NIS2 zahteve se v praksi hitro dotakne pogodb, revizij, incidentov, zavarovalniških vprašalnikov in pričakovanj kupcev. Zato je koristno imeti razlago, ki ne ostane pri definiciji, ampak pokaže tudi, katera vprašanja zastaviti in kako dokazati napredek. Cilj je razumeti glavne skupine zahtev NIS2 in jih prevesti v praktične naloge.
NIS2 v 21. členu direktive določa deset kategorij minimalnih ukrepov: politike analize tveganj, obravnavo incidentov, neprekinjeno poslovanje (varnostne kopije, obnovitev po nesreči, krizno upravljanje), varnost dobavne verige, varnost pri pridobivanju in razvoju sistemov (vključno z ravnanjem z ranljivostmi), ocenjevanje učinkovitosti ukrepov, osnovno kibernetsko higieno in usposabljanje, kriptografijo, kadrovsko varnost in nadzor dostopa ter večfaktorsko avtentikacijo in varno komunikacijo. To je okvir, znotraj katerega se določajo konkretni ukrepi za posamezno organizacijo. V pogovorih se lahko pojavijo izrazi NIS2 zahteve, NIS2 ukrepi, NIS2 obveznosti, kibernetska tveganja. Smiselno jih je uporabljati dosledno: vsak izraz naj bo povezan z ukrepom, odgovorno osebo, rokom in dokazilom.
Kratek odgovor
NIS2 zahteve pomaga organizaciji razumeti, kaj je v obsegu, kje so glavna tveganja, kateri ukrepi so smiselni in kako dokazati, da se varnost ne dogaja samo na papirju. Najbolj koristno je za vodstva in IT ekipe, ki potrebujejo razumljiv pregled brez pravnega žargona.
Kdaj je to pomembno?
Vodstvo sliši za NIS2, IT ekipa pa dobi nalogo, naj pripravi seznam ukrepov. Stran pomaga razdeliti zahteve na tveganja, kontrole, incidente, dobavitelje, usposabljanje in dokazila.
Pravi trenutek za ureditev ni šele takrat, ko pride presoja ali incident. Bolje je začeti, ko lahko ekipa še mirno preveri obseg, podatke, dostopne pravice, dobavitelje, postopke in dokazila. Tako se izognemo paničnemu zbiranju informacij tik pred rokom ali med kriznim dogodkom.
Kaj preveriti najprej?
Spodnja tabela prikazuje praktičen začetek: na levi so področja, ki jih je smiselno preveriti, na desni pa dokazila, ki pokažejo, ali področje res deluje.
| upravljanje tveganj | mapa zahtev |
| tehnični in organizacijski ukrepi | seznam kontrol |
| incident reporting | evidence usposabljanj |
| dobavitelji | dobaviteljski pregledi |
| odgovornost vodstva | poročila incidentov |
Praktični koraki
- Preučite konkretne tehnične in organizacijske zahteve NIS2, ki veljajo za vaš sektor.
- Primerjajte obstoječe ukrepe (upravljanje tveganj, dostop, šifriranje, backup) z zahtevami direktive.
- Uredite politike upravljanja tveganj dobavne verige, saj NIS2 to izrecno zahteva.
- Vzpostavite postopek za poročanje incidentov v predpisanih rokih (zgodnje opozorilo, poročilo, končno poročilo).
- Dokumentirajte odgovornost vodstva za nadzor nad izvajanjem ukrepov.
Tipične napake
Pri tej temi se največ težav pojavi takrat, ko organizacija uvede orodje ali napiše dokument, ne uredi pa odgovornosti, dokazil in rednega preverjanja.
- zahteve ostanejo v pravni tabeli
- ni povezave z realnimi sistemi
- vodstvo ni vključeno
- dobavitelji niso ocenjeni
Dokazila, ki jih je vredno urediti
Dokazila niso birokracija sama sebi namen. So način, da organizacija pokaže, kaj je odločila, kaj izvaja in kako preverja učinkovitost ukrepov. Pri presoji, incidentu, zavarovalniškem vprašalniku ali zahtevi večjega kupca so dokazila pogosto razlika med mirnim odgovorom in improvizacijo.
- upravljanje tveganj
- tehnični in organizacijski ukrepi
- incident reporting
- dobavitelji
- odgovornost vodstva
Kako izgleda dober rezultat?
Najbolj uporaben rezultat pri NIS2 zahteve je odločljivost. Namesto splošnega seznama želja mora biti jasno, katere kontrole so že urejene, katere vrzeli so kritične, kdo jih zapira, do kdaj in s katerim dokazilom. Tako tema postane vodljiva tudi za ljudi, ki niso vsak dan v varnostnih orodjih.
