Reglyze

Zakon o kibernetičkoj sigurnosti: Uredba NN 135/2024 i ZSIS katalog

13 mjera kibernetičke sigurnosti: katalog kontrola i ZSIS bodovanje

Zakon o kibernetičkoj sigurnosti (NN 14/2024), hrvatska transpozicija direktive NIS2, na snazi je od 15. veljače 2024. Njegova provedbena Uredba o kibernetičkoj sigurnosti (NN 135/2024) propisuje katalog kontrola koji važni subjekt koristi u ZSIS samoprocjeni: 13 mjera, razrađenih u 99 podskupova i 137 kontrola. Na ovoj stranici objašnjavamo svih 13 mjera, način bodovanja prema ZSIS metodologiji i put od ocjene do Izjave o sukladnosti.

Podloga: Zakon o kibernetičkoj sigurnosti (NN 14/2024) i Uredba o kibernetičkoj sigurnosti (NN 135/2024). Nadležno tijelo je ZSIS / NCSC-HR.

Struktura kataloga: 13 mjera, 99 podskupova, 137 kontrola

Katalog Uredbe nije ravna lista zahtjeva nego hijerarhija. Trinaest mjera pokriva cijelo područje upravljanja kibernetičkim sigurnosnim rizicima, od predanosti uprave do fizičke sigurnosti. Svaka mjera se dijeli na podskupove, ukupno 99, a svaki podskup na jednu ili više kontrola, ukupno 137. Ista kontrola se katkad ponavlja u više podskupova, jer jedna praksa podupire nekoliko različitih zahtjeva.

Svaki podskup i svaka kontrola nose tri praga, jedan za svaku razinu mjera: osnovnu, srednju i naprednu. Subjekt se ocjenjuje na razini koja mu je utvrđena, ne na sve tri odjednom, pa isti podskup može biti obvezan na naprednoj razini, a dobrovoljan na osnovnoj.

Ovaj katalog i njegov bodovni model provodi važni subjekt kroz ZSIS samoprocjenu, najmanje svake dvije godine. Ključni subjekt umjesto toga prolazi vanjsku reviziju kibernetičke sigurnosti, u istom dvogodišnjem ritmu. Ako niste sigurni kojoj kategoriji pripadate, provjerite stranicu o ključnim i važnim subjektima.

13 mjera Uredbe o kibernetičkoj sigurnosti

Svaka mjera niže nosi svoj broj iz Uredbe, izvorni naziv i kratko objašnjenje što znači u praksi.

  • Mjera 1

    Predanost i odgovornost osoba odgovornih za provedbu mjera upravljanja kibernetičkim sigurnosnim rizicima

    Uprava subjekta usvaja strateški akt kibernetičke sigurnosne politike i raspoređuje uloge i odgovornosti za njegovu provedbu. Jednom godišnje provjerava djelotvornost uspostavljenih mjera i dobiva izvještaj o stanju kibernetičke sigurnosti. Bez ove mjere ostalih dvanaest nema stvarnog vlasnika unutar organizacije.

  • Mjera 2

    Upravljanje programskom i sklopovskom imovinom

    Subjekt izrađuje inventar kritične programske i sklopovske imovine: svaka stavka nosi jedinstveni identifikator, lokaciju i odgovornu osobu. Popis se ažurira procesom nabave, ne povremenom revizijom. Prijenosni mediji i oprema koja napušta prostor subjekta dobivaju posebna pravila korištenja.

  • Mjera 3

    Upravljanje rizicima

    Subjekt dokumentira proces procjene rizika: prepoznaje prijetnje i ranjivosti te ocjenjuje njihovu vjerojatnost i posljedice. Rezultate vodi u registru rizika s imenovanim odgovornim osobama, a odgovor na svaki rizik mora biti razmjeran njegovoj razini, uključujući rizike iz odnosa s dobavljačima.

  • Mjera 4

    Sigurnost ljudskih potencijala i digitalnih identiteta

    Svaki korisnik mrežnog i informacijskog sustava dobiva jedinstveni digitalni identitet koji se dodjeljuje i ukida u skladu s promjenama u organizaciji. Pristup kritičnim sustavima štiti se višefaktorskom autentifikacijom, a kandidati se provjeravaju prije zapošljavanja. Redovite simulacije phishing napada dopunjuju osposobljavanje zaposlenika.

