Kao stručnjak za kibernetičku sigurnost koji već više od desetljeća radi s hrvatskim organizacijama, želim skrenuti pozornost na važnu promjenu koja od sada zahtijeva stratešku pažnju poslovnog vodstva: usklađenost s NIS2 direktivom.
Zakon o kibernetičkoj sigurnosti u Hrvatskoj već je na snazi. Mnoge će organizacije potpasti pod nove obveze, a regulatorne obavijesti poslane su početkom 2025. Ako ste primili tu obavijest, imate oko 18 mjeseci za postizanje potpune usklađenosti.
Da stavimo stvari u perspektivu: ako ste banka, telekom operater ili bilo koji ključni subjekt s više od 250 zaposlenika, nalazite se u obuhvatu. Regulatorni okvir je definiran i razdoblje provedbe brzo se približava.
Priprema za prijelaz na usklađenost
Iz mog iskustva u radu s organizacijama tijekom regulatornih prijelaza, rano planiranje uvijek vodi do boljih rezultata i nižih troškova. Ključni subjekti suočavaju se s kaznama do 10 milijuna eura ili 2% godišnjeg prometa. Za većinu hrvatskih poduzeća ovo predstavlja značajan financijski rizik koji zahtijeva proaktivan pristup.
Visina kazni odražava ozbiljnost kibernetičke otpornosti u kritičnim sektorima. Europski regulatori pokazali su dosljednu primjenu pravila s GDPR-om, a NIS2 slijedi slične principe. Ključna razlika je u tome što propusti u kibernetičkoj sigurnosti imaju trenutan operativni učinak kako prekidi sustava izravno utječu na kontinuitet poslovanja.
Na što organizacije trebaju obratiti pozornost
U praksi već viđam kvalitetne sigurnosne mjere: vatrozide, zaštitu krajnjih točaka i sustave za nadzor. Međutim, NIS2 zahtijeva dodatne sposobnosti koje mnoge organizacije još nisu uvele, osobito kada je riječ o strategijama upravljanja kriptografskim ključevima i procedurama izvještavanja o incidentima u roku od 24 sata.
NIS2 ide dalje od tradicionalnih sigurnosnih mjera. Propisuje dokumentirane kriptografske politike, formalno upravljanje ključevima te upravljačku odgovornost na razini uprave. Ovo su operativni zahtjevi koji će biti predmet regulatorne revizije.
18-mjesečni rok za provedbu
Od trenutka obavijesti do potpune usklađenosti, organizacije imaju otprilike 18 mjeseci za implementaciju. Taj rok zahtijeva pažljivo planiranje jer uključuje nekoliko ključnih faza:
- Provedba procjene rizika i analize nedostataka (3–4 mjeseca)
- Nabava i odabir dobavljača (2–3 mjeseca)
- Implementacija i integracija (8–10 mjeseci)
- Testiranje, dokumentacija i priprema za reviziju (2–3 mjeseca)
Ove se faze najčešće moraju provoditi sekvencijalno, što znači da organizacije koje strateško planiranje započnu na vrijeme imaju znatno bolje izglede za uspješnu usklađenost.
Kako CipherTrust Manager može pomoći u postizanju usklađenosti
Radim s Thales CipherTrust Managerom u okviru NIS2 procjena spremnosti kod više organizacija. Platforma pokriva ključne zahtjeve za usklađenost: centralizirano upravljanje ključevima, automatizirano provođenje politika i dokumentaciju spremnu za reviziju.
Thales nudi alat za samoprocjenu koji je posebno usklađen s člankom 21.2. Ova procjena pomaže organizacijama da razumiju svoju trenutnu poziciju u odnosu na regulatorna očekivanja. Rezultati često otkriju prioritete implementacije koji u početku nisu bili vidljivi.
Snaga platforme je u konsolidaciji. Umjesto upravljanja kriptografskim politikama kroz više sustava, organizacije postižu objedinjenu kontrolu uz sveobuhvatne revizijske zapise.
Moja preporuka: počnite s procjenom
Strateško planiranje usklađenosti treba započeti sveobuhvatnom procjenom, a ne odmah nabavom tehnologije. To uključuje mapiranje kritičnih sustava, identifikaciju osjetljivih podataka i dokumentiranje postojećih sigurnosnih procesa.
Za hrvatske organizacije to znači:
- Razumijevanje koje se NIS2 kategorije odnose na vaše poslovanje
- Mapiranje postojećih kontrola u odnosu na 10 obveznih sigurnosnih mjera
- Identifikaciju nedostataka u upravljanju, odgovoru na incidente i kriptografskim kontrolama
- Razvoj realnih vremenskih planova implementacije s predviđenim rezervama
Kako Alfatec može pomoći
Većina organizacija ima koristi od vanjske stručne podrške u procesu usklađivanja s NIS2. Regulatorni zahtjevi su detaljni, tehnologija se stalno razvija, a važnost ispravne implementacije izuzetno je visoka.
Suradnja s iskusnim partnerima osigurava pravilno upravljanje rizicima. Organizacije koje kombiniraju internu odgovornost s vanjskom stručnošću obično brže provode mjere i smanjuju rizik od neusklađenosti. Kontaktirajte nas za više informacija.
Zaključak
Organizacije već primaju preliminarne smjernice od sektorskih tijela, a formalne obavijesti su u tijeku.
Rano i strukturirano planiranje omogućuje vam da izbjegnete usklađivanje pod vremenskim pritiskom, s ograničenim mogućnostima i znatno većim troškovima provedbe.
