Rok je prošao - što sad? Vodič za tvrtke koje kasne s NIS2 direktiva usklađenošću

Rok je prošao, a vaša tvrtka još nije usklađena prema Zakonu o kibernetičkoj sigurnosti - NIS2 direktiva?

Ako ovo čitate s blagom nelagodom u želucu, prva je dobra vijest: niste sami i nije prekasno. Velik broj tvrtki u Hrvatskoj još uvijek nije dovršio NIS2 direktiva usklađenost, a dio njih tek sada shvaća da se nova pravila odnose i na njih.

Ovaj tekst nije napisan da vas uplaši. Napisan je da vam donese red u glavi: što napraviti prvo, što stvarno možete očekivati i kako u nekoliko tjedana prijeći iz stanja „ne znamo gdje smo" u stanje „imamo plan i kontrolu".

Kašnjenje nije isto što i nemar

U praksi postoji velika razlika između tvrtke koja je svjesno ignorirala obveze i tvrtke koja kasni jer je propis nov, opsežan i lako ga je krivo protumačiti.

NIS2 direktiva u Hrvatsku je prenesena kroz Zakon o kibernetičkoj sigurnosti i pripadajuću Uredbu o kibernetičkoj sigurnosti, a to je velik zaokret u odnosu na ono na što su tvrtke bile navikle.

Nadzorna tijela razlikuju te dvije situacije. Tvrtka koja može pokazati da je krenula, da ima plan i da svjesno zatvara nedostatke u realno dogovorenom roku, u znatno je boljoj poziciji od one koja se pravi da se ništa ne događa. Drugim riječima: najgora odluka je ne donijeti nikakvu odluku. Sve ostalo se da popraviti.

Korak 1: Provjerite jeste li uopće obveznik i koje vrste

Prije nego išta drugo napravite, morate znati spadate li među NIS2 obveznike i, ako da, u koju kategoriju.

Zakon razlikuje dvije razine obveznika:

• Ključni subjekti NIS2 - veće organizacije i one u najkritičnijim sektorima primjerice energetika, vodoopskrba, zdravstvo, promet, bankarstvo, digitalna infrastruktura. Za njih vrijedi stroži nadzor.

• Važni subjekti NIS2 - organizacije srednje veličine u nizu sektora poput proizvodnje, prehrambene industrije, gospodarenja otpadom, poštanskih usluga ili pružatelja digitalnih usluga.

  
  

Granica se uglavnom određuje kombinacijom sektora u kojem poslujete te veličine tvrtke (broj zaposlenih i financijski pokazatelji). Mnoge uprave pogrešno pretpostave da se propis odnosi „samo na velike IT firme", a zapravo obuhvaća širok krug tvrtki iz tradicionalnih branši koje s informatikom imaju malo dodira u svakodnevnom radu.

Ako niste sigurni u koju kategoriju spadate, to je upravo prvo pitanje na koje trebate dobiti jasan odgovor, jer o njemu ovisi koliko su vaše obveze opsežne.

Korak 2: Napravite snimku stanja (GAP analiza)

Kad znate da ste obveznik, sljedeći je korak utvrditi koliko ste daleko od cilja. To se radi kroz GAP analizu kibernetičke sigurnosti – strukturiranu usporedbu onoga što zakon traži i onoga što vi danas stvarno imate.

GAP analiza odgovara na tri pitanja koja svaka uprava želi čuti jednostavno:

1. Što već radimo dobro (i to ne treba dirati)?

2. Što nam nedostaje, a obvezno je?

3. Što je najhitnije i nosi najveći rizik ako se ne riješi?

Vrijednost ovog koraka je psihološka koliko i tehnička. Većina uprava prije GAP analize zamišlja golemu, neodređenu obavezu koja djeluje neizvedivo. Nakon nje obično vide konkretan, prebrojiv popis – primjerice dvanaest ili petnaest stavki od kojih su neke već riješene, a ostatak ima jasan redoslijed. Strah se pretvori u projektni plan.

Korak 3: Posložite prioritete, ne radite sve odjednom

Tvrtka koja kasni, najveću grešku radi kad pokuša sve riješiti istovremeno i u panici. Rezultat je obično mnogo potrošenog novca, papirologija koja nikoga ne štiti i osoblje koje je iscrpljeno prije nego što su riješene prave opasnosti.

