Najvažnije iz članka
- NIS2 proširuje obuhvat na tisuće hrvatskih tvrtki, uključujući srednja poduzeća u ključnim sektorima.
- Uprave društava postaju osobno odgovorne za propuste u kibernetičkoj sigurnosti.
- Obvezna je prijava značajnih incidenata u roku od 24 sata nadležnim tijelima.
- Sigurnost opskrbnog lanca postaje prioritet – provjeravat će se svi dobavljači i partneri.
- Rok za potpunu implementaciju i usklađivanje u praksi je proljeće 2026. godine.
Sadržaj članka
Nakon višegodišnjih priprema i pregovora unutar Europske unije, Direktiva (EU) 2022/2555, poznatija kao NIS2, stupila je na snagu kako bi zamijenila zastarjelu NIS direktivu iz 2016. godine. Primarni cilj ovog regulatornog okvira je stvoriti višu razinu zajedničke kibernetičke sigurnosti diljem Unije. Dok je prva verzija direktive bila fokusirana na kritičnu infrastrukturu poput energetike i bankarstva, NIS2 dramatično širi obuhvat. U Hrvatskoj to znači da će tisuće tvrtki koje su se do jučer smatrale 'običnim' poduzetnicima sada biti klasificirane kao ključni ili važni subjekti. Rok za implementaciju nacionalnog zakonodavstva bio je listopad 2024., no proces nadzora i puna primjena u praksi dostižu svoj vrhunac do proljeća 2026. godine, kada se očekuje da sustavi budu u potpunosti auditirani.
Promjena paradigme leži u činjenici da se kibernetička sigurnost više ne tretira kao 'IT problem', već kao pitanje upravljačke odgovornosti. Uprave društava sada su izravno odgovorne za propuste u implementaciji mjera sigurnosti. Ako se dogodi incident, a dokaže se da menadžment nije odobrio potrebne investicije ili nadzirao planove oporavka, sankcije mogu biti osobne. Ovo je ključna razlika u odnosu na dosadašnju praksu gdje su se kazne uglavnom svodile na minorne iznose za pravne osobe. S NIS2 direktivom, kazne dosežu do 10 milijuna eura ili 2% ukupnog svjetskog godišnjeg prometa, ovisno o tome što je veće.
Ključni sektori i nova kategorizacija subjekata
NIS2 uvodi jasnu podjelu na 'ključne subjekte' (Essential Entities) i 'važne subjekte' (Important Entities). U prvu skupinu ulaze sektori poput energetike, transporta, bankarstva, zdravstva, vodoopskrbe, digitalne infrastrukture i javne uprave. Druga skupina, 'važni subjekti', obuhvaća poštanske usluge, gospodarenje otpadom, proizvodnju i distribuciju kemikalija, proizvodnju hrane te digitalne pružatelje usluga poput web-trgovina i tražilica. Posebno je važno naglasiti da NIS2 eliminira pragove koje su države članice same postavljale, uvodeći opće pravilo: svaka srednja i velika tvrtka (iznad 50 zaposlenih ili 10 milijuna eura prihoda) u navedenim sektorima automatizmom postaje obveznik.
Za hrvatske tvrtke to znači reviziju statusa. Čak i ako niste izravno u ovim sektorima, ali ste dio opskrbnog lanca (supply chain) tvrtke koja jest, bit ćete prisiljeni zadovoljiti visoke standarde jer direktiva nalaže klijentima da provjeravaju sigurnost svojih dobavljača. To stvara domino efekt gdje će i manji IT obrti ili servisne tvrtke morati dokumentirati svoje procese sigurnosti kako ne bi izgubili velike ugovore. Fokus je na otpornosti cijelog ekosustava, a ne samo izoliranih otoka kritične infrastrukture.
Tehničke mjere: Od enkripcije do upravljanja ranjivostima
Implementacija NIS2 zahtijeva konkretne tehničke korake koji nadilaze instalaciju antivirusa. Prvi korak je analiza rizika i sigurnosne politike informacijskih sustava. To podrazumijeva dubinsko skeniranje infrastrukture kako bi se identificirale kritične točke. Jedna od najvažnijih stavki je upravljanje incidentima – tvrtke moraju imati razvijene procedure za otkrivanje, analizu i odgovor na napade. Više nije dovoljno 'ugasiti požar'; potrebno je dokumentirati svaki korak i obavijestiti nadležna tijela (u Hrvatskoj CSIRT ili HAKOM, ovisno o sektoru) u roku od 24 sata od saznanja o incidentu.
