Smjernice za provedbu samoprocjene kibernetičke sigurnosti

Uvod

Zavod za sigurnost informacijskih sustava (u daljnjem tekstu: ZSIS), u skladu s člankom 57. Uredbe o kibernetičkoj sigurnosti („Narodne novine“, broj: 135/2024., u daljnjem tekstu: Uredba) donosi ove Smjernice za provedbu samoprocjene kibernetičke sigurnosti (u daljnjem tekstu: Smjernice).

Ključni i važni subjekti dužni su provjeravati usklađenost uspostavljenih mjera upravljanja kibernetičkim sigurnosnim rizicima s mjerama upravljanja kibernetičkim sigurnosnim rizicima propisanim Zakonom o kibernetičkoj sigurnosti („Narodne novine“, broj: 14/2024., u daljnjem tekstu: Zakon) i Uredbom. Provjera usklađenosti uspostavljenih mjera upravljanja kibernetičkim sigurnosnim rizicima s propisanim mjerama upravljanja kibernetičkim sigurnosnim rizicima obavlja se u postupku revizije kibernetičke sigurnosti ključnih i važnih subjekata te u postupku samoprocjene kibernetičke sigurnosti (u daljnjem tekstu: samoprocjena) važnih subjekata.

Cilj provođenja samoprocjene je utvrditi:

- stupanj usklađenosti uspostavljenih mjera upravljanja kibernetičkim sigurnosnim rizicima s mjerama upravljanja kibernetičkim sigurnosnim rizicima iz Priloga II. Uredbe utvrđenim za razinu mjera upravljanja kibernetičkim sigurnosnim rizicima iz članka 38. Uredbe koju je subjekt dužan provoditi i

- trend podizanja razine zrelosti kibernetičke sigurnosti subjekta.

Smjernice definiraju postupak i sistematiziraju podatke potrebne za utvrđivanje stupnja usklađenosti uspostavljenih mjera temeljenog na procjeni stupnja usklađenosti dokumentiranih i implementiranih mjera upravljanja kibernetičkim sigurnosnim rizicima u subjektu te trenda podizanja razine zrelosti kibernetičke sigurnosti subjekta.

Sastavne dijelove Smjernica čine:

- Prilog A - Kalkulator za samoprocjenu kibernetičke sigurnosti: služi kao alat za provedbu samoprocjene koji uključuje bodovanje i izračun stupnja usklađenosti uspostavljenih mjera upravljanja kibernetičkim sigurnosnim rizicima i trenda podizanja razine zrelosti kibernetičke sigurnosti subjekta.

- Prilog B - Okvir za evaluaciju mjera upravljanja kibernetičkim sigurnosnim rizicima: predstavlja upute za evaluacije postupaka, kontrola i mjera koje subjekt provodi radi identifikacije, ublažavanja i upravljanja potencijalnim kibernetičkim prijetnjama i ranjivostima. U dokumentu je pojašnjen sustav ocjenjivanja podskupova mjera i definirani su bodovni pragovi ocjena prema razini mjere koju subjekt prema provedenoj nacionalnoj procjeni rizika mora primjenjivati.

- Prilog C - Katalog kontrola: sadrži kontrole za mjere i podskupove mjera upravljanja kibernetičkim sigurnosnim rizicima propisanih Uredbom , podjelu kontrola po kategorijama te postupak ocjenjivanja kontrola.

Smjernice s prilozima objavljuju se na mrežnim stranicama ZSIS-a te su javno dostupni.

Obveznici primjene provedbe samoprocjene, sukladno Zakonu i Uredbi, prilikom provedbe samoprocjene dužni su se pridržavati pravila sadržanih u ovim Smjernicama.

