ZInfV-1 in NIS2: ali je vaše podjetje zavezanec in kaj mora urediti?
ZInfV-1 je razširil krog organizacij, ki morajo sistematično obvladovati kibernetska tveganja in prijavljati pomembne incidente.
AI-ilustracija
Slovenski Zakon o informacijski varnosti je prenesel evropsko direktivo NIS2 in razširil krog organizacij, ki morajo sistematično obvladovati kibernetska tveganja. Bistveno ni le, ali podjetje uporablja informacijsko tehnologijo, temveč v katerem sektorju deluje, kako veliko je in kako pomembne so njegove storitve.
ZInfV-1 velja od 19.06.2025, del obveznosti pa zahteva trajno organizacijsko in tehnično delo. Organizacije najprej preverijo status zavezanca, nato uredijo odgovornost vodstva, oceno tveganj, varnostne ukrepe, neprekinjeno poslovanje in prijavo incidentov. Tudi podjetje, ki formalno ni zavezanec, lahko zahteve občuti prek pogodb z večjimi naročniki.
1. Kdo je lahko zavezanec po ZInfV-1?
Zavezanci so predvsem srednji in veliki subjekti v zakonsko navedenih bistvenih in pomembnih sektorjih, zakon pa pozna tudi izjeme glede velikosti. Med področji so energija, promet, zdravstvo, digitalna infrastruktura, upravljanje storitev IKT, javna uprava ter nekatere proizvodne, poštne, živilske in druge dejavnosti.
Presoja se opravi po dejanski dejavnosti, velikosti in posebnih merilih. Sama registrirana šifra dejavnosti ni vedno dovolj, zato je koristno zapisati, katere storitve podjetje res zagotavlja, komu in s kakšno odvisnostjo od omrežij in informacijskih sistemov.
2. Ali se mora podjetje prijaviti samo?
Zavezanec mora sam prepoznati svoj status in samoregistracijo opraviti v 30 dneh od nastanka okoliščin, zaradi katerih postane zavezanec. Organizacija naj ne čaka na individualni poziv, če izpolnjuje zakonska merila.
Za dokazljivo odločitev je smiselna kratka interna presoja: dejavnost, število zaposlenih, finančni pragovi, posebna vloga in povezave z drugimi družbami. Če rezultat ni jasen, naj podjetje pridobi strokovno razlago, ne pa zgolj neuradne potrditve ponudnika IT.
AI-ilustracija3. Za kaj je odgovorno poslovodstvo?
Poslovodstvo mora potrditi ukrepe za obvladovanje kibernetskih tveganj, nadzorovati njihovo izvajanje in se ustrezno usposabljati. Informacijska varnost zato ni izključno naloga sistemskega administratorja.
Vodstvo mora poznati najpomembnejše storitve, sprejemljiva tveganja, načrt odziva in posledice prekinitve. Odločitev, da se kritična ranljivost ne odpravi ali da se varnostna kopija ne preizkusi, je poslovna odločitev z merljivimi posledicami.
KOMU POROČATI O KIBERNETSKEM INCIDENTU
4. Katere ukrepe mora zavezanec vzpostaviti?
Ukrepi morajo pokriti analizo tveganj, obvladovanje incidentov, neprekinjeno poslovanje, dobavno verigo, varnost razvoja in vzdrževanja, preverjanje učinkovitosti, kriptografijo, dostop ter usposabljanje. Njihov obseg mora biti sorazmeren tveganjem.
Dokument brez lastnika, roka in dokaza o izvedbi ne zadošča. Uporabnejši je krajši register ukrepov, ki za vsako pomembno tveganje pokaže odgovorno osebo, trenutno zaščito, odprto nalogo in datum naslednjega preverjanja.
5. Kako poteka prijava pomembnega incidenta?
Zakon predvideva večstopenjsko obveščanje pristojnega CSIRT: zgodnje sporočilo v 24 urah, priglasitev incidenta v 72 urah in končno poročilo en mesec po rešitvi incidenta. Če incident po enem mesecu še traja, mora subjekt namesto končnega poročila predložiti poročilo o napredku.
Podjetje mora zato vnaprej določiti, kdo incident oceni, kdo sme poslati prijavo in kdo komunicira s strankami. Kontaktni podatki, obrazec ter nadomestna oseba morajo biti dosegljivi tudi ob nedelovanju običajnih sistemov.
AI-ilustracija6. Kaj pomeni varnost dobavne verige?
Zavezanec mora obvladovati tveganja neposrednih dobaviteljev in ponudnikov storitev, zlasti kadar imajo dostop do podatkov ali kritičnih sistemov. Certifikat dobavitelja je lahko dokaz, ni pa nadomestilo za pogodbeno ureditev.
Pogodba naj določa varnostne zahteve, prijavo incidentov, upravljanje ranljivosti, podizvajalce, vračilo podatkov in izhod iz storitve. Največ vrzeli nastane pri dolgoletnih dobaviteljih, katerih dostopi so ostali širši od dejanskih potreb.
7. Kako se lotiti priprave brez nepotrebne birokracije?
Začnite s petimi elementi: presoja zavezanosti, zemljevid ključnih storitev, register tveganj, načrt incidentov in program ukrepov. Nato povežite obstoječe politike, pogodbe, varnostne kopije in tehnične nastavitve z zakonskimi zahtevami.
Prva vaja odziva hitro pokaže, ali seznam kontaktov deluje, ali so dnevniki dosegljivi in ali vodstvo zna sprejeti odločitev pod časovnim pritiskom. Tak preizkus je vrednejši od pravilnika, ki ga nihče ni uporabil.
Kibernetska skladnost se začne pri odvisnosti poslovanja, ne pri seznamu opreme
Podjetje ne potrebuje enake zaščite za vsak računalnik. Najprej mora vedeti, brez katerih podatkov, ljudi in storitev ne more izpolniti obveznosti do strank.
Ko so te odvisnosti jasne, postanejo naložbe v varnost razumljive: zaščitijo prihodek, zaupanje in sposobnost nadaljevanja dela. ZInfV-1 je zato najbolj uporaben kot okvir za boljše vodenje, ne kot zbirka obrazcev.