Kontinuitet poslovanja (Business Continuity) i upravljanje krizama čine drugu važnu cjelinu. To uključuje redovite backup procedure na lokacijama koje nisu fizički ili logički povezane s glavnom mrežom (tako zvani 'air-gapped' backup), planove za oporavak od katastrofe (Disaster Recovery) te redundanciju ključnih sustava. Također, direktiva stavlja naglasak na sigurnost u nabavi. Prije kupnje bilo kojeg softvera ili hardvera, kupac mora ocijeniti sigurnosne prakse proizvođača. Ako koristite cloud usluge, morate osigurati da vaš pružatelj (npr. Azure, AWS ili lokalni provideri) zadovoljava standarde koje NIS2 postavlja vama.
Sigurnost opskrbnog lanca i higijena sustava
Jedan od najizazovnijih aspekata NIS2 je 'supply chain security'. Povijesno gledano, mnogi upadi u velike sustave dogodili su se kroz kompromitaciju malih dobavljača s pristupom mreži. NIS2 nalaže subjektima da procijene ranjivosti specifične za svakog izravnog dobavljača. U praksi, to će zahtijevati reviziju ugovora i uvođenje klauzula o obveznom izvještavanju o incidentima kod dobavljača. Ako vaša tvrtka isporučuje prilagođeni softver, morat ćete dokazati da koristite 'secure coding' prakse i redovito skenirate vlastiti kôd na ranjivosti.
Osnovna 'higijena' sustava uključuje korištenje višefaktorske autentikacije (MFA) na svim razinama, ne samo za udaljeni pristup, već i za interne administrativne račune. Također, kriptografija i enkripcija podataka postaju standard, posebno za podatke u tranzitu i osjetljive podatke u mirovanju. Hrvatski zavod za sigurnost informacijskih sustava (ZSIS) naglašava da će edukacija zaposlenika biti presudna. Ljudski faktor ostaje najslabija karika, stoga NIS2 zahtijeva redovite treninge o kibernetičkoj higijeni za sve zaposlenike, uključujući i top menadžment.
Administrativni teret i rokovi do proljeća 2026.
Iako je direktiva stupila na snagu, mnoge tvrtke još uvijek čekaju finalne podzakonske akte na nacionalnoj razini koji će točno definirati tko je nadležno tijelo za njihov specifičan podsektor. Međutim, čekanje je opasna strategija. Period do proljeća 2026. godine trebao bi se iskoristiti za 'gap' analizu – procjenu trenutnog stanja u odnosu na zahtjeve NIS2. Većina tvrtki će otkriti da im nedostaje strukturirana dokumentacija, čak i ako imaju dobre tehničke mjere.
Do 2026. subjekti moraju imati:
- Uspostavljen sustav upravljanja informacijskom sigurnošću (ISMS) usklađen s ISO/IEC 27001 standardom (iako certifikacija nije uvijek obvezna, ona je najbolji dokaz usklađenosti).
- Jasno definirane uloge i odgovornosti unutar organizacije.
- Razvijene protokole za prijavu incidenata u tri faze: rano upozorenje (24h), formalna obavijest (72h) i završni izvještaj (30 dana).
- Implementiranu kontrolu pristupa temeljenu na 'Least Privilege' principu.
Uloga Uprave i osobna odgovornost
Možda najznačajniji pomak koji NIS2 donosi je uvođenje izravne odgovornosti upravnih tijela subjekata za kršenje odredbi o mjerama upravljanja rizicima. Članovi uprave mogu biti privremeno suspendirani s obavljanja rukovodećih funkcija ako se utvrdi da sustavni propusti u sigurnosti ugrožavaju nacionalnu ili europsku stabilnost. Ovo nije samo 'strašenje' – EU želi osigurati da sigurnost postane prioritet na razini na kojoj se donose proračuni.
U hrvatskom kontekstu, gdje se često štedi na IT budžetima, ovo će biti katalizator promjena. IT direktori (CIO) i voditelji sigurnosti (CISO) sada imaju zakonsko uporište tražiti veća sredstva za modernizaciju infrastrukture. Ulaganje u EDR (Endpoint Detection and Response) sustave, SIEM (Security Information and Event Management) rješenja i redovite penetracijske testove više nije luksuz, već zakonski minimum za opstanak na tržištu.
Zaključak: Prilika, a ne samo teret
Iako NIS2 donosi značajne administrativne i financijske izazove, na njega treba gledati kao na priliku za dugoročnu stabilnost. U svijetu gdje su ransomware napadi postali svakodnevica, usklađivanje s NIS2 direktivom zapravo znači izgradnju otpornije tvrtke. Tvrtke koje prve usvoje ove standarde imat će kompetitivnu prednost na tržištu EU, jer će biti prepoznate kao pouzdani partneri u lancu opskrbe. Proljeće 2026. se čini daleko, ali s obzirom na kompleksnost nabave opreme, promjene kulture unutar tvrtke i implementacije složenih softverskih rješenja, pripreme moraju početi odmah. Ignoriranje ovih pravila više nije opcija, jer cijena neusklađenosti daleko nadmašuje cijenu implementacije sigurnosnih mjera.
Komentari