10 korakov do skladnosti z NIS 2 in ZInfV-1

Kontrolni seznam

Zakon o informacijski varnosti (ZInfV-1) in evropska direktiva NIS 2 prinašata nove, strožje zahteve za organizacije, ki želijo zagotoviti varnost svojih informacijskih sistemov in kibernetsko odpornost. Skladnost s temi predpisi ni le zakonska nuja, temveč priložnost za dvig zaupanja strank in partnerjev ter ter zagotavljanje nemotenega poslovanja.

Da bi vam olajšali pot do varnega poslovanja, smo na podlagi strokovnih smernic pripravili pregled desetih ključnih korakov do skladnosti.

1. Prepoznajte svoj status: Ste bistven ali pomemben subjekt?

Prvi in najpomembnejši korak je ugotovitev, ali vaša organizacija sodi med zavezance. Zavezanci po direktivi NIS 2 so podjetja in organizacije, ki delujejo v 18 različnih sektorjih, razdeljenih na bistvene in pomembne subjekte. Vsak sektor vključuje specifične vrste dejavnosti, ki so predmet ukrepov direktive.

Direktiva NIS 2 določa, da so zavezanci predvsem tiste organizacije, ki:

delujejo v bistvenih in pomembnih sektorjih, ki so podrobneje opredeljeni v direktivi;
so vključene na seznam organizacij, ki jih določa direktiva NIS 2, ne glede na njihovo velikost ali pomen.

Pravilna uvrstitev v eno od teh skupin je ključna, saj je prav od vašega statusa neposredno odvisen obseg vaših obveznosti in nadzora.

2. Vodstvena odgovornost je ključna

Skladnost ni le tehnično vprašanje za vaš IT oddelek, temveč strateška odločitev na ravni celotnega podjetja. Vodstvo mora prevzeti jasno vlogo pri upravljanju kibernetskih tveganj in zagotoviti ustrezna sredstva (finančna in kadrovska) za izvajanje varnostnih ukrepov.

Ker zakonodaja (NIS 2 in ZInfV-1) vodstvu nalaga neposredno odgovornost in zahteva ustrezno usposobljenost, je ključno, da se vodilni kadri seznanijo s svojimi obveznostmi. Pri tem vam lahko pomagamo s specializiranimi izobraževalnimi programi za vodstvo in zaposlene, kjer boste spoznali strateško upravljanje tveganj in kako se pripraviti na inšpekcijske preglede.

3. Popis sredstev in storitev

Ne morete varovati tistega, česar ne poznate. Vzpostavite natančno evidenco vseh informacijskih sredstev, sistemov in storitev, ki so ključna za delovanje vaše organizacije. Ta evidenca je temelj za vsako nadaljnje upravljanje tveganj.

4. Sistematična analiza tveganj

Izvedite oceno tveganj, v kateri prepoznate potencialne grožnje, ranljivosti sistemov in možne posledice incidentov. Analiza tveganj ni le birokratska vaja, temveč temeljni kamen celovite informacijske varnosti. Brez nje so vaši varnostni ukrepi zgolj ugibanje, kar pa za skladnost z NIS 2 in ZInfV-1 ni dovolj.

Proces mora biti strukturiran in mora vključevati tri ključne faze:

Identifikacija groženj: Ne omejujte se le na zunanje napade (npr. hekerje). Upoštevati morate celoten spekter nevarnosti – od izsiljevalske programske opreme (ransomware) in tehničnih okvar strojne opreme do naravnih nesreč (požar, poplava) in človeških napak zaposlenih.
Ocena ranljivosti: Iskreno ocenite, kje so vaše šibke točke. Je to zastarela programska oprema, nezaščiten oddaljen dostop ali pomanjkanje varnostnih procedur?
Presoja vpliva: Kaj se zgodi, če se grožnja uresniči? Ocenite vpliv na zaupnost, celovitost in razpoložljivost podatkov ter posledice za poslovanje.

Zakonodaja izrecno zahteva, da je ta proces pisno dokumentiran. Poleg tega analiza ne sme biti statičen dokument.Redno jo morate revidirati in posodabljati.

