Pristojni organi in vloge

Področje “pristojni organi in vloge” je pomemben del razumevanja regulativnega okvira NIS2 in ZInfV-1. Namenjeno je predvsem vodstvom, odgovornim osebam za kibernetsko varnost in pravnim svetovalcem, ki morajo vedeti, s katerim organom komunicirati pri prijavah, presojah in poročanju. Jasno razumevanje pristojnosti pomaga zmanjšati zmedo ob incidentu in pospeši komunikacijo, kadar je čas ključen.

Pri tem področju se težave pogosto pojavijo zato, ker organizacije ne ločijo med nacionalnim odzivnim centrom, pristojnim ministrstvom in sektorskimi regulatorji. Zato CISOaaS pristop ne obravnava samo enega organa, temveč pojasni celoten sistem pristojnosti, obveznosti poročanja in medsebojnega sodelovanja. Tak pristop je pomemben zato, ker organizacija lažje razume, komu je ukrep namenjen, kateri problem rešuje in kakšen rezultat prinaša.

Kateri organi so pristojni po ZInfV-1?

Slovenski sistem nadzora nad kibernetsko varnostjo vključuje več organov, ki imajo vsak svojo vlogo pri izvajanju ZInfV-1 in implementaciji direktive NIS2.

• SI-CERT (nacionalni odzivni center za omrežne incidente)
• URSIV — Urad Republike Slovenije za informacijsko varnost
• sektorski nadzorni organi (za energetiko, promet, zdravstvo, finance)
• Informacijski pooblaščenec (za vidike, povezane z osebnimi podatki)
• Agencija Evropske unije za kibernetsko varnost (ENISA) na evropski ravni

Zakaj je to pomembno za skladnost in poslovanje?

Kakovostno razumevanje pristojnosti ne sme ostati samo teoretično. Vodstvo mora vedeti, kam prijaviti incident, kdo izvaja nadzor nad izpolnjevanjem obveznosti in kateri organ izreka sankcije ob kršitvah. Jasna struktura pristojnosti pomaga tudi pri pripravi na presoje in pri komunikaciji z zunanjimi partnerji.

Za organizacijo je najpomembnejši praktični rezultat: hitro in pravilno naslovljeno poročanje o incidentih ter jasna slika, kdo nadzoruje skladnost z zahtevami, kot so NIS2, ZInfV-1, GDPR ali sektorski predpisi.

Kako poteka sodelovanje s pristojnimi organi?

SI-CERT je prva kontaktna točka za prijavo resnih varnostnih incidentov, ki morajo biti sporočeni v 24 urah od odkritja. URSIV vodi register zavezancev in nadzoruje izvajanje zakonskih obveznosti na sistemski ravni. Sektorski regulatorji dodatno preverjajo skladnost znotraj svojih panog, na primer bančni nadzornik za finančni sektor ali zdravstveni inšpektorat za zdravstvene ustanove.

Kadar je smiselno, organizacija sodeluje tudi s pravno službo, zunanjim CISO svetovalcem ali revizorji, da zagotovi pravilno in pravočasno komunikacijo z vsemi pristojnimi organi hkrati.

Primer uporabe v praksi

Tipična organizacija se s pristojnimi organi sreča ob prijavi incidenta, ob registraciji statusa zavezanca ali ob pripravi na zunanjo presojo. V takem primeru ni dovolj poznati samo enega kontakta – potrebno je razumeti, kateri organ je pristojen za posamezen del postopka.

Primer: podjetje odkrije varnostni incident, ki vpliva na kritično storitev. Najprej mora dogodek prijaviti SI-CERT v predpisanem roku, nato pa o ukrepih obvestiti tudi sektorskega regulatorja, če incident vpliva na regulirano dejavnost. CISOaaS v takem primeru pomaga urediti postopke tako, da so obveznosti do vseh organov izpolnjene brez podvajanja dela.

Kaj mora organizacija pripraviti?

Za učinkovito sodelovanje s pristojnimi organi je koristno pripraviti seznam kontaktnih točk, interni postopek za prijavo incidentov, imenovano odgovorno osebo za komunikacijo z regulatorji in evidenco preteklih prijav. Če tega še nimate, to ni ovira – ravno vzpostavitev takšnega postopka je pogosto prvi korak k boljši pripravljenosti.

Pri manjših organizacijah zadostuje kratek interni dokument z osnovnimi kontakti. Pri večjih organizacijah je smiselno vzpostaviti formalen postopek eskalacije, ki jasno določa, kdo je odgovoren za komunikacijo s katerim organom.

Dokazila in merjenje napredka

Za sodobno kibernetsko varnost ni dovolj, da organizacija trdi, da pozna svoje obveznosti do pristojnih organov. Potrebna so dokazila: evidence prijav, potrdila o registraciji statusa zavezanca, zapisniki komunikacije z regulatorji in dokumentirani interni postopki. CISOaaS pomaga urediti ta dokazila tako, da so uporabna za vodstvo, revizorje in same nadzorne organe.

Napredek merimo s konkretnimi kazalniki: čas od odkritja do prijave incidenta, popolnost registra kontaktov, urejenost internih postopkov in rezultati morebitnih zunanjih presoj.

Pogoste napake

Najpogostejša napaka je prepričanje, da je za vse dovolj en sam kontakt. V resnici imajo SI-CERT, URSIV (Urad Republike Slovenije za informacijsko varnost) in sektorski regulatorji ločene, a povezane vloge. Druga napaka je pomanjkanje jasno določene odgovorne osebe za komunikacijo z organi, kar upočasni odziv ob incidentu.

Tretja napaka je neposodabljanje kontaktnih podatkov in postopkov ob spremembah v organizaciji ali zakonodaji. Zato je priporočljivo redno preverjati, ali so interni postopki še vedno skladni z veljavnimi zahtevami.

Kaj dobite na koncu?

Končni rezultat je jasen pregled pristojnih organov, njihovih vlog in postopkov za komunikacijo z njimi. Organizacija dobi seznam kontaktnih točk, interni postopek za prijavo incidentov in odgovornosti, kar pospeši odziv ob incidentu in olajša dokazovanje skladnosti pred presojo.

Povezane vsebine

Za boljši kontekst priporočamo tudi: priglasitev incidenta, ZInfV-1, kaj je NIS2, kontakt. Notranje povezave pomagajo uporabniku najti naslednji korak, iskalnikom pa pokažejo, kako so pristojni organi povezani s postopki prijave in skladnosti.

Pogosta vprašanja

Kam prijavim varnostni incident?

Resne varnostne incidente je treba prijaviti SI-CERT v 24 urah od odkritja. Odvisno od sektorja je lahko potrebno obvestiti tudi sektorskega regulatorja ali URSIV.

Kako pomaga CISOaaS?

CISOaaS pomaga vzpostaviti jasen postopek za komunikacijo z vsemi pristojnimi organi, pripravi seznam kontaktov in zagotovi, da so obveznosti poročanja izpolnjene pravočasno in pravilno.