Reglyze

Za MSP-ove i konzultante: ZKS, NN 14/2024

MSP kibernetička sigurnost u Hrvatskoj

Reglyze je platforma za usklađenost sa Zakonom o kibernetičkoj sigurnosti namijenjena hrvatskim MSP-ovima i konzultantima koji vode usklađenost za portfelj klijenata. Jedna konzola za više klijenata: opseg, ZSIS samoprocjena kroz svih 13 mjera, Izjava o sukladnosti na obrascu iz Priloga IV., evidencija edukacija i prijave incidenata. Sve uz javni cjenik po organizaciji, a MSP način rada je modalitet, ne zaseban plan.

Zakon je na vašoj strani. Čl. 35. st. 2. izričito navodi da važni subjekti za provedbu samoprocjene mogu koristiti i vanjskog davatelja takve usluge. Vaša usluga ima zakonsku osnovu, ne samo poslovnu logiku. Za ključne subjekte vrijedi drugi režim: vanjska revizija najmanje jednom u dvije godine (čl. 34. st. 1.), koju samoprocjena ne zamjenjuje.

Osnova: Zakon o kibernetičkoj sigurnosti (NN 14/2024), na snazi od 15. veljače 2024., i Uredba o kibernetičkoj sigurnosti (NN 135/2024) s 13 mjera i pragovima iz Priloga B. Metodologija: ZSIS smjernice s kalkulatorom iz Priloga A.

Zašto MSP-u treba platforma građena za ZKS

Alati za usklađenost građeni za jednu organizaciju obrađuju jedan subjekt odjednom. ZKS vas stavlja u drugu situaciju: svaki klijent ima svoju kategoriju, svoju obavijest, svoj sat i svoju dokumentaciju, a vi ih vodite sve zajedno.

  • Svaki klijent ima svoj sat, a ne zajednički rok

    U Hrvatskoj nema samoregistracije: nadležna tijela kategoriziraju subjekte po službenoj dužnosti i dostavljaju obavijest, a subjekti se upisuju u poseban registar pri SOA-i. To znači da ne postoji jedan datum koji vrijedi za cijeli vaš portfelj. Rok za provedbu mjera teče za svakog klijenta od njegove vlastite obavijesti, pa praćenje deset ili pedeset zasebnih satova u tablici prestaje biti održivo vrlo brzo.

  • Samoprocjena ima dvostruki prag, ne jednu ocjenu

    Uredba (NN 135/2024) razrađuje 13 mjera kroz razine osnovna, srednja i napredna, s pragovima iz Priloga B. Prema službenim ZSIS smjernicama presuda ima dvoja vrata: prag po pojedinoj kontroli i prag po podskupu. Klijent može zadovoljiti većinu kontrola i svejedno pasti na podskupu. Ručno računanje toga po klijentu, uz kalkulator iz Priloga A, troši sate seniora pri svakom ciklusu.

  • Rezultat je Izjava ili plan, i rok je 8 dana

    Ako je subjekt sukladan, izrađuje se Izjava o sukladnosti na obrascu iz Priloga IV. Ako nije, ne izrađuje se Izjava nego plan daljnjeg postupanja. Oba se dostavljaju nadležnom tijelu u roku od 8 dana, a dokumentacija se čuva deset godina. Na razini portfelja to je desetak različitih dokumenata s desetak zasebnih rokova i obvezom arhiviranja koju netko mora držati na oku.

  • Svaki klijent ima svoj kanal za incidente

    Prijave idu kroz platformu PiXi u rokovima od 24 sata, 72 sata i 30 dana, ali nadležni CSIRT ovisi o klijentu: NCSC-HR za tijela javne vlasti i kritične subjekte, Nacionalni CERT pri CARNET-u za ostale privatne subjekte. Na portfelju to su paralelni satovi s različitim primateljima. Bez zajedničkog pregleda lako je propustiti rok kod jednog klijenta dok rješavate incident kod drugog.

Kako se Reglyze uklapa u rad MSP-a

Reglyze daje konzolu za više klijenata građenu oko toga kako rad na ZKS-u kod MSP-a stvarno izgleda: jedan glavni račun, više tenanta klijenata, zajednički sadržaj edukacija, odvojeni podaci klijenata i jedan pregled cijelog portfelja.

  • Pregled portfelja: dodate organizaciju u dva klika i za svakog klijenta vidite rezultat samoprocjene, zaostale zadatke, otvorene incidente, rizik dobavljača i pokrivenost edukacijama. Svaki tenant je odvojena PostgreSQL baza, pa podaci ne prelaze između klijenata.
  • Samoprocjena kroz svih 13 mjera: isti vođeni postupak po klijentu, s razinama osnovna, srednja i napredna te pragovima iz Priloga B. Presuda se računa na oba praga, po kontroli i po podskupu, pa odmah vidite gdje klijent pada, a ne samo koliko je posto skupio.
  • Izjava i plan, generirani: sukladan rezultat daje Izjavu o sukladnosti na obrascu iz Priloga IV., nesukladan daje plan daljnjeg postupanja. Rok od 8 dana za dostavu nadležnom tijelu vodi se po klijentu, a dokumentacija ostaje arhivirana.
  • Prijave incidenata uz podršku AI-ja: sadržaj prijave i praćenje rokova od 24 sata, 72 sata i 30 dana pripremaju se za svakog klijenta zasebno, uz ispravnog primatelja, NCSC-HR ili Nacionalni CERT pri CARNET-u ovisno o klijentu. Samu prijavu kroz platformu PiXi podnosi subjekt. Reglyze nikada ne šalje prijavu umjesto klijenta.