U svrhu prilagodbe važećim izvorima prava te postizanja visoke razine kibernetičke sigurnosti, ZSIS će redovito, a najmanje jednom u dvije godine provoditi reviziju Smjernica te, prema potrebi, izvršiti nužne izmjene i dopune. Sve izmjene i dopune Smjernica stupaju na snagu prvoga dana nakon njihove službene objave na mrežnim stranicama ZSIS-a ( www.zsis.hr ), osim u iznimnim slučajevima kada je zbog opsega izmjena Smjernica i njihove svrhe potrebno omogućiti duži rok za implementaciju.

Provedba samoprocjene kibernetičke sigurnosti

Samoprocjenom se određuje stupanj usklađenosti uspostavljenih mjera upravljanja kibernetičkim sigurnosnim rizicima s mjerama upravljanja kibernetičkim sigurnosnim rizicima (u daljnjem tekstu: mjera)  koji se nalaze u Prilogu II. Uredbe, kao i trend podizanja razine zrelosti kibernetičke sigurnosti subjekta.

Važni subjekti i subjekti iz članka 47. Uredbe samoprocjenu provode najmanje jednom u dvije godine.

Ključni subjekti mogu provoditi samoprocjenu kao pripremu za provedbu revizije kibernetičke sigurnosti ili stručni nadzor nad provedbom zahtjeva kibernetičke sigurnosti iz članka 75. stavka 1. Zakona.

Stupanj usklađenosti uspostavljenih mjera temelji se na procjeni stupnja usklađenosti dokumentiranih i implementiranih mjera upravljanja kibernetičkim sigurnosnim rizicima u subjektu, a utvrđuje su temeljem bodovanja podskupova mjera upravljanja kibernetičkim sigurnosnim rizicima iz članka 44. stavka 1. i 2. Uredbe, koje subjekt provodi:

- kao obvezujuće (označene oznakom »A« u Prilogu II. Uredbe) ili

- obvezujuće pod uvjetima (označene oznakom »B« u Prilogu II. Uredbe).

Trend podizanja razine zrelosti kibernetičke sigurnosti utvrđuje se dodatnim bodovanjem podskupova mjera upravljanja kibernetičkim sigurnosnim rizicima iz članka 44. stavka 1. i 2. Uredbe, koje subjekt provodi na temelju mjere 3. „Upravljanje rizicima“ iz Priloga II. Uredbe, u smislu podizanja razine provedbe pojedinih:

- obvezujućih mjera (označene oznakom »A« u Prilogu II. Uredbe)

- obvezujućih pod uvjetima (označene oznakom »B« u Prilogu II. Uredbe),

kao i u smislu provedbe dobrovoljnih mjera iz članka 44. stavka 3. Uredbe (označene oznakom »C« u Prilogu II. Uredbe).

U svrhu provođenja postupka bodovanja uvodi se Kalkulator za samoprocjenu kibernetičke sigurnosti (u daljnjem tekstu: Kalkulator).

Pomoću Kalkulatora izračunava se konačni rezultat samoprocjene, odnosno ukupni bodovi stupnja usklađenosti mjera i ukupni bodovi trenda podizanja razine zrelosti kibernetičke sigurnosti subjekta. Ispunjeni Kalkulator pohranjuje se na infrastrukturi koja je pod kontrolom subjekta koji vrši samoprocjenu. Pristup osjetljivim podacima iz Kalkulatora trebao bi biti dopušten samo ovlaštenim osobama. Razmjena podataka iz Kalkulatora treba biti kontrolirana i autorizirana, osiguravajući pristup samo nadležnima za proces samoprocjene i nadzora.

Za provedbu samoprocjene subjekt je prema članku 56. Uredbe dužan odrediti svoje zaposlenike ili vanjske suradnike koji posjeduju najmanje:

- relevantna znanja iz implementacije međunarodnih normi iz područja informacijske ili kibernetičke sigurnosti,

- potvrdu o završenoj vanjskoj ili internoj edukaciji za internog revizora po nekoj od relevantnih međunarodnih normi iz područja informacijske ili kibernetičke sigurnosti i

- jednu godinu radnog iskustva u okviru provođenja sličnih vrsta interne revizije u području mrežnih i informacijskih sustava odnosno kibernetičke sigurnosti.