5. Politike in postopki informacijske varnosti

Vzpostaviti morate jasna in pisna pravila delovanja, ki ne smejo ostati le črka na papirju. Vaše interne politike morajo natančno pokrivati ključna področja, kot so:

upravljanje gesel in dodeljevanje dostopov,
klasifikacija podatkov (kaj je javno, kaj zaupno),
politika varnostnega kopiranja in
postopki ravnanja ob varnostnih incidentih.

Ker je priprava celovite dokumentacije pogosto časovno zahtevna in strokovno zapletena naloga, vam nudimo strokovno podporo. Z našo storitvijo Uskladitev dokumentacije z zakonodajo na področju Informacijske varnosti za vas prevzamemo pripravo različnih varnostnih politik, postopkov in evidenc, ki so popolnoma prilagojene specifičnim potrebam in procesom vaše organizacije.

6. Tehnični in organizacijski ukrepi

Politike prenesite v prakso z ustreznimi zaščitnimi ukrepi. Ti naj vključujejo:

večnivojsko avtentikacijo (MFA),
šifriranje podatkov,
segmentacijo omrežij in
redno izdelavo varnostnih kopij.

Nujno je tudi redno testiranje delovanja teh ukrepov.

7. Usposabljanje zaposlenih in ozaveščanje

Človeški dejavnik je pogosto najšibkejši člen v verigi varnosti. Izvajajte redna izobraževanja in ozaveščanje zaposlenih o kibernetskih tveganjih, prepoznavanju »phishing« napadov in varni rabi informacijskih sistemov.

Poleg rednih izobraževanj vam priporočamo in za vas izvedemo napredne phishing teste (varnostne simulacije). Kako to poteka?

Za vaše zaposlene pripravimo kontroliran, simuliran napad (npr. lažna e-pošta o neplačanem računu ali poteku gesla).
Test poteka v varnem okolju, kjer ni tveganja za vaše sisteme.
Na podlagi rezultatov dobite jasen vpogled, koliko zaposlenih bi dejansko kliknilo na škodljivo povezavo, in kje so potrebna dodatna usposabljanja.

8. Načrt neprekinjenega poslovanja (BCP)

Pripravite načrte za odzivanje na incidente in krizne situacije. Ključno je, da znate v primeru napada hitro obnoviti delovanje ključnih storitev, zato načrte preverite tudi z vajo odziva.

9. Prijava incidentov

Zakonodaja ZInfV-1 zahteva vzpostavitev postopka za pravočasno prijavo pomembnih incidentov nacionalnim pristojnim organom. Znotraj podjetja mora vsak zaposleni vedeti, komu incident sporočiti.

10. Redno preverjanje skladnosti

Skladnost je proces, ne enkratni dogodek. Redno izvajajte notranje presoje in GAP analize ter posodabljajte svoje varnostne ukrepe glede na nove grožnje in zakonodajne spremembe.

Za organizacije, ki želijo izboljšati svojo varnostno držo brez zaposlovanja dragega internega kadra, je optimalna rešitev najem svetovalca za informacijsko varnost.

Naši svetovalci so strokovnjaki z obsežnim znanjem in izkušnjami, ki vam pomagajo vzpostaviti in vzdrževati robusten sistem. V okviru te storitve vam zagotavljamo:

Redne preglede varnostnih politik: Ne le, da politike imate, te morajo biti tudi aktualne. Izvajamo ocene obstoječih dokumentov ter predlagamo izboljšave v skladu z najboljšimi praksami in najnovejšimi standardi.
Oceno skladnosti: Izvajamo redne preglede skladnosti ne le z NIS 2, temveč tudi z drugimi predpisi, kot so GDPR, ZVOP in interni akti.
Izdelavo in optimizacijo procesov: Pomagamo pri oblikovanju celovitih varnostnih politik in prilagoditvi procesov tako, da zadostijo novim zakonskim zahtevam, hkrati pa ne ovirajo vašega poslovanja.
Podporo v primeru varnostnih incidentov: Ko gre kaj narobe, niste sami. Nudimo vam takojšnje svetovanje pri odzivanju na incidente, pomoč pri preiskavah ter vodenje skozi postopek odpravljanja posledic.