Riječ "direktiva" obično izaziva zijevanje, ali NIS2 zaslužuje pažnju iz praktičnog razloga: kazne su ozbiljne, a krug obveznika puno širi nego što većina misli. U Hrvatskoj je direktiva provedena kroz Zakon o kibernetičkoj sigurnosti, a kategorizacija obveznika već je u tijeku.
Tko je obuhvaćen?
Više nije riječ samo o bankama i elektranama. Obveze se protežu na energetiku, promet, zdravstvo, vodoopskrbu, digitalnu infrastrukturu, proizvodnju, prehrambeni sektor, gospodarenje otpadom, poštanske usluge i još niz djelatnosti: općenito na srednje i velike subjekte u tim sektorima, a u nekim slučajevima i manje.
Ali tu je i kvaka koju mnogi previde: lanac opskrbe. Ako ste mala tvrtka koja pruža usluge obvezniku. IT podršku, softver, održavanje, logistiku. Vaš klijent će od vas tražiti dokaz da ste sigurnosno uredni. Ne zato što vas zakon izravno obvezuje, nego zato što njega obvezuje da provjerava svoje dobavljače. U praksi: sigurnosni upitnici prema dobavljačima već stižu.
Što se konkretno traži?
Zakon ne propisuje marke opreme, nego mjere upravljanja rizicima. U prijevodu na svakodnevni jezik:
Morate znati što imate (popis sustava i podataka) i što vam se može dogoditi (procjena rizika). Morate imati osnovnu tehničku zaštitu: kontrolu pristupa, MFA, šifriranje, backup, ažuriranja. Morate imati plan za incidente. Tko što radi kad se nešto dogodi, i obvezu prijave značajnih incidenata nadležnom tijelu u kratkim rokovima (prva obavijest već unutar 24 sata). I morate educirati ljude, uključujući upravu, jer odgovornost je zakonom izrijekom stavljena i na vodstvo.
Zašto je ovo zapravo dobra vijest
Iskreno? Ništa od navedenog nije birokratski hir. To je popis stvari koje bi svaka ozbiljna tvrtka ionako trebala imati. Zakon je samo dodao rok i kaznu za one koji čekaju. Tvrtke koje se urede dobivaju dvostruku korist: realno manju izloženost napadima i konkurentsku prednost kod klijenata koji od dobavljača traže dokaz sigurnosti.
Razuman prvi korak nije panika ni kupnja skupe opreme, nego procjena stanja: gdje ste sada u odnosu na zahtjeve, što je kritično, a što može pričekati. S jasnom slikom, usklađivanje postaje projekt s planom: umjesto požara koji se gasi pred inspekciju.