NIS2 u Hrvatskoj
- Zakon o kibernetičkoj sigurnosti (NN 14/24) na snazi je od 15. veljače 2024. i zamijenio je raniji Zakon o kibernetičkoj sigurnosti operatora ključnih usluga i davatelja digitalnih usluga.
- Uredba o kibernetičkoj sigurnosti (NN 135/24) razrađuje mjere, razine mjera i rokove prijave incidenata.
- Obveznici su ključni i važni subjekti iz 19 sektora: 18 sektora iz direktive i sustav obrazovanja, koji je dodala Hrvatska.
- Subjekte kategoriziraju nadležna tijela, a od primitka obavijesti subjekt ima godinu dana za provedbu propisanih mjera.
- Središnje državno tijelo za kibernetičku sigurnost je Sigurnosno-obavještajna agencija.
Glavne obveze
| Obveza | Ukratko |
|---|---|
| Mjere upravljanja rizicima | upravljanje rizicima, postupanje s incidentima, kontinuitet poslovanja, sigurnost lanca opskrbe, kontrola pristupa, kriptografija, višefaktorska autentifikacija, osposobljavanje |
| Prijava značajnih incidenata | nadležnom CSIRT-u: rano upozorenje u roku od 24 sata, početna obavijest u roku od 72 sata, završno izvješće u roku od 30 dana od početne obavijesti |
| Odgovornost uprave | uprava odobrava mjere, nadzire provedbu, pohađa osposobljavanje i omogućuje ga zaposlenicima |
| Provjera usklađenosti | revizija kibernetičke sigurnosti za ključne subjekte, samoprocjena za važne, najmanje jednom u dvije godine |
Kazne
Ključnom subjektu prijeti kazna do 10 milijuna eura ili 2 % ukupnog godišnjeg prometa, a važnom do 7 milijuna eura ili 1,4 % prometa, ovisno o tome koji je iznos veći. Kažnjavaju se i članovi upravljačkog tijela.
Primjer
Proizvođač prehrambenih proizvoda sa 120 zaposlenih iz sektora proizvodnje, prerade i distribucije hrane (Prilog II.) srednji je subjekt i razvrstan je kao važni subjekt. Od primitka obavijesti o kategorizaciji ima godinu dana za provedbu mjera, a najmanje jednom u dvije godine mora provesti samoprocjenu kibernetičke sigurnosti.