Što obuhvaća MSP način rada

  • Središnja konzola koja spaja usklađenost samog MSP-a i cijelog portfelja klijenata.
  • Samoprocjena po klijentu s jasnom presudom i popisom prioriteta kroz 13 mjera.
  • Odvojeni tenanti klijenata, vaš brend u izvještajima i jedan pregled cijelog portfelja.

Javni cjenik: jedna krivulja po organizaciji

Nema planova za usporedbu. Postoji jedna varijabla: broj organizacija. Cijena po organizaciji godišnje pada u stepenicama kako raste broj organizacija u portfelju, a svaka se organizacija obračunava prema razredu u kojem se nalazi. MSP način rada je modalitet prikaza koji objedinjuje cijeli portfelj na istoj krivulji: što više organizacija vodite, to je niža cijena za svaku od njih. Obračun je godišnji, prema broju prijavljenih organizacija.

Cjenik po organizaciji godišnje

  • 1 do 5 organizacija€490/org/god.
  • 6 do 10 organizacija€410/org/god.
  • 11 do 15 organizacija€350/org/god.
  • 16 do 25 organizacija€290/org/god.
  • 26 do 50 organizacija€240/org/god.
  • 51 i više organizacija€190/org/god. (minimum)

Isti puni skup alata za svaku plaćenu organizaciju:

  • Središnja konzola za više klijenata (MSP način rada)
  • Vaš brend u izvještajima koje predajete klijentima
  • Opseg i analiza odstupanja zasebno za svakog klijenta
  • Edukacija o kibernetičkoj sigurnosti uključena
  • Prioritetna podrška

Samoposluživanje pokriva do 50 organizacija; iznad toga prelazi se na Enterprise ponudu (dodijeljeni voditelj, integracije po potrebi, on-premise opcije).

Iznad 50 organizacija prelazi se na Enterprise ponudu (dodijeljeni voditelj, integracije po potrebi, on-premise opcije). Ako gradite praksu usklađenosti u upravljanom modelu, pogledajte partnerski program za MSP.

Često postavljana pitanja

Smije li vanjski davatelj usluge provesti samoprocjenu umjesto klijenta?
Da, za važne subjekte. Čl. 35. st. 2. izričito navodi da važni subjekti za provedbu samoprocjene mogu koristiti i vanjskog davatelja takve usluge. Vi vodite postupak i validirate, klijent ostaje odgovoran za sadržaj i potpisuje. Za ključne subjekte vrijedi drugi režim: vanjska revizija najmanje jednom u dvije godine (čl. 34. st. 1.), koju samoprocjena ne zamjenjuje.
Koliko Reglyze košta za hrvatski MSP?
Nema zasebnog MSP plana. Postoji jedna progresivna krivulja po organizaciji. Cijena po organizaciji godišnje pada u stepenicama kako raste broj organizacija u portfelju, a MSP način rada je modalitet koji objedinjuje cijeli portfelj na istoj krivulji. Obračun je godišnji. Cjenik je javan: bez upita za ponudu i bez skrivenih pregovora. Samoposluživanje pokriva do 50 organizacija.
Mogu li izvještaji nositi moj brend, a ne Reglyzeov?
Da. MSP način rada omogućuje da izvještaji i nadzorne ploče idu pod vašim brendom, pa klijentu predstavljate platformu s vlastitim identitetom. Podaci svakog klijenta ostaju odvojeni u zasebnom PostgreSQL tenantu, tako da nema propuštanja podataka između klijenata.
Predaje li Reglyze Izjavu o sukladnosti umjesto klijenta?
Ne. Reglyze provodi samoprocjenu, izračunava presudu prema pragovima iz Uredbe i generira Izjavu na obrascu iz Priloga IV., odnosno plan daljnjeg postupanja ako subjekt nije sukladan. Dostavu nadležnom tijelu u roku od 8 dana obavlja sam subjekt. Izjava ide nadležnom tijelu, a ne CSIRT-u: PiXi i CSIRT-ovi služe za prijavu incidenata, ne za dokumentaciju o sukladnosti.
Podliježe li sam MSP Zakonu o kibernetičkoj sigurnosti?
Davatelji upravljanih usluga i upravljanih sigurnosnih usluga nalaze se među sektorima koje Uredba obuhvaća, pa srednji ili veći MSP može i sam biti kategoriziran kao subjekt, a ne samo izvođač kod klijenata. Kategorizaciju provodi nadležno tijelo po službenoj dužnosti i o njoj dostavlja obavijest. Konzola pokriva istodobno usklađenost samog MSP-a i cijelog portfelja.

Povezani sadržaj

Isprobajte Reglyze na jednom klijentu u 2 minute

Besplatnom dijagnostikom utvrdite položaj jednog klijenta iz portfelja (ključni subjekt ili važni subjekt, ili izvan obuhvata), zatim otvorite MSP račun i dodajte ostale organizacije. Bez kartice.

Već vodite portfelj klijenata? Pogledajte partnerski program za MSP i vodite usklađenost sa ZKS-om iz jedne konzole.