Evropska direktiva NIS 2 in slovenski ZInfV-1 prinašata strožje zahteve na področju kibernetske varnosti. Namen nove ureditve ni le tehnična zaščita sistemov, temveč predvsem vzpostavitev preglednega, dokumentiranega in dokazljivega sistema upravljanja varnosti v organizaciji.

Za podjetja to pomeni, da zgolj tehnični ukrepi niso dovolj. Potrebna je tudi ustrezna varnostna dokumentacija, ki pokaže, da organizacija tveganja pozna, jih obvladuje in zna ukrepati ob incidentu.

Kdo je zavezanec po NIS 2 oziroma ZInfV-1?

Zavezanci so praviloma podjetja in organizacije, ki delujejo v varnostno pomembnih panogah in izpolnjujejo določene kriterije glede velikosti ali vpliva na delovanje družbe. Med njimi so na primer energetika, promet, zdravstvo, finančni sektor, digitalna infrastruktura, upravljanje storitev IKT, poštne storitve, ravnanje z odpadki, proizvodnja ter digitalni ponudniki.

Pomembno je, da obveznost ni odvisna le od števila zaposlenih, ampak tudi od dejavnosti, vloge v dobavni verigi in vpliva na delovanje drugih subjektov. Zato je za vsako organizacijo smiselno najprej preveriti, ali sploh spada med zavezance.

Katera dokumentacija je običajno potrebna?

Pri NIS 2 skladnosti je ključna dokumentacija, ki ni samo “za arhiv”, ampak je dejansko uporabljena v praksi. Najpogosteje vključuje:

1. Oceno tveganj za informacijsko varnost.
   Dokument, ki določi ključna sredstva, grožnje, ranljivosti in ukrepe za obvladovanje tveganj.
2. Politiko varovanja informacij.
   Krovni interni akt, ki določa pravila, odgovornosti in temeljne varnostne zahteve.
3. Načrt neprekinjenega poslovanja in okrevanja po incidentu.
   Dokument, ki opredeli, kako organizacija deluje ob izpadu sistemov, napadu ali drugi motnji.
4. Politiko upravljanja incidentov.
   Postopek za zaznavo, obravnavo in poročanje o varnostnih incidentih.
5. Pravila za upravljanje dobavne verige.
   Zahteve za zunanje izvajalce, dobavitelje in partnerje, ki imajo dostop do sistemov ali podatkov.
6. Program usposabljanja zaposlenih.
   Redno izobraževanje zaposlenih o osnovah kibernetske higiene in prepoznavanju napadov.

Zakaj vzorci dokumentacije niso dovolj?

Generični vzorci z interneta praviloma niso dovolj, ker ne odražajo dejanskih procesov, sistemov in tveganj v vašem podjetju. Dokumentacija mora biti prilagojena vaši infrastrukturi, organizaciji dela, obsegu obdelave podatkov in poslovnim procesom.

Inšpektor ali revizor ne preverja le tega, ali dokument obstaja, ampak ali organizacija po njem tudi dejansko deluje. Zato je bolj pomembna uporabnost dokumentacije kot njena formalna lepota.

Kako pravilno pristopiti k pripravi?

Najboljši pristop je postopen:

1. Najprej preverite, ali ste sploh zavezanec.
2. Nato naredite gap analizo med trenutnim stanjem in zahtevami.
3. Pripravite ali posodobite dokumentacijo.
4. Uvedite postopke v prakso.
5. Usposobite zaposlene.
6. Redno preverjajte skladnost in dokumentacijo posodabljajte.

Tak pristop je bistveno bolj učinkovit kot enkratna priprava “paketa dokumentov”.

Se vam zdi, da vas NIS 2 zadeva?

Če niste prepričani, ali vaše podjetje spada med zavezance, ali pa potrebujete pomoč pri pripravi dokumentacije za informacijsko varnost, vam lahko pomagamo od začetne analize do končne uskladitve.

V DATAINFO.SI pripravljamo prilagojene rešitve za varstvo podatkov, informacijsko varnost in skladnost z zakonodajo. Če želite, nas kontaktirajte za strokovni posvet.

Pogosta vprašanja

Ali moramo imeti vso dokumentacijo takoj pripravljeno?
Ne nujno v enem dnevu, pomembno pa je, da podjetje začne sistematično urejati skladnost in zna dokazati napredek.

Ali lahko dokumentacijo pripravi zunanji izvajalec?
Da, lahko. Ključno je, da dokumentacija ni generična, ampak prilagojena vašemu podjetju.

Kaj je najpomembnejši dokument?
Najpogosteje je osnova ocena tveganj, saj iz nje izhajajo ostali varnostni ukrepi in politike.

Ali dokumentacija sama po sebi zadostuje?
Ne. Potrebna je tudi dejanska izvedba, usposabljanje zaposlenih in redno preverjanje ukrepov.