ZInfV-1 skladnost za zavezance
Organizacija ve, da sodi med zavezance po Zakonu o informacijski varnosti (ZInfV-1), a nima enotnega odgovora, kaj to konkretno pomeni za sisteme, dokumentacijo in poročanje. Ta stran je praktičen vodnik za zavezance: kaj preveriti najprej, katere dokazila zahteva URSIV in kje se ZInfV-1 razlikuje od splošne NIS2 razlage.
Če naletite na izraze ZInfV-1 skladnost, ZInfV-1 implementacija, ZInfV-1 dokumentacija, URSIV, jih obravnavajte kot signal za preverjanje obsega, odgovornosti in dokazil. Tako se izognete temu, da bi varnost ostala na ravni besedila v dokumentu.
Kratek odgovor
ZInfV-1 skladnost pomaga organizaciji razumeti, kaj je v obsegu, kje so glavna tveganja, kateri ukrepi so smiselni in kako dokazati, da se varnost ne dogaja samo na papirju. Najbolj koristno je za zavezanci, javni sektor, regulirane organizacije, IT vodje in odgovorni za skladnost v Sloveniji.
Kdaj je to pomembno?
Organizacija ve, da spada v regulirano okolje, nima pa jasnega odgovora, kateri sistemi so v obsegu, kdo je lastnik tveganj in katera dokazila lahko pokaže. ZInfV-1 priprava mora povezati pravni status, tehnične ukrepe in operativno izvajanje.
ZInfV-1 obveznosti se ne končajo s prvo presojo. Status zavezanca, obseg storitev in dobavitelji se spreminjajo, zato je treba register tveganj in dokazila redno posodabljati, ne samo pripraviti enkrat za priglasitev.
Kaj preveriti najprej?
Spodnja tabela prikazuje praktičen začetek: na levi so področja, ki jih je smiselno preveriti, na desni pa dokazila, ki pokažejo, ali področje res deluje.
| preverjanje statusa zavezanca | odločitev o statusu zavezanca |
| obseg storitev in sistemov | varnostna politika |
| odgovorne osebe | ocena tveganj |
| varnostni ukrepi in dokazila | incidentni zapisniki |
| postopek za pomembne incidente | poročila vodstvu |
Praktični koraki
- Preverite in dokumentirajte status zavezanca. Odločitev o statusu mora biti pisna, ne samo predpostavljena.
- Popišite obseg storitev in sistemov. Določite, kateri sistemi in procesi so bistveni za izvajanje storitve.
- Določite odgovorne osebe. ZInfV-1 zahteva jasno določitev, kdo je odgovoren za informacijsko varnost.
- Uredite varnostne ukrepe in dokazila. Politike, ocene tveganj in tehnični ukrepi morajo biti dokumentirani.
- Vzpostavite postopek za pomembne incidente. Roki za zgodnje opozorilo in poročilo so predpisani in kratki.
Tipične napake
Pri tej temi se največ težav pojavi takrat, ko organizacija uvede orodje ali napiše dokument, ne uredi pa odgovornosti, dokazil in rednega preverjanja.
- status zavezanca se predpostavi brez preverjanja
- ukrepi niso povezani z dokazili
- incidentni roki niso znani ekipi
- vodstvo ne prejema rednih poročil
Dokazila, ki jih je vredno urediti
Pri ZInfV-1 presoji URSIV preverja predvsem, ali odločitev o statusu zavezanca obstaja v pisni obliki, ali so odgovorne osebe imenovane in ali varnostni ukrepi dejansko delujejo, ne le da so opisani v politiki.
- preverjanje statusa zavezanca
- obseg storitev in sistemov
- odgovorne osebe
- varnostni ukrepi in dokazila
- postopek za pomembne incidente
Kako izgleda dober rezultat?
Najbolj uporaben rezultat pri ZInfV-1 skladnost je odločljivost. Namesto splošnega seznama želja mora biti jasno, katere kontrole so že urejene, katere vrzeli so kritične, kdo jih zapira, do kdaj in s katerim dokazilom. Tako tema postane vodljiva tudi za ljudi, ki niso vsak dan v varnostnih orodjih.
Uporabno poročilo ali izvedba mora zato vsebovati tri ravni informacij. Prva raven je povzetek za vodstvo: kaj je kritično, kaj se izboljšuje in katera odločitev je potrebna. Druga raven je operativni načrt za IT ali varnostno ekipo: konkretni ukrepi, lastniki, roki in odvisnosti. Tretja raven so dokazila: zapisi, konfiguracije, poročila, odobritve in rezultati preverjanj, ki jih lahko pokažete ob presoji, incidentu ali zahtevi poslovnega partnerja.
