu.
2. Popišite sisteme in dobavitelje. Brez seznama ne morete niti oceniti tveganj niti odgovoriti na vprašalnik kupca.
3. Uvedite osnovne ukrepe. Večfaktorska prijava, preizkušene varnostne kopije in posodobitve so temelj, ki ga preveri vsak revizor.
4. Pripravite načrt odziva na incidente. Kdo odloča, koga obvesti in v kakšnem vrstnem redu.
5. Zapišite politike. Kratke, razumljive in usklajene z resničnostjo.

Kje vam lahko pomagamo

Pravne presoje statusa ne nadomeščamo, pri tehničnem in organizacijskem delu pa lahko pomagamo na daljavo. Rešitev priprava na NIS2 zajema oceno tveganj, načrt odziva na incidente in ukrepe za dobavno verigo. Če potrebujete predvsem zapisana pravila in dokazila za kupce ali revizorja, si oglejte storitev varnostne politike in dokumentacija.