Provođenjem samoprocjene subjekti stječu uvid u stanje svoje kibernetičke sigurnosti, omogućuju proaktivno upravljanje rizicima te unapređuju sposobnost obrane od potencijalnih kibernetičkih prijetnji.

Izgled kalkulatora samoprocjene kibernetičke sigurnosti

Kalkulator kao alat za provedbu samoprocjene sadrži tablični prikaz mjera, podskupova mjera upravljanja kibernetičkim sigurnosnim rizicima (u daljnjem tekstu: podskupovi mjera), naziva kontrola mjera i polja za unos ocjena, te polja koja se automatizmom izračunavaju.

Kalkulator se sastoji od sljedećih radnih listova: uvoda, radnih listova za unos ocjena i izračun konačnog rezultata samoprocjene po pripadajućim razinama mjera upravljanja kibernetičkim sigurnosnim rizicima i izjave o sukladnosti.

Slika 1 Prikaz trake kartica radnih listova

Na radnom listu „Uvod“ nalaze se kratke značajke Kalkulatora, padajući izbornik s razinom mjera, te korisne poveznice. Odabirom pojedine razine mjera na popisu, Kalkulator automatski prelazi na radni list odabrane razine u kojem se boduju zahtijevane kontrole.

Slika 2 Radni list „Uvod“

Svaka razina mjera ima svoj radni list u kalkulatoru naziva: osnovna, srednja i napredna. Svaki radni list koji se odnosi na pojedinu razinu mjere obuhvaća mjere koje sadrže obvezne, obvezne pod uvjetom i dobrovoljne podskupove mjera s pripadajućim kontrolama za ocjenjivanje. Ostali elementi koji se nalaze na navedenim radnim listovima se odnose na ocjene; ocjena dokumentacije i implementacije kontrola, te ocjena pojedine kontrole, ocjene dokumentacije i implementacije podskupa mjere, ukupna ocjena podskupa mjere i ocjena mjere. Uz ocjene, u stupcu „KOMENTAR“, osobi koja provodi samoprocjenu dana je mogućnost bilježenja zapažanja tijekom postupka samoprocjene.

Slika 3 Prikaz dijela radnog lista „Osnovna“

Na radnom listu „Sažetak“ prikazana je razina mjere koja je odabrana u padajućem izborniku na radnom listu uvod. Ispod padajućeg izbornika nalazi se tablica sa svim ocjenama mjera po razinama mjere te ukupni bodovi stupnja usklađenosti mjera upravljanja kibernetičkim sigurnosnim rizicima. Pored tablice s ukupnom ocjenom je smješten radar graf koji vizualno prikazuje ostvarene ocjene subjekta po svim mjerama.

Slika 4 Radni list „Sažetak“

Radni list „Trend“ sadrži tablicu s ukupnim zbrojem bodova trenda podizanja razine zrelosti kibernetičke sigurnosti subjekta. Radni list sadrži i tablicu u kojoj su prikazane mjere koje su ocjenjivane iz više razine mjera s njihovim postignutim bodovima i njihov zbroj bodova, kao i tri tablice koje se odnose na dobrovoljne podskupove mjera. Svaka razina mjere koja je utvrđena nacionalnom procjenom rizika ima zasebnu tablicu u kojoj su navedene mjere s pripadajućim dobrovoljnim podskupovima mjera i njihovim ocjenama koje je subjekt odlučio primjeniti.

Slika 5 Radni list „Trend“

Na radnom listu „Izjava“ nalazi se izjava o sukladnosti koja je ujedno Prilog IV. Uredbe. Izjavu o sukladnosti važni subjekti ispunjavaju nakon provedene samoprocjene, ako rezultati pokazuju da su uspostavljene mjere upravljanja kibernetičkim sigurnosnim rizicima u skladu s mjerama upravljanja kibernetičkim sigurnosnim rizicima propisanim Zakonom i Uredbom.