Merila uspeha
Če ni meril uspeha, tema hitro ostane pri splošnih priporočilih. Pri ZInfV-1 skladnost je smiselno spremljati nekaj preprostih kazalnikov, ki jih razumejo tako tehnične ekipe kot vodstvo.
- ali je odločitev o statusu zavezanca pisna in datirana;
- ali so odgovorne osebe za informacijsko varnost formalno imenovane;
- delež bistvenih sistemov in storitev z izvedeno oceno tveganja;
- čas od zaznave pomembnega incidenta do zgodnjega opozorila URSIV oziroma SI-CERT;
- pogostost posodabljanja registra tveganj in varnostnih politik;
- ali vodstvo redno prejema poročilo o stanju ukrepov in odprtih vrzeli.
Vprašanja za interno ekipo ali ponudnika
Preden se odločite za projekt, orodje ali zunanjo pomoč, je koristno postaviti nekaj neprijetno konkretnih vprašanj. Odgovori hitro pokažejo, ali je pristop zrel ali pa gre samo za splošno obljubo.
- Ali imamo pisno odločitev o statusu zavezanca po ZInfV-1?
- Kdo je formalno določen kot odgovorna oseba za informacijsko varnost?
- Kateri sistemi so opredeljeni kot bistveni za izvajanje naše storitve?
- Ali ekipa pozna rok in postopek za prijavo pomembnega incidenta?
- Kdaj je bil register tveganj nazadnje posodobljen?
- Kaj bi pokazala nenapovedana presoja URSIV jutri?
Povezava z regulativo in standardi
Pri ZInfV-1 je treba status, obseg in obveznosti preveriti po uradnih slovenskih virih in glede na konkretno organizacijo. Vsebina na strani je praktičen vodnik, ne pravno mnenje; končne odločitve naj bodo dokumentirane in po potrebi potrjene s pravno službo ali pristojnim strokovnjakom.
ZInfV-1 je slovenski prenos evropske NIS2 direktive, zato se obveznosti med njima v veliki meri prekrivajo, razlikujejo pa se v postopkovnih podrobnostih in pristojnem organu (URSIV) — glejte tudi NIS2 skladnost in priprava na zahteve direktive. Status zavezanca, roki in izjeme je treba preveriti po veljavnem besedilu zakona, ne po posplošenih razlagah.
Kako CISOaaS pomaga?
CISOaaS pomaga prevesti temo v izvedljiv načrt: pregled stanja, prioritete, odgovorne osebe, dokazila, poročanje vodstvu in povezavo s širšim varnostnim programom. Cilj ni ustvariti še enega dokumenta, ampak urediti odločanje in zmanjšati realno tveganje.
Za organizacije, ki nimajo notranjega CISO, je posebej koristno, da nekdo poveže IT, vodstvo, skladnost in dobavitelje. Tako se ukrepi ne izgubijo med tehničnimi nalogami in pravnimi zahtevami.
Povezane vsebine
- ZInfV-1
- NIS2 direktiva
- GAP analiza kibernetske varnosti
- Dokazila za revizije in presoje
- Kontakt za uvodni pogovor
Pogosta vprašanja
Ali je ZInfV-1 skladnost dovolj za skladnost?
Ne samo po sebi. Lahko pokrije pomemben del zahtev ali tveganj, vendar je skladnost odvisna od obsega organizacije, izvedenih ukrepov, dokazil in veljavnih uradnih zahtev.
Kaj je prvi smiseln korak?
Najprej pisno potrdite status zavezanca in imenujte odgovorno osebo. Brez teh dveh formalnosti nadaljnji ukrepi nimajo jasnega lastnika niti podlage za presojo.
Kdo mora sodelovati?
Vodstvo potrdi status zavezanca in imenuje odgovorno osebo, IT ekipa izvaja tehnične ukrepe, odgovorna oseba pa skrbi za dokumentacijo, register tveganj in stik z URSIV.
Kaj mora ostati kot dokaz?
Pisna odločitev o statusu zavezanca, imenovanje odgovorne osebe, varnostna politika, ocena tveganj in zapisniki o obravnavanih incidentih. To je nabor, ki ga URSIV pri presoji najpogosteje pregleda.
Uradni viri za preverjanje
Želite skladnost, ki jo lahko tudi dokažete?
Pomagamo urediti zahteve, politike, odgovornosti, dokazila in poročanje, da skladnost ne ostane samo seznam dokumentov.
Obrazec odpre kontaktno stran in izbere pravo temo povpraševanja.