Što uređuje Uredba
Zakon o kibernetičkoj sigurnosti obveze postavlja načelno, a Uredba propisuje kako se one provode. Uredba je stupila na snagu 30. studenoga 2024., osmoga dana od objave u Narodnim novinama, osim članaka 104. i 105., koji su stupili na snagu 1. siječnja 2026. (čl. 116.).
| Dio Uredbe | Sadržaj |
|---|---|
| Dio drugi | mjerila za kategorizaciju subjekata, uključujući javni sektor i obrazovanje |
| Dio treći | popisi ključnih i važnih subjekata i poseban registar subjekata |
| Dio četvrti | nacionalna procjena rizika, razine i mjere upravljanja rizicima, samoprocjena |
| Dio peti | obavještavanje o značajnim incidentima i kibernetičkim prijetnjama |
| Dio šesti | dobrovoljno obavještavanje subjekata koji nisu ključni ni važni |
| Dio sedmi | nacionalni sustav za otkrivanje kibernetičkih prijetnji |
| Prilozi I. do IV. | popis sektora, mjere upravljanja rizicima, posebne mjere fizičke sigurnosti za digitalnu infrastrukturu i obrazac izjave o sukladnosti |
Na koga se odnosi
Uredba se primjenjuje na subjekte koje je nadležno tijelo kategoriziralo kao ključne ili važne subjekte. Nadležno tijelo o kategorizaciji i obvezama obavještava subjekt u roku od 30 dana od provedene kategorizacije (čl. 19. Zakona). Državna tijela i pravne osobe s javnim ovlastima razvrstavaju se u ključne subjekte ako ispunjavaju kriterije iz čl. 14. Uredbe, a jedinice lokalne i područne (regionalne) samouprave i subjekti iz sustava obrazovanja u važne subjekte ako ispunjavaju barem jedan kriterij iz čl. 15. odnosno 16.
Subjekti koji nisu kategorizirani mogu se uključiti u dobrovoljne mehanizme kibernetičke zaštite i tada provode najmanje osnovnu razinu mjera (čl. 47.). Za mikro i male subjekte i one koji tek uvode mjere nadležno središnje državno tijelo objavljuje preporuke dobre prakse (čl. 50.).
Tri razine mjera
Pri kategorizaciji se za svaki subjekt utvrđuje niska, srednja ili visoka razina kibernetičkih sigurnosnih rizika, a iz nje proizlazi razina mjera koju subjekt mora provesti (čl. 38.). Ako subjekt djeluje u više sektora, procjena se provodi za glavnu djelatnost, a ako se ona ne može utvrditi, primjenjuje se najviša utvrđena razina (čl. 39.).
| Razina mjera | Razina rizika | Cilj (čl. 42.) | Obvezni podskupovi (A) | Obvezni pod uvjetom (B) | Dobrovoljni (C) |
|---|---|---|---|---|---|
| osnovna | niska | zaštita od većine napada koje provode napadači prosječnih vještina | 59 | 2 | 38 |
| srednja | srednja | dodatno smanjenje rizika od ciljanih napada napadača prosječnih vještina | 80 | 5 | 14 |
| napredna | visoka | smanjenje rizika od naprednih napada napadača s naprednim vještinama i resursima | 87 | 5 | 7 |
Podskupovi označeni s A obvezni su, oni označeni s B obvezni su ako je ispunjen uvjet naveden u opisu mjere, a podskupovi označeni s C dobrovoljni su (čl. 44.). Dobrovoljne mjere preporučuju se ovisno o rezultatima procjene rizika koju subjekt sam provodi, a njihova se provedba dodatno vrednuje u samoprocjeni i reviziji (čl. 45.).
