Uvod i regulatorne reference
NIS je kratica za "Mrežna i informacijska sigurnost".
Ovom kraticom Europska zajednica namjeravala je označiti zakonodavni napor za definiranje standardiziranog pristupa kibernetičkoj sigurnosti u svim državama članicama EU-a.
Godine 2018. donesena je prva europska uredba pod nazivom NIS1 (Direktiva EU 2016/1148); transponirana je na nacionalnu razinu Zakonodavnom uredbom 65 od 18.05.2018.
Uredba o NIS-u također je predvidjela donošenje „nacionalne strategije kibernetičke sigurnosti“ osnivanjem talijanskog CSIRT-a (Tima za odgovor na incidente računalne sigurnosti) s tehničkim zadacima vezanim uz sprječavanje, odgovor i praćenje kibernetičkih incidenata; u suradnji s europskim CSIRT-ovima.
NIS1 je naknadno zamijenjen NIS2 (Direktiva EU 2022/2555); prenesen na nacionalnu razinu Zakonodavnom uredbom 138 od 4. rujna 2024.
NIS 2 ima za cilj prevladati ograničenja NIS 1; koji je državama članicama ostavio previše diskrecije tijekom prenošenja; što je rezultiralo neuspjehom u postizanju cilja usklađivanja; a također je isključio određene kategorije subjekata koje su trebale biti regulirane zbog njihove važnosti za europsko tržište.
Nadalje; NIS2 je uveden kao odgovor na porast stope digitalizacije koji se dogodio u svim državama članicama, a ubrzan pandemijom; što je proširilo područje za kibernetičke napade bez odgovarajućeg povećanja sigurnosnih sustava.
Konačno; još jedan cilj NIS2 je obvezati operatere bitnih i važnih usluga i pružatelje digitalnih usluga da usvoje odgovarajuće sigurnosne mjere i da odmah prijave incidente nadležnim tijelima i korisnicima svojih usluga.
Nova direktiva usklađena je s drugim specifičnim europskim sektorskim propisima, uključujući:
- Direktiva o digitalnoj operativnoj otpornosti financijskog sektora (DORA). Riječ je o Uredbi odobrenoj 10.11.2022. s ciljem povećanja sigurnosnih mjera u korist otpornosti i kibernetičke sigurnosti financijskog sektora provedbom niza obveznih sigurnosnih mjera koje jamče integritet informacija i kibernetičku sigurnost usluga;
- Direktiva o otpornosti kritičnih entiteta (CER); usmjerena na osiguranje pravne jasnoće i dosljednosti između različitih direktiva.
Dotične tvrtke su podijeljene na:
- Bitni subjekti (energija; promet; zdravstvo; vodoopskrba; javna uprava; financije; svemir; digitalna infrastruktura)
- Važni subjekti (istraživanje; kemikalije; hrana; industrijska proizvodnja; digitalni pružatelji usluga; poštanske usluge; otpad)
- Javna tijela: Središnja vlada (ustavna i ustavom relevantna tijela; Ured premijera i ministarstva; porezne agencije; neovisna upravna tijela) | Regionalna vlada (regije i autonomne pokrajine) | Lokalna uprava (gradovi; općine s > 100.000 stanovnika; regionalni glavni gradovi; lokalne zdravstvene vlasti) | Ostali javni subjekti (gospodarska regulatorna tijela; pružatelji gospodarskih usluga; udruge; socijalne skrbi; pružatelji rekreacijskih i kulturnih usluga; istraživačka tijela i institucije; eksperimentalni zooprofilaktički zavodi) | Druge vrste subjekata (subjekti koji pružaju usluge lokalnog javnog prijevoza; obrazovne institucije koje provode istraživačke aktivnosti; subjekti koji provode aktivnosti od kulturnog interesa; interne tvrtke; tvrtke u koje se ulaže i tvrtke pod javnim upravljanjem)
- Dobavljači: organizacije koje pružaju ključne usluge subjektima pogođenim NIS2 moraju ojačati svoju digitalnu sigurnost; čak i ako su izričito uključene u obvezne sektore.