  • Mjera 5

    Osnovne prakse kibernetičke higijene

    Ova mjera pokriva svakodnevnu obranu, od politike lozinki i višefaktorske autentifikacije do antivirusne zaštite na radnim stanicama. Zakrpe se primjenjuju čim postanu dostupne, a aktivnost na kritičnim sustavima se bilježi radi otkrivanja sumnjivih događaja.

  • Mjera 6

    Osiguravanje kibernetičke sigurnosti mreže

    Subjekt uspostavlja obavezne mjere zaštite mreže prilagođene vlastitoj arhitekturi, poput vatrozida i VPN pristupa, te odvaja mrežne segmente prema kritičnosti podataka. Mjere revidira jednom godišnje kako bi ostale učinkovite protiv aktualnih prijetnji.

  • Mjera 7

    Kontrola fizičkog i logičkog pristupa mrežnim i informacijskim sustavima

    Prava pristupa se dodjeljuju, mijenjaju i ukidaju prema pisanoj politici, a svaka uloga ima vlasnika koji odobrava dodjelu. Subjekt provjerava korisnička prava najmanje jednom godišnje i posebno nadzire privilegirane i administratorske račune.

  • Mjera 8

    Sigurnost lanca opskrbe

    Subjekt vodi registar izravnih dobavljača i pružatelja usluga te u ugovore unosi sigurnosne zahtjeve, uključujući obvezu dobavljača da odmah prijavi incident koji ga se tiče. Sigurnost ključnih dobavljača provjerava periodično, ne samo prilikom potpisivanja ugovora.

  • Mjera 9

    Sigurnost u razvoju i održavanju mrežnih i informacijskih sustava

    Sigurnosni zahtjevi ulaze u projekt već u fazi specifikacije, a promjene na sustavima prolaze kroz propisanu proceduru upravljanja promjenama. Za subjekte koji sami razvijaju softver mjera postaje obvezujuća i uključuje sigurnosno testiranje prije puštanja u produkciju.

  • Mjera 10

    Kriptografija

    Kritični podaci se štite kriptiranjem u prijenosu i u mirovanju, uz politiku koja određuje kada se kriptografija primjenjuje. Kriptografski ključevi imaju definiran životni ciklus, od generiranja do sigurnog uništavanja.

  • Mjera 11

    Postupanje s incidentima

    Subjekt razvija procedure koje pokrivaju cijeli tijek incidenta, od otkrivanja i obuzdavanja do oporavka, te evidentira svaki slučaj. Značajan incident prijavljuje nadležnom CSIRT-u putem platforme PiXi: rano upozorenje u roku 24 sata, obavijest o incidentu u roku 72 sata, završno izvješće u roku 30 dana. Vježbe sa simuliranim incidentima provode se jednom godišnje kako bi se procedure provjerile prije stvarnog događaja.

    Detalje rokova i platforme PiXi pronađite na stranici prijave incidenta CSIRT-u.

  • Mjera 12

    Kontinuitet poslovanja i upravljanje kibernetičkim krizama

    Subjekt provodi analizu utjecaja na poslovanje i na temelju nje određuje ciljano vrijeme oporavka za ključne sustave. Planovi oporavka od katastrofe i kontinuiteta poslovanja testiraju se najmanje jednom godišnje, a kibernetičke krize velikih razmjera imaju zaseban proces upravljanja.

  • Mjera 13

    Fizička sigurnost

    Politika fizičke sigurnosti određuje razinu zaštite za svaki prostor u kojem se nalaze mrežni i informacijski sustavi. Osnovna zaštita uključuje fizičke prepreke, brave i kontrolu pristupa, a prostori s kritičnom imovinom mogu dobiti i nadzor u stvarnom vremenu.

Bodovanje: DK, IK i dvostruki prag

Svaka kontrola u ZSIS samoprocjeni dobiva dvije ocjene na ljestvici od 1 do 5. DK opisuje koliko je kontrola dokumentirana, IK koliko je stvarno provedena u praksi. Njihov prosjek čini konačnu ocjenu kontrole: K = (DK + IK) / 2.

Dvostruki prag na razini podskupa

  • Prag Pi, po kontroli: svaka primjenjiva kontrola u podskupu mora doseći svoj prag Pi na dodijeljenoj razini.
  • Prag T, po podskupu: prosjek ocjena K svih primjenjivih kontrola u podskupu mora doseći prag T na istoj razini.

Podskup prolazi tek kad su zadovoljena oba uvjeta. Visoka prosječna ocjena ne spašava podskup ako je samo jedna kontrola pala ispod svog praga Pi.