13 mjera iz Priloga II.
| Mjera | Podskupova |
|---|---|
| 1. Predanost i odgovornost osoba odgovornih za provedbu mjera upravljanja kibernetičkim sigurnosnim rizicima | 11 |
| 2. Upravljanje programskom i sklopovskom imovinom | 9 |
| 3. Upravljanje rizicima | 8 |
| 4. Sigurnost ljudskih potencijala i digitalnih identiteta | 12 |
| 5. Osnovne prakse kibernetičke higijene | 11 |
| 6. Osiguravanje kibernetičke sigurnosti mreže | 5 |
| 7. Kontrola fizičkog i logičkog pristupa mrežnim i informacijskim sustavima | 6 |
| 8. Sigurnost lanca opskrbe | 6 |
| 9. Sigurnost u razvoju i održavanju mrežnih i informacijskih sustava | 6 |
| 10. Kriptografija | 6 |
| 11. Postupanje s incidentima | 6 |
| 12. Kontinuitet poslovanja i upravljanje kibernetičkim krizama | 8 |
| 13. Fizička sigurnost | 5 |
Za svaku mjeru Prilog II. navodi cilj, podskupove mjera, primjenjivost na IT i OT sustave i raspodjelu podskupova po razinama (čl. 43.). Subjekti iz sektora digitalne infrastrukture uz to provode prošireni skup mjera fizičke sigurnosti iz Priloga III. (čl. 46.).
Primjeri podskupova i njihove obveznosti:
| Podskup | Što traži | Osnovna | Srednja | Napredna |
|---|---|---|---|---|
| 4.4. | obuka svih zaposlenika o osnovnim praksama kibernetičke higijene, odmah nakon zapošljavanja i redovito tijekom radnog odnosa | A | A | A |
| 4.10. | sustavi za udaljeno digitalno učenje za kontinuiranu obuku i certifikacije osoblja u području kibernetičke sigurnosti | C | A | A |
| 4.11. | testiranje socijalnog inženjeringa, simulacije phishinga i programi podizanja svijesti | C | C | C |
| 5.3. | višefaktorska autentifikacija za kritične sustave izložene napadima, primjerice za VPN i alate dostupne putem interneta | A | A | A |
Rokovi i ažuriranje mjera
- provedba: u roku od godine dana od dana dostave obavijesti o kategorizaciji (čl. 26. st. 5. Zakona)
- promjena kategorije: rok određuje nadležno tijelo, najmanje 60 dana i najviše šest mjeseci od primitka obavijesti (čl. 26. st. 6. i 7. Zakona)
- ažuriranje: najmanje jednom godišnje u okviru redovite procjene rizika te nakon značajnog incidenta, značajnih promjena sustava, većih organizacijskih promjena, utvrđene neusklađenosti ili izrečenih korektivnih mjera (čl. 48. Uredbe)
Za provedbu mjera odgovorni su članovi upravljačkih tijela, odnosno čelnici državnih tijela i izvršna tijela jedinica lokalne i područne (regionalne) samouprave. Oni odobravaju mjere, nadziru njihovu provedbu, pohađaju osposobljavanje i omogućuju ga zaposlenicima (čl. 29. Zakona).
Samoprocjena i revizija
| Ključni subjekti | Važni subjekti | |
|---|---|---|
| provjera usklađenosti | revizija kibernetičke sigurnosti najmanje jednom u dvije godine (čl. 34. Zakona) | samoprocjena najmanje jednom u dvije godine (čl. 35. Zakona, čl. 51. Uredbe); revizija samo na zahtjev nadležnog tijela |
| tko je provodi | revizor kibernetičke sigurnosti s odgovarajućim certifikatom, a za tijela državne uprave i druga državna tijela središnje državno tijelo za obavljanje poslova u tehničkim područjima informacijske sigurnosti (čl. 32. Zakona) | vlastiti zaposlenici ili vanjski suradnici sa znanjem o normama informacijske sigurnosti, potvrdom o edukaciji za internog revizora i najmanje godinu dana iskustva u internoj reviziji (čl. 56. Uredbe) |
| rezultat | izvješće o reviziji, koje se nadležnom tijelu dostavlja najkasnije osam dana od primitka | izjava o sukladnosti na obrascu iz Priloga IV. ili plan daljnjeg postupanja, koji se nadležnom tijelu dostavljaju najkasnije osam dana od sastavljanja |
Samoprocjena utvrđuje koliko su dokumentirane i provedene mjere usklađene sa zahtjevima za razinu koju subjekt mora provoditi, a boduje se prema smjernicama i kalkulatoru koje objavljuje nadležno središnje državno tijelo (čl. 52. do 57. Uredbe). Izjavu o sukladnosti i dokumentaciju iz samoprocjene treba čuvati deset godina (čl. 55. st. 5.). Ključni subjekti mogu provesti samoprocjenu kao pripremu za reviziju (čl. 51. st. 3.).