Sadržaj NIS2
Opće obveze svojstvene sadržaju NIS2 mogu se sažeti na temelju četiri glavna stupa:
Upravljanje: Uprava mora odobriti mjere upravljanja rizicima koje je organizacija usvojila i procijeniti njihovu učinkovitost tijekom vremena: redovito provoditi obuke o pitanjima kibernetičke sigurnosti i ponuditi sličnu obuku zaposlenicima.
Upravljanje rizicima: organizacija mora procijeniti sigurnosne i mrežne rizike te usvojiti odgovarajuće i proporcionalne tehničke, operativne i organizacijske mjere kako bi spriječila ili smanjila utjecaj incidenata na primatelje svojih usluga.
Kontinuitet poslovanja: organizacija mora usvojiti rješenja kako bi osigurala kontinuitet poslovanja (npr. sigurnosne kopije; plan oporavka od katastrofe i postupak upravljanja krizama); s ciljem minimiziranja utjecaja bilo kakvih prekida u pruženim uslugama.
Lanac opskrbe: tvrtka mora procijeniti ranjivosti svakog izravnog dobavljača i ukupnu kvalitetu proizvoda i praksi kibernetičke sigurnosti svojih dobavljača. Procjena će obuhvatiti dobavljače ICT-a i druge ključne dobavljače koji bi mogli uzrokovati poremećaj usluge zbog koje je organizacija uključena u NIS2 perimetar.
Tvrtke će stoga morati biti u mogućnosti mjeriti i izvještavati o:
- Politike analize rizika i sigurnosti informacijskog sustava
- Postupci upravljanja incidentima
- Rješenja za kontinuitet poslovanja (sigurnosno kopiranje i oporavak od katastrofe) te postupci upravljanja krizama i komunikacije
- Sigurnosne politike opskrbnog lanca (dobavljači i pružatelji usluga)
- Sigurnost u akviziciji; razvoj; održavanje i upravljanje ranjivostima informacijskog sustava i mreže
Vremenska crta NIS2
Tvrtke i javne uprave morat će provesti procjenu kako bi razumjele podliježu li obvezama iz Direktive NIS2.
Od 1. prosinca 2024. do 28. veljače 2025. tvrtke su se trebale autentificirati na portalu ACN-a (Nacionalne agencije za kibernetičku sigurnost) koristeći svoje SPID vjerodajnice. Tijekom tog razdoblja korisnici su određeni kao /Registration Service.
Posebno; tvrtke su dužne:
- Navedite je li subjekt dio grupe društava i navedite porezni kod matičnog društva; ako je primjenjivo.
- Navedite povezane tvrtke i njihove porezne kodove.
- Navedite ATECO kodove koji opisuju aktivnost subjekta.
- Navedite relevantne sektorske propise Europske unije.
- Navedite podatke o prometu, bilanci i broju zaposlenika kako biste odredili kategoriju tvrtke.
- Navedite vrste subjekata kojima tvrtka pripada.
Do 17. siječnja 2025.; operateri registara domena najviše razine; pružatelji usluga sustava domena i registracije domena; računarstvo u oblaku; podatkovni centri; pružatelji mreža za isporuku sadržaja; pružatelji upravljanih usluga; pružatelji upravljanih sigurnosnih usluga; kao i pružatelji online tržišta; pružatelji online tražilica i pružatelji platformi društvenih mreža trebali su se registrirati na platformi.
Do 31. ožujka 2025. ACN je sastavio popis bitnih i važnih subjekata na temelju registracija primljenih putem platforme.
Između 1. travnja 2025. i 15. travnja 2025. ACN je obavijestio dotične subjekte jesu li uvršteni na popis bitnih ili važnih subjekata.
Do 15. travnja 2025. subjekti koji su primili obavijest bili su dužni posebnim aktom imenovati subjekt odgovoran za ispunjavanje obveza iz uredbe.
