Prijava incidenta prema ZKS-u
Kad nastane značajni incident, Zakon o kibernetičkoj sigurnosti (ZKS, NN 14/2024) nalaže ključnim i važnim subjektima strogi slijed prijava nadležnom CSIRT-u. ZKS je hrvatska transpozicija direktive NIS2, na snazi od 15. veljače 2024. Slijed ima tri roka: rano upozorenje u roku od 24 sata, početna obavijest u roku od 72 sata, završno izvješće u roku od 30 dana.
Kanal prijave. Značajni incidenti prijavljuju se elektronički putem platforme PiXi, na ncsc.hr/hr/prijava-incidenta. Nadležni CSIRT ovisi o vrsti obveznika: NCSC-HR za tijela javne vlasti i kritične subjekte, Nacionalni CERT/CARNET za ostale privatne subjekte.
Prva dva roka računaju se od trenutka kad ste saznali za incident. Treći rok slijedi nakon početne obavijesti. Priprema sadržaja unaprijed, prije nego što rokovi počnu teći, skraćuje vrijeme reakcije kad je najpotrebnije.
Prva, kratka obavijest nadležnom CSIRT-u da je u tijeku značajni incident. Uključuje osnovnu naznaku prirode incidenta te postoji li sumnja na nezakonito ili zlonamjerno djelovanje i mogući prekogranični učinak. Detaljna analiza uzroka u ovoj fazi još nije potrebna.
obveza prijave obveznika prema ZKS-u
Nadopunjuje rano upozorenje procjenom ozbiljnosti incidenta i njegova stvarnog utjecaja na uslugu ili poslovanje. U ovoj fazi obveznik može od nadležnog CSIRT-a zatražiti i pomoć u obradi incidenta.
obveza prijave obveznika prema ZKS-u
Detaljan opis incidenta: njegova ozbiljnost i posljedice, vjerojatni uzrok te poduzete i planirane mjere sanacije. Ako je incident u trenutku isteka ovog roka i dalje u tijeku, umjesto završnog izvješća dostavlja se izvješće o napretku, a završno izvješće nakon okončanja obrade.
obveza dostave završnog izvješća prema ZKS-u
Hrvatski sustav prijave dijeli nadležnost prema vrsti obveznika.
Bez obzira na to koji je CSIRT nadležan za vaš slučaj, prijavu uvijek podnosite putem iste platforme PiXi, na ncsc.hr/hr/prijava-incidenta.
Kategoriju, ključni ili važni subjekt, ne birate sami. Nadležna tijela kategoriziraju subjekte po službenoj dužnosti i o tome dostavljaju obavijest (čl. 110. ZKS-a; prvi val obavijesti trebao je biti dostavljen do 15. veljače 2025.). Iz te obavijesti već znate koji vam je CSIRT nadležan.
ZSIS metodologija ocjenjuje 13 mjera, raspoređenih u 99 podskupova i 137 kontrola. Mjera 11, Postupanje s incidentima, ocjenjuje upravo ovo: sposobnost vaše organizacije da otkrije, klasificira i prijavi značajni incident u rokovima iz prethodnog odjeljka.
Svaka kontrola dobiva dvije ocjene od 1 do 5: dokumentiranost (DK) i stvarnu provedbu (IK). Njihov prosjek, K = (DK + IK) / 2, provjerava se prema dvostrukom pragu: Pi po kontroli i T po podskupu, na razini osnovna, srednja ili napredna. Ako mjera 11 ne dosegne prag, ugrožava konačni ishod: sukladan ili nije sukladan.
Za važne subjekte taj ishod odlučuje hoćete li potpisati Izjavu o sukladnosti (Prilog IV.) i dostaviti je ZSIS-u u roku od 8 dana. Za ključne subjekte ista mjera ulazi u opseg vanjske revizije kibernetičke sigurnosti, koja se provodi najmanje svake 2 godine. Sposobnost da stignete s ranim upozorenjem, početnom obavijesti i završnim izvješćem nije samo operativna obveza. Ona je i dio onoga što se boduje.
Reglyze uključuje modul za incidente koji vodi značajni incident od trenutka otkrivanja do zatvaranja. Čim upišete kad ste saznali za incident, modul pokreće sva tri roka, 24 sata, 72 sata i 30 dana, i podsjeća vas prije nego što svaki od njih istekne. AI priprema nacrt sadržaja za rano upozorenje, početnu obavijest i završno izvješće na temelju podataka koje unesete, a svaki unos ostaje povezan s dokazima za mjeru 11 u vašoj ZSIS samoprocjeni.
Reglyze ne prijavljuje incident umjesto vas. Slanje prijave u platformu PiXi na ncsc.hr uvijek je vaša radnja. Zapis o podnesenoj prijavi u sustavu nadležnog CSIRT-a dokazuje da je obveza ispunjena. Reglyze ubrzava pripremu, kontrola nad slanjem ostaje kod vas.
Sadržaj prijedloga oslanja se isključivo na hrvatski okvir: Zakon o kibernetičkoj sigurnosti i ZSIS metodologiju iz provedbene Uredbe (NN 135/2024).
Vrijede tri roka. Rano upozorenje ide u roku od 24 sata od saznanja za incident. Početna obavijest ide u roku od 72 sata. Završno izvješće ide u roku od 30 dana od početne obavijesti. Ako incident u trenutku isteka tog roka i dalje traje, umjesto završnog izvješća dostavlja se izvješće o napretku, a završno izvješće nakon okončanja obrade.
Prijava ide nadležnom CSIRT-u putem platforme PiXi, na ncsc.hr/hr/prijava-incidenta. Za tijela javne vlasti i kritične subjekte nadležan je NCSC-HR. Za ostale privatne subjekte, što je najčešći slučaj kod malih i srednjih poduzeća, nadležan je Nacionalni CERT/CARNET.
Mjera 11, Postupanje s incidentima, jedna je od 13 mjera ZSIS metodologije. Ocjenjuje upravo sposobnost otkrivanja, klasifikacije i pravovremene prijave incidenata. Njezina ocjena, K = (DK + IK) / 2, provjerava se prema pragu za vašu dodijeljenu razinu (osnovna, srednja ili napredna). Ako mjera 11 ne dosegne prag, to ugrožava ishod sukladan i mogućnost potpisivanja Izjave o sukladnosti.
Ne. Reglyze prati sva tri roka, a AI priprema sadržaj ranog upozorenja, početne obavijesti i završnog izvješća. Podnošenje prijave u platformi PiXi na ncsc.hr uvijek je vaša radnja. Zapis o podnesenoj prijavi u sustavu nadležnog CSIRT-a dokazuje da je obveza ispunjena.
Kategoriju ne birate sami. Nadležna tijela kategoriziraju subjekte po službenoj dužnosti i o tome dostavljaju obavijest. Iz te obavijesti već znate jeste li ključni ili važni subjekt i koji vam je CSIRT nadležan.
Ključni ili važni subjekt?
Provjerite u koju kategoriju spadate i kako to određuje vaše obveze prijave.
13 mjera kibernetičke sigurnosti
Cijela ZSIS metodologija, uključujući mjeru 11, Postupanje s incidentima.
Često postavljana pitanja
Osam odgovora o Reglyzeu i usklađenosti sa ZKS-om.
Besplatna dijagnostika (2 min)
Provjerite jeste li ključni ili važni subjekt, bez unosa kartice.