Slika 6 Radni list Izjava o sukladnosti

Izračun stupnja usklađenosti mjera upravljanja kibernetičkim sigurnosnim rizicima

Stupanj usklađenosti uspostavljenih dokumentiranih i implementiranih mjera propisanih Uredbom utvrđuje se temeljem bodovanja podskupova mjera koje subjekt provodi kao obvezujuće u okviru jedne od tri razine mjera (osnovna, srednja, napredna) kojoj subjekt pripada.

Na radnom listu „Uvod“, potrebno je na padajućem izborniku odabrati razinu mjere koja je dodijeljena subjektu, te nakon odabira otvoriti radni list odabrane razine mjere (osnovna, srednja, napredna). Ako je subjekt lokalnom procjenom rizika utvrdio višu razinu mjera od one koja je utvrđena nacionalnom procjenom rizika (za jednu ili više mjera), tada se pojedine mjere, te shodno tome podskupovi mjera, ocjenjuju u radnom listu za razinu koju je subjekt utvrdio.

Podskupove mjera koje je subjekt dužan provoditi u okviru određene razine mjere kao obvezujuće pod uvjetima opisanim u razradi mjere iz članka 43. Uredbe, uključuje u izračun na način da u padajućem izborniku stupca „podskup mjere se ocjenjuje“ odabere opciju DA .

Slika 7 Prikaz podskupa mjere koji je obvezan uz uvjet

Sukladno uvjetima koji su sadržani u prilogu Katalog kontrola (u daljnjem tekstu: Prilog C), ocjenjuje se usklađenost dokumentiranih i implementiranih kontrola i pritom se upisuju ocjene u stupce ocjena dokumentacije kontrole i ocjena implementacije kontrole. Vrijednosti u ostalim stupcima automatski izračunava Kalkulator.

Izračun se vrši temeljem elemenata koji su prikazani u tablici na radnom listu („Osnovna“, „Srednja“ ili „Napredna“) kako slijedi.

Ocjena kontrole (K) određuje se kao aritmetička sredina ocjene dokumentacije kontrole (DK) i ocjene implementacije kontrole (IK).

Ocjena dokumentacije pojedinog podskupa mjere (DP) određuje se kao aritmetička sredina ocjena dokumentacije pojedinačnih kontrola tog podskupa.

Ocjena implementacije pojedinog podskupa mjere (IP) određuje se kao aritmetička sredina ocjena implementacije pojedinačnih kontrola tog podskupa.

Ocjena pojedinog podskupa mjere (P) određuje se kao aritmetička sredina ocjene dokumentacije podskupa mjere (DP) i ocjene implementacije podskupa mjere (IP).

Ocjena pojedine mjere (M) određuje se kao aritmetička sredina ocjena podskupova iz te mjere (P).

Bodovni pragovi ocjena koji se moraju zadovoljiti definirani su u Prilogu B - Okvir za evaluaciju mjera upravljanja kibernetičkim sigurnosnim rizicima (u daljnjem tekstu: Prilog B). Ako je subjekt ocjenjivao mjere po višoj razini koja je utvrđena lokalnom procjenom rizika, onda se moraju zadovoljiti bodovni pragovi ocjena koji su definirani tom razinom mjere.

U slučaju da je ocjena kontrole zadovoljila definirani bodovni prag, pozadinska boja polja s ocjenom u kalkulatoru će se promijeniti u zelenu boju. Ako ocjena nije ostvarila zadani bodovni prag, pozadinska boja polja s ocjenom će se promijeniti u crvenu boju, što ukazuje da kontrola nije zadovoljena.

Model ocjenjivanja podskupova mjera bazira se na ispunjavanju uvjeta pojedinačnih kontrola te uvjeta ukupne ocjene.

Na radnom listu naziva „Sažetak“ nalazi se izbornik u kojem subjekt odabire razinu mjere koju je ispunio sukladno nacionalnoj procjeni rizika. Preostale elemente automatski unosi Kalkulator na temelju unosa potrebnih vrijednosti na ispunjenom radnom listu razine mjere. U slučaju da su neke mjere ocjenjivane po višoj razini koja je utvrđena lokalnom procjenom rizika, subjekt u stupcu „RAZINA“ u padajućem izborniku označava razinu po kojoj je mjera ocjenjivana.