Obavještavanje o incidentima
O svakom značajnom incidentu ključni i važni subjekti obavještavaju nadležni CSIRT: ranim upozorenjem najkasnije u roku od 24 sata od saznanja (čl. 66.), početnom obaviješću najkasnije u roku od 72 sata (čl. 67.) i završnim izvješćem najkasnije 30 dana od početne obavijesti (čl. 70.). Ako je incident još u tijeku, umjesto završnog izvješća dostavlja se izvješće o napretku (čl. 71.).
Kako se uskladiti
- Provjerite obavijest o kategorizaciji i razinu mjera koja je za vas utvrđena.
- Usporedite postojeće mjere s Prilogom II. za svoju razinu i popišite nedostatke, najprije za podskupove označene s A i B.
- Iskoristite postojeće sustave: središnje državno tijelo objavljuje korelacijski pregled mjera s europskim i međunarodnim normama (čl. 49.), pa tvrtke s ISO/IEC 27001 dio posla rješavaju usporedbom.
- Napravite plan provedbe s rokom od godine dana od obavijesti i odgovornim osobama.
- Uključite upravu: mjere mora odobriti uprava, a njezini članovi moraju pohađati osposobljavanje.
- Educirajte zaposlenike odmah nakon zapošljavanja i redovito nakon toga, a na srednjoj i naprednoj razini koristite i sustav za udaljeno digitalno učenje.
- Pripremite se za samoprocjenu ili reviziju i dokumentirajte svaku provedenu mjeru.
Često postavljana pitanja
Što je Uredba o kibernetičkoj sigurnosti?
To je provedbeni propis Vlade (NN 135/24) koji razrađuje Zakon o kibernetičkoj sigurnosti: mjerila za kategorizaciju subjekata, mjere upravljanja kibernetičkim sigurnosnim rizicima, samoprocjenu i obavještavanje o incidentima.
Koliko mjera propisuje Uredba?
Prilog II. sadrži 13 mjera s ukupno 99 podskupova. Koliko ih je obvezno, ovisi o razini: na osnovnoj razini 59, na srednjoj 80, a na naprednoj 87, uz podskupove koji su obvezni pod uvjetom.
Kako znam koju razinu mjera moram provesti?
Razinu utvrđuje nadležno tijelo na temelju nacionalne procjene rizika pri kategorizaciji, a navodi je u obavijesti o kategorizaciji koju subjekt dobiva.
Koji je rok za provedbu mjera?
Godina dana od dana dostave obavijesti o kategorizaciji. Nakon toga mjere treba ažurirati najmanje jednom godišnje.
Mora li važni subjekt provesti reviziju?
U pravilu ne. Važni subjekti provode samoprocjenu najmanje jednom u dvije godine, a reviziju samo kad je zatraži nadležno tijelo.
Je li edukacija zaposlenika obvezna?
Jest. Redovita obuka svih zaposlenika o kibernetičkoj higijeni obvezna je na svim razinama, uprava mora pohađati osposobljavanje, a na srednjoj i naprednoj razini obvezno je i korištenje sustava za udaljeno digitalno učenje.
Je li certifikat ISO/IEC 27001 dovoljan za usklađenost s Uredbom?
Nije automatski. Velik dio mjera se preklapa, ali usklađenost se provjerava prema Prilogu II. u samoprocjeni ili reviziji. Korelacijski pregled mjera s normama olakšava usporedbu.
Povezani članci
- NIS2 direktiva u Hrvatskoj: što tvrtke moraju znati
- Kibernetička sigurnost za zaposlenike: pravila i obveze tvrtki
- ISO 27001: što je i kako se certificirati
Izvori
- Uredba o kibernetičkoj sigurnosti (NN 135/2024)
- Zakon o kibernetičkoj sigurnosti (NN 14/2024)
- Direktiva (EU) 2022/2555 (NIS2), EUR-Lex
Ovaj je članak informativne naravi i nije pravni savjet. Razinu mjera i rokove za svoju tvrtku provjerite u obavijesti o kategorizaciji koju ste dobili od nadležnog tijela.