Zakon o kibernetskoj sigurnosti: što vrijedi u Nizozemskoj
Hrvatsko ostvarenje NIS2 i razlog zašto nema razdoblja prilagodbe.
Nema razdoblja prijelaza
Hrvatska je NIS2 ostvarila Zakonom o kibernetskoj sigurnosti. Za razliku od mnogih drugih zakona, nema razdoblja prilagodbe: obveze vrijede od stupanja na snagu. Organizacije koje spadaju pod njega moraju se registrirati i poštovati obvezu pažnje.
To je razlog zašto sada ima toliko buke oko toga. Tisuće organizacija tek ove godine otkrivaju da spadaju pod njega, a njihovi dobavljači to saznaju putem upitnika koji slijedi.
Tko radi što
Postoji nadzorni organ koji provodi nadzor i CSIRT kojem se šalju prijave incidenata i gdje dolaze podaci o prijetnjama. Za neke sektore određen je vlastiti nadzorni organ; koji je to ovisi o vašem sektoru.
Vlada sama nudi samovrednovanja i smjernice. One su kvalitetne i besplatne, i na njih se pozivamo. Dalje idemo gdje se postavlja sljedeće pitanje: kako to bilježite, kako to pratite i kako tom podatku odgovarate u upitničkom obrascu vašeg klijenta.
Obveza uprave
Točka koja je u Hrvatskoj jasnije određena nego u samoj direktivi: uprava mora odobriti mjere, nadzire njihovu provedbu i mora za to proći obuku. Ta odgovornost leži na samom članom uprave i ne može se ugovoriti.
Za zaposlenike je drugačije. Iz obveze pažnje proizlazi obuka, ali u zakonu nema odvojene obveze. Napominjemo tu razliku jer je važna za ono što trebate regulirati i što vas kosta.
Često postavljana pitanja
Gdje se registriram?
Kod nadzornog organa, putem njemu namijenjenog portala. Trebate sredstvo za prijavu koje je vezano uz vašu organizaciju. Pripremamo tražene podatke; prosljeđivanje činite sami.
Što se događa ako se ne registriram?
Neregistriranje je samo po sebi prekršaj, neovisno o tome je li vaša sigurnost u redu. To je i prvo što će nadzorni organ vidjeti.
Postoje li niže zahtjeve za male organizacije?
Mjere moraju biti primjerene i proporcionalne, dakle da: od organizacije od šezdeset osoba očekuje se manje nego od one od šest tisuća. Ali predmeti su isti, i obveza registracije i prijavljivanja ne poznaje popust.
Ovo je objašnjenje, a ne savjet o vašoj osobnoj situaciji. secria.eu ne procjenjuje vašu organizaciju i ne daje jamstva.