Slika 8 Prikaz padajućeg izbornika u stupcu „RAZINA“ s odabirom razine na mjeri 1

Ukupni bodovi stupnja usklađenosti mjera upravljanja kibernetičkim rizicima (U) određuju se kao aritmetička sredina ocjena svih mjera (M).

Nakon izračuna ukupnih bodova stupnja usklađenosti mjera upravljanja kibernetičkim rizicima, uz tablicu će biti prikazan radar graf. U središnjim točkama grafa prikazane su dobivene ocjene, dok su na osima sve ocjenjivane mjere. Ovaj grafički prikaz omogućava intuitivnu vizualnu analizu rezultata, olakšavajući usporedbu različitih vrijednosti mjera. Također omogućava i brzo prepoznavanje područja u kojima je kibernetička sigurnost subjekta snažnija, kao i onih  koja zahtijevaju poboljšanja.

Trend podizanja razine zrelosti kibernetičke sigurnosti

Trend podizanja razine zrelosti kibernetičke sigurnosti (u daljnjem tekstu: trend) utvrđuje se dodatnim bodovanjem podskupova mjera koje subjekt provodi na temelju mjere 3. »Upravljanje rizicima« iz Priloga II. Uredbe, u smislu podizanja razine provedbe pojedinih obvezujućih mjera, kao i u smislu provedbe dobrovoljnih mjera.

Sukladno uvjetima koji su sadržani u Prilogu C, ocjenjuje se usklađenost dokumentiranih i implementiranih kontrola podskupova mjera koje subjekt provodi kao dobrovoljne i kontrola podskupova obvezujućih mjera u slučaju podizanja razine mjera, pri čemu se upisuju ocjene u stupce ocjena dokumentacije kontrole i ocjena implementacije kontrole.

U inicijalnom postupku samoprocjene, dobiveni rezultat u izračunu trenda se ne uzima u obzir. Trend se uključuje u izračun rezultata samoprocjene nakon prve obavljene samoprocjene, odnosno pri idućoj provedbi samoprocjene.

Radi preglednosti i lakšeg snalaženja, polja koja se odnose na dobrovoljne podskupove mjera označena su sivom bojom. Podskupovi mjera koje subjekt provodi kao dobrovoljne, označava u tablici na način da se u padajućem izborniku stupca „podskup mjere se ocjenjuje“ pojedinog podskupa mjere odabere opcija DA kako bi se bodovi uključili u izračun trenda. Odabirom opcije DA u polju „podskup mjere se ocjenjuje“, polja koja se odnose na dobrovoljni podskup mjere postaju bijela. Dobrovoljne podskupove mjera koje subjekt ne provodi, u navedenom stupcu, u padajućem izborniku odabire opciju NE , čime polja koja se odnose na te podskupove mjera ostaju obojana sivom bojom.

Slika 9 Prikaz dobrovoljnog podskupa mjere koji je uključen u izračun trenda

Slika 10 Prikaz dobrovoljnog podskupa mjere koji nije uključen u izračun trenda

Ocjene se unose u tablici (ocjena dokumentacije kontrole i ocjena implementacije kontrole) na radnom listu koji označava razinu mjere koja je utvrđena nacionalnom procjenom rizika. Nakon unosa, idući elementi u stupcima se izračunavaju automatski, kao i za obvezne podskupove mjera. Te vrijednosti će biti prikazane na radnom listu „Trend“ u tablici s dobrovoljnim podskupovima mjera određene razine. U tablici se prikazuju ocjene dobrovoljnih podskupova mjera koji su ocjenjivani te ukupni bodovi koji predstavljaju zbroj ocjena dobrovoljnih podskupova mjera. Navedena tablica koja je prikazana ovisi o odabranoj razini mjera na radnome listu „Uvod“, a ostale sive tablice s dobrovoljnim podskupovima mjera ne ulaze u izračun.

