što je Zakon o cybersigurnosti i što se mijenja

Zakon o kibernetskoj sigurnosti implementira NIS2 u hrvatsko pravo

Zakon o kibernetskoj sigurnosti je hrvatski zakon koji europsku NIS2-direktivu pretpostavlja u nacionalna pravila. NIS2 je europska direktiva, a direktiva ne funkcionira automatski u svakoj zemlji — za to je potrebna nacionalna zakonodavna uredba. U Hrvatskoj je to Zakon o kibernetskoj sigurnosti, dostupan na službenom portalu za zakone. U glavnim crtama zakon slijedi direktivu: isti sektori, ista podjela na subjekte od ključne važnosti i važne subjekte, te jezgra istih obaveza. Tko želi znati pada li njegov sektor pod priloge, tamo nalazi pregled koji čini osnovu ovoga zakona.

Što se mijenja za organizacije koje spadaju pod zakon je ponajviše opseg obaveza. Dolazi obaveza brižnosti: poduzimanje primjerenih mjera za zaštitu vlastitih digitalnenih sustava. Dolazi obaveza registracije kod nadzornog tijela. I dolazi obaveza obavijesti pri incidentima, s pitanjem kada i komu treba biti obaviješteno. Za organizacije koje same ne spadaju pod zakon, nešto se indirektno također mijenja: organizacije s obvezama moraju procijeniti svoje dobavljače, što znači da čak i nepodložne tvrtke mogu primiti popise pitanja i zahtjeve u ugovorima. Tko se pita zašto ta pitanja ipak dolaze, tamo čita kako ta primjena kroz lanac funkcionira.

Gdje to proizlazi: primjena članka 21. i 23.

Obaveze iz Zakona o kibernetskoj sigurnosti proizlaze izravno iz NIS2-direktive: članak 21. stavak 2. Direktive (EU) 2022/2555 navodi deset mjera koje čine osnovu obaveze brižnosti, a obaveza obavijesti također je razrađena u direktivi. Hrvatski zakon razrađuje te zahtjeve u nacionalne odredbe, dostupne na službenom portalu za zakone. NCSC pruža savjetovanje kako se obaveza brižnosti i obaveza obavijesti u praksi primjenjuju.