Napomena: pragovi Pi i T rastu s razinom mjera. Ista kontrola na naprednoj razini često traži višu ocjenu nego na osnovnoj, jer se od zrelijeg subjekta očekuje više.

Ishod samoprocjene: sukladan ili nije sukladan

Ishod ovisi o tome koliko podskupova prođe dvostruki prag na dodijeljenoj razini.

Sukladan

Kad svaki podskup koji se ocjenjuje na dodijeljenoj razini prođe dvostruki prag, ishod samoprocjene je sukladan. Subjekt tada sastavlja Izjavu o sukladnosti (Prilog IV Uredbe), dostavlja je nadležnom tijelu u roku 8 dana od izrade i čuva je 10 godina.

Nije sukladan

Ako i jedan podskup ne prođe dvostruki prag, ishod nije sukladan. Izjava se u tom slučaju ne sastavlja; umjesto nje subjekt izrađuje plan daljnjeg postupanja za podskupove koji nisu prošli.

Kako Reglyze pomaže u ZSIS samoprocjeni

Reglyze vodi važni subjekt kroz svih 13 mjera i 99 podskupova, umjesto praznog Excela. Sustav prevodi odgovore u ocjene DK i IK, uspoređuje ih s pragovima Pi i T na dodijeljenoj razini i odmah pokazuje koji podskupovi prolaze, a koji ne.

  • Vođenje kroz svih 13 mjera i 99 podskupova, s pitanjima prilagođenim sektoru i razini mjera subjekta.
  • Automatski izračun ocjene K po kontroli i po podskupu, s odmah vidljivom usporedbom prema pragovima Pi i T.
  • Priprema Izjave o sukladnosti (Prilog IV) čim je ishod sukladan. Potpis i predaju nadležnom tijelu u roku 8 dana obavlja odgovorna osoba subjekta.
  • Praćenje rokova prijave incidenta nadležnom CSIRT-u (24 sata, 72 sata, 30 dana). Prijavu putem platforme PiXi na ncsc.hr predaje subjekt.

Najčešća pitanja

Tko mora provoditi ZSIS samoprocjenu?
Važni subjekt provodi ZSIS samoprocjenu najmanje svake dvije godine i na temelju ishoda sastavlja Izjavu o sukladnosti. Ključni subjekt umjesto samoprocjene prolazi vanjsku reviziju kibernetičke sigurnosti, u istom dvogodišnjem ritmu.
Koliko mjera, podskupova i kontrola sadrži katalog Uredbe?
Katalog Uredbe o kibernetičkoj sigurnosti (NN 135/2024) sadrži 13 mjera, razrađenih u 99 podskupova i 137 kontrola. Ista kontrola se ponekad ponavlja u više podskupova.
Kako se boduje pojedina kontrola u ZSIS samoprocjeni?
Svaka kontrola dobiva dvije ocjene na ljestvici od 1 do 5: DK za dokumentiranost i IK za stvarnu provedbu. Konačna ocjena kontrole K jednaka je njihovom prosjeku, K = (DK + IK) / 2.
Što je dvostruki prag u ZSIS metodologiji?
Svaki podskup nosi dva praga na dodijeljenoj razini: prag Pi koji mora doseći svaka primjenjiva kontrola i prag T koji mora doseći prosjek cijelog podskupa. Podskup prolazi jedino kad su zadovoljena oba praga.
Što se događa ako ishod samoprocjene nije sukladan?
Kad ishod nije sukladan, subjekt ne sastavlja Izjavu o sukladnosti nego plan daljnjeg postupanja za podskupove koji nisu prošli prag. Kad ishod postane sukladan, Izjava se dostavlja nadležnom tijelu u roku 8 dana od izrade i čuva 10 godina.
Predaje li Reglyze Izjavu o sukladnosti ili prijavu incidenta umjesto subjekta?
Ne. Reglyze priprema Izjavu o sukladnosti i prati rok od 8 dana, ali je potpisuje i predaje odgovorna osoba subjekta. Isto vrijedi za prijavu incidenta nadležnom CSIRT-u: Reglyze prati rokove i priprema sadržaj, a prijavu putem platforme PiXi predaje subjekt.

Povezane stranice

Provjerite gdje stojite prema svakoj od 13 mjera

Besplatna dijagnostika pokazuje gdje ste u odnosu na katalog Uredbe i koje mjere zahtijevaju najhitnije djelovanje. Bez kartice.