Nakon toga; subjekti na koje se odnosi Direktiva morat će se pridržavati daljnjih zahtjeva:
- do 1. siječnja 2026.; obveza prijavljivanja incidenata
- do 1. listopada 2026.; obveze u vezi s upravnim tijelima i sigurnosnim mjerama moraju biti ispunjene
ACN će svake godine ažurirati popis uključenih subjekata. Tvrtke i javne uprave imat će priliku registrirati se svake godine između siječnja i veljače ako se smatraju među dotičnim subjektima.
Rizici za tvrtke, ali i prilike
Nakon stupanja na snagu NIS2 i identifikacije uključenih operatera, nadležna tijela mogu provoditi nadzor i nasumične provjere kako bi provjerila njihovu usklađenost s Direktivom. U slučaju neispunjavanja obveza, na uključene tvrtke bit će primijenjene kazne.
Kazne su vrlo stroge: za velike tvrtke; do 10 milijuna eura ili 2% globalnog prometa; za srednja poduzeća; do 7 milijuna eura ili 1,4% globalnog prometa.
Iako usklađenost s propisima zahtijeva jasan napor i ulaganje od strane tvrtki; također se mora priznati da sami propisi nastoje pružiti značajno rješenje za problem kibernetičkih napada; na koje su talijanske tvrtke još uvijek vrlo osjetljive i koje često nastoje prikriti iz razloga imidža. U ekonomskom smislu; procijenjena prosječna šteta za svaki pojedinačni kibernetički napad iznosi više od 2 milijuna eura; bez obzira na promet tvrtke.
Kako ERA može pomoći u upravljanju usklađenošću s NIS2
Unatoč svemu navedenom, što bi moglo sugerirati da su tvrtke izuzetno zainteresirane i uključene u pitanja kibernetičke sigurnosti, nije neuobičajeno, posebno među malim i srednjim poduzećima, pronaći tvrtke koje su malo ili ništa učinile po pitanju tih pitanja i trenutno ne mogu definirati svoj stav u smislu rizika kojima su izložene, kako s tehničkog gledišta, tako i u smislu usklađenosti s raznim postojećim propisima.
Neke tvrtke rješavaju problem kibernetičke sigurnosti putem osiguranja. Međutim, osiguravajuća društva često nerado nude ovu vrstu zaštite tvrtkama koje nikada nisu poduzele konkretne akcije u kibernetičkoj sferi. To je zato što ne postoji pouzdana metoda za točnu procjenu štete uzrokovane kibernetičkim napadom. Kao rezultat toga, „NIS2 paketi“ usredotočuju se na usluge procjene kibernetičkog rizika, ali tvrtkama prepuštaju poduzimanje potrebnih mjera za rješavanje bilo kakvih nedostataka. ERA može ponuditi sveobuhvatniju uslugu oslanjajući se na mrežu visokokvalificiranih dobavljača po vrlo konkurentnim komercijalnim uvjetima.
Detaljno; ERA-ina podrška sastoji se od:
- Procjena organizacijske i tehničke strukture tvrtke; uz pomoć upitnika za samoprocjenu korištenjem unaprijed definiranih pokazatelja;
- Tečajevi podizanja svijesti i osposobljavanja; s osnovnim tečajevima za sve zaposlenike i naprednim modulima za viši i srednji menadžment; u skladu sa smjernicama NIS2;
- Specifični i visokokvalificirani testovi analize ranjivosti; tretman phishinga i procjena rizika od ransomwarea;
- Podrška posvećenih konzultanata tijekom faze sanacije nakon procjene;
- Specijalizirana podrška predanih konzultanata za vođenje strateških odluka u području kibernetičke sigurnosti.
Naše rješenje uključuje analizu usklađenosti s NIS2 propisima; što je svakako najhitniji problem; ali također može pratiti klijenta u upravljanju projektom faze sanacije; tj. faze u kojoj klijent mora otkloniti različite 'nedostatke' utvrđene u procesu dijagnoze; i to je faza u kojoj su poteškoće nekih tvrtki najočitije; kako u smislu internih vještina tako i dostupnosti vremena i resursa.
