FAQ: Reglyze i ZKS
Osam konkretnih odgovora o Reglyze i usklađenosti sa Zakonom o kibernetičkoj sigurnosti (ZKS, NN 14/2024) u Hrvatskoj. Ovo su pitanja koja najčešće čujemo od ključnih i važnih subjekata, uprava i IT timova koji pripremaju ZSIS samoprocjenu.
Prije svega, jasno rečeno. Reglyze je SaaS platforma s hostingom u Europi, kod Hetznera u Njemačkoj. Podaci ne izlaze izvan Europske unije. Puni tehnički detalji o sigurnosti i hostingu ovdje.
Da. Zakon o kibernetičkoj sigurnosti (ZKS, NN 14/2024) na snazi je od 15. veljače 2024. i predstavlja ranu potpunu hrvatsku transpoziciju direktive NIS2. Provedbena Uredba o kibernetičkoj sigurnosti (NN 135/2024) razrađuje obveze, uključujući ZSIS samoprocjenu. Nadležno tijelo je ZSIS, odnosno NCSC-HR (zsis.hr).
Nema samoregistracije. Nadležna tijela kategoriziraju subjekte po službenoj dužnosti, u dva razreda: ključni subjekt i važni subjekt. Kategorizirani subjekt dobiva službenu obavijest o kategorizaciji (čl. 110. ZKS-a); prvi val obavijesti trebao je biti dostavljen u roku od godine dana, do 15. veljače 2025., a mjere kibernetičke sigurnosti provode se u roku od godine dana od dostave obavijesti. Subjekti se dodatno upisuju u poseban registar koji vodi SOA.
ZSIS samoprocjena je propisana metodologija procjene kibernetičke sigurnosti: 13 mjera, raspoređenih u 99 podskupova i 137 kontrola. Svaka kontrola dobiva dvije ocjene, DK i IK, u rasponu od 1 do 5, a rezultat kontrole je K = (DK + IK) / 2. Važni subjekti provode ZSIS samoprocjenu najmanje svake dvije godine (čl. 35.); ključni subjekti umjesto toga prolaze vanjsku reviziju kibernetičke sigurnosti najmanje svake dvije godine (čl. 34.).
Izjava o sukladnosti (Prilog IV.) je dokument koji važni subjekt izdaje isključivo kad ZSIS samoprocjena pokaže ishod sukladan. Izjava se dostavlja nadležnom tijelu u roku od 8 dana i čuva se 10 godina. Ako ishod nije sukladan, umjesto Izjave slijedi plan daljnjeg postupanja. Ciklus se ponavlja najmanje svake dvije godine, u skladu s učestalošću ZSIS samoprocjene.
ZSIS samoprocjena ocjenjuje sukladnost prema jednoj od tri razine: osnovna, srednja ili napredna. Svaka razina nosi vlastiti dvostruki prag: prag Pi koji mora doseći svaka kontrola i prag T koji mora doseći prosjek svakog podskupa. Tek kad su oba praga zadovoljena na dodijeljenoj razini, ishod samoprocjene je sukladan.
Kazne ovise o kategoriji subjekta. Za ključni subjekt iznose od 10.000 do 10.000.000 EUR ili od 0,5 do 2 % svjetskog godišnjeg prometa, ovisno o tome što je veći iznos (čl. 101.). Za važni subjekt iznose od 5.000 do 7.000.000 EUR ili od 0,2 do 1,4 % svjetskog godišnjeg prometa (čl. 102.). Odgovorne osobe unutar subjekta mogu dodatno biti kažnjene s 1.000 do 6.000 EUR.
Značajan incident prijavljuje se nadležnom CSIRT-u putem platforme PiXi (ncsc.hr/hr/prijava-incidenta). Za tijela javne vlasti i kritične subjekte nadležan je NCSC-HR, za ostale privatne subjekte Nacionalni CERT pri CARNET-u. Vrijede tri roka: rano upozorenje u 24 sata, početna obavijest u 72 sata i završno izvješće u 30 dana.
Reglyze je SaaS platforma koja uz pomoć AI priprema dokumentaciju i vodi ZSIS samoprocjenu kroz svih 13 mjera, 99 podskupova i 137 kontrola. Platforma prati rokove prijave incidenata (24 sata, 72 sata, 30 dana) i podsjeća prije isteka. Hosting je u Europi, kod Hetznera u Njemačkoj. Početak je besplatan.
Ključni ili važni subjekt?
Kako kategorizacija po službenoj dužnosti određuje razred i opseg obveza prema nadležnom tijelu.
13 mjera kibernetičke sigurnosti
Cijela ZSIS metodologija: 13 mjera, 99 podskupova i 137 kontrola, s ocjenama DK i IK.
Prijava incidenta nadležnom CSIRT-u
Tri roka (24 sata, 72 sata, 30 dana) i prijava putem platforme PiXi.
Besplatna dijagnostika (2 min)
U dvije minute provjerite jeste li obuhvaćeni ZKS-om i koja je vaša kategorija, bez podataka o kartici.