Uporabno poročilo ali izvedba mora zato vsebovati tri ravni informacij. Prva raven je povzetek za vodstvo: kaj je kritično, kaj se izboljšuje in katera odločitev je potrebna. Druga raven je operativni načrt za IT ali varnostno ekipo: konkretni ukrepi, lastniki, roki in odvisnosti. Tretja raven so dokazila: zapisi, konfiguracije, poročila, odobritve in rezultati preverjanj, ki jih lahko pokažete ob presoji, incidentu ali zahtevi poslovnega partnerja.
Merila uspeha
Če ni meril uspeha, tema hitro ostane pri splošnih priporočilih. Pri NIS2 zahteve je smiselno spremljati nekaj preprostih kazalnikov, ki jih razumejo tako tehnične ekipe kot vodstvo.
- delež ključnih sistemov ali procesov, ki so vključeni v obseg;
- število odprtih kritičnih vrzeli in trend njihovega zapiranja;
- delež ukrepov z določenim lastnikom, rokom in dokazilom;
- čas od zaznave težave do odločitve ali eskalacije;
- kakovost poročanja vodstvu: ali poročilo omogoča odločitev, ne samo informiranje;
- redno preverjanje, ali ukrepi še delujejo po spremembah sistemov, ljudi ali dobaviteljev.
Vprašanja za interno ekipo ali ponudnika
Preden se odločite za projekt, orodje ali zunanjo pomoč, je koristno postaviti nekaj neprijetno konkretnih vprašanj. Odgovori hitro pokažejo, ali je pristop zrel ali pa gre samo za splošno obljubo.
- Katere od desetih minimalnih zahtev NIS2 (10. člen direktive) že izpolnjujemo?
- Kako upravljamo tveganja, povezana z dobavitelji in izvajalci?
- Ali vodstvo formalno potrjuje in nadzoruje varnostne ukrepe?
- Kako bomo izpolnili roke za poročanje incidentov (24 ur, 72 ur, končno poročilo)?
- Kje imamo dokumentacijo, ki dokazuje izvajanje posameznih zahtev?
- Kdo znotraj organizacije redno spremlja spremembe zakonodaje?
Povezava z regulativo in standardi
Pri NIS2 je pomembno ločiti splošno pripravo od formalnega statusa zavezanca. Obveznosti so odvisne od sektorja, velikosti, vrste storitev in slovenskega prenosa zahtev. Dober varnostni program zato najprej preveri obseg, nato odgovornosti, ukrepe, incidente, dobavitelje in dokazila.
Pri NIS2, ZInfV-1, DORA, AI Act, GDPR, ISO standardih ali pogodbenih zahtevah je pomembno, da se trditve ne pišejo na pamet. Kjer so roki, status zavezanca, sektorske izjeme ali obvezna poročanja pomembni, jih je treba preveriti po najnovejših uradnih virih in dokumentirati odločitev.
Kako CISOaaS pomaga?
CISOaaS pomaga prevesti temo v izvedljiv načrt: pregled stanja, prioritete, odgovorne osebe, dokazila, poročanje vodstvu in povezavo s širšim varnostnim programom. Cilj ni ustvariti še enega dokumenta, ampak urediti odločanje in zmanjšati realno tveganje.
Za organizacije, ki nimajo notranjega CISO, je posebej koristno, da nekdo poveže IT, vodstvo, skladnost in dobavitelje. Tako se ukrepi ne izgubijo med tehničnimi nalogami in pravnimi zahtevami.
Povezane vsebine
- NIS2 direktiva
- ZInfV-1
- Upravljanje kibernetskih tveganj
- Dokazila za revizije in presoje
- Kontakt za uvodni pogovor
Pogosta vprašanja
Ali je NIS2 zahteve dovolj za skladnost?
Ne samo po sebi. Lahko pokrije pomemben del zahtev ali tveganj, vendar je skladnost odvisna od obsega organizacije, izvedenih ukrepov, dokazil in veljavnih uradnih zahtev.
Kaj je prvi smiseln korak?
Najprej določite obseg in zberite obstoječa dokazila. Nato naredite kratek pregled vrzeli in izberite tri do pet ukrepov, ki najbolj zmanjšajo tveganje ali pomagajo pri dokazovanju skladnosti.
Kdo mora sodelovati?
Običajno sodelujejo IT, vodstvo, odgovorni za skladnost, lastniki procesov in po potrebi zunanji ponudniki. Če sodeluje samo IT, se pogosto spregledajo poslovna tveganja, pogodbe in odločitve vodstva.
Kaj mora ostati kot dokaz?
Ohraniti je treba odločitev, opis ukrepa, odgovorno osebo, datum izvedbe, rezultat preverjanja in povezano poročilo ali zapis. Brez dokazil je pozneje težko pokazati, da je bil ukrep res izveden.
Uradni viri za preverjanje
Želite skladnost, ki jo lahko tudi dokažete?
Pomagamo urediti zahteve, politike, odgovornosti, dokazila in poročanje, da skladnost ne ostane samo seznam dokumentov.
Obrazec odpre kontaktno stran in izbere pravo temo povpraševanja.