Pametniji pristup je posložiti mjere po stvarnom riziku. Najprije ono što vas štiti od najvjerojatnijih i najskupljih scenarija: kontrola pristupa, sigurnosne kopije i njihovo testiranje, osnovna higijena lozinki i višefaktorska prijava, te jasan plan što napraviti kad nešto pođe po zlu. Tek potom dolazi fino uštimavanje.

Za nadzorno tijelo i za vašu vlastitu sigurnost puno više vrijedi nekoliko stvarno funkcionalnih mjera nego stotinu stranica politika koje nitko ne provodi.

Korak 4: Uspostavite prijavu incidenata prije nego što vam zatreba

Jedna od obveza koju tvrtke u kašnjenju najčešće previde jest prijava kibernetičkih incidenata. Zakon predviđa stroge rokove za obavještavanje nadležnog tijela kada dođe do značajnog sigurnosnog incidenta - mjereno u satima, ne danima.

Problem je što se taj mehanizam ne može improvizirati u trenutku krize. Ako vas ucjenjivački virus pogodi u petak navečer, ne želite tada prvi put razmišljati koga zovete, tko donosi odluku i u kojem roku.

Zato je uspostava jednostavnog plana prijave - tko, kome, u kojem roku i kojim kanalom, jedna od stavki koju je vrijedno riješiti rano, čak i dok ostatak usklađenosti još traje. To je mjera koja košta malo, a u kriznom trenutku vrijedi nesrazmjerno puno.

Što stvarno riskirate ako nastavite odgađati

Posljedice neusklađenosti nisu samo teoretske:

• Financijske kazne mogu biti znatne i vezane uz prihod tvrtke, osobito za ključne subjekte

• Osobna odgovornost uprave - propis naglašava odgovornost najvišeg vodstva za nadzor nad kibernetičkom sigurnošću, što znači da se odgovornost ne može u potpunosti „delegirati u IT"

• Poslovna šteta - sve više velikih naručitelja i partnera traži dokaz usklađenosti kao uvjet suradnje. Neusklađenost vas može koštati ugovora prije nego što vas košta kazne.

Ali jednako je važno reći i ovo: nadzor nije zamišljen kao lov na tvrtke koje se trude. Regulatorna tijela u pravilu prvo traže dokaz dobre namjere i napretka. Tvrtka koja danas pokrene proces, dokumentira plan i počne zatvarati najveće rizike, kupuje si i vrijeme i vjerodostojnost.

Realan plan za tvrtku koja kasni

Ako trebate jednostavan slijed koji možete iznijeti na sljedećem sastanku uprave, evo ga:

1. Ovaj tjedan - potvrdite jeste li obveznik i koje kategorije.

2. Sljedećih nekoliko tjedana - napravite GAP analizu i dobijte konkretan popis nedostataka.

3. Prvih 90 dana - riješite najrizičnije mjere i uspostavite prijavu incidenata.

4. Kontinuirano tijekom 12 do 18 mjeseci - dovršite dokumentaciju, educirajte ljude i ugradite sigurnost u redovno poslovanje.

5. Nakon 18 mjeseci - pripremite se za samoprocjene i održavanje kibernetičke higijene među svim zaposlenicima.

Zaključak: kašnjenje je rješivo, mirovanje nije

Usklađenost sa NIS2 direktivom nije utrka koja se trči preko noći, ali jest utrka u kojoj se kreće odmah. Svaki tjedan u kojem postoji plan vrjedniji je od mjeseca čekanja. Možda djeluje zastrašujuće dok je gledate kao jedan veliki, nedefiniran teret, a čim proces razložite na prioritete i prijavu incidenata, postaje upravljiv projekt s jasnim koracima.

Ako vaša tvrtka kasni, najvažnija odluka koju danas možete donijeti jest jednostavno krenuti. Sve dalje je stvar plana, a plan se da napraviti.

Niste sigurni jeste li NIS2 obveznik ili gdje stojite s usklađenošću? Astera Advisory radi neobvezujuću početnu procjenu i GAP analizu prilagođenu vašoj branši i veličini tvrtke - bez panike i bez nepotrebne papirologije. >> Javite nam se i posložimo plan zajedno.