Ako odabrani dobrovoljni podskup mjere ne zadovoljava bodovni prag koji je definiran u Prilogu B, taj dobrovoljni podskup mjere subjekt će isključiti iz ocjenjivanja kako ne bi utjecao na izračun trenda.

U slučaju da je subjekt odlučio podignuti razinu provedbe pojedinih obvezujućih mjera, mjere se ocjenjuju na radnom listu koji je namijenjen izračunu za višu razinu (radni list naziva „Srednja“ ili „Napredna“). Izračun se provodi na isti način kao i izračun stupnja usklađenosti mjera po razini koja je utvrđena nacionalnom procjenom rizika. Ovaj postupak se ne uzima u obzir, ako je subjekt dužan zadovoljiti naprednu razinu mjera. Vrijednosti unesene na radnom listu više razine prilikom unosa se automatski preslikavaju u tablicu „MJERE IZ VIŠE RAZINE“ na radnom listu „Trend“.  Ocjene koje su ostvarene u višoj razini se zbrajaju, pri čemu se njihov zbroj množi s odgovarajućim težinskim faktorom čija vrijednost ovisi o razini koja je utvrđena nacionalnom procjenom rizika i razini na koju se podiže provedba pojedinih obvezujućih mjera. Tim postupkom se dobiva ukupna ocjena za ocjenjivane mjere iz više razine.

Trend podizanja razine zrelosti kibernetičke sigurnosti subjekta (T) određuje se na temelju bodova ostvarenih kroz primjenu dobrovoljnih podskupova mjera i bodova ostvarenih primjenom mjera iz više razine.

Ukupna ocjena u trendu dobiva se kao zbroj dvaju elemenata:

- Ocjene dobrovoljnih podskupova mjera – ukupan zbroj ocjena svih primijenjenih dobrovoljnih podskupova mjera i

- Ocjene unaprijeđenih mjera koje obuhvaćaju podskupove mjera - ukupan zbroj ocjena mjera koje su unaprijeđene na višu razinu, pri čemu se njihov doprinos množi odgovarajućim težinskim faktorom ovisno o razini unapređenja.

Ukupan rezultat trenda prikazuje se u tablici „TREND PODIZANJA RAZINE ZRELOSTI“ na radnom listu „Trend“.

U svrhu provedbe bodovanja, za sve tri razine mjera upravljanja kibernetičkim sigurnosnim rizicima definira se broj bodova potreban za utvrđivanje trenda podizanja razine zrelosti kibernetičke sigurnosti subjekta. Broj bodova za utvrđivanje trenda podrazumijeva ukupnu ocjenu u trendu koja obuhvaća zbroj ukupnog zbroja ocjena svih primijenjenih dobrovoljnih podskupova mjera i  ukupnog zbroja ocjena mjera koje su unaprijeđene na višu razinu. Za svaku razinu mjere određen je broj bodova koji subjekt treba postići kako bi se utvrdio trend.

Za utvrđivanje trenda za određenu razinu sigurnosti potrebno je ispuniti uvjete kako je prikazano u sljedećoj tablici:

Sukladno gornjoj tablici, da bi subjektu koji provodi osnovnu razinu mjera bio utvrđen trend, potrebno je ostvariti minimalno 109 bodova u ukupnom rezultatu trenda. Subjekt koji provodi srednju razinu mjera, treba postići minimalno 58 bodova u trendu za utvrđivanje trenda, dok subjektu koji provodi naprednu razinu mjera, trend se utvrđuje ako ostvari minimalno 15 bodova u trendu.

Ako ukupni rezultat trenda (zbroj ukupnog zbroja ocjena svih primijenjenih dobrovoljnih podskupova mjera i ukupnog zbroja ocjena podignutih mjera na višu razinu) pokaže da je subjekt za određenu razinu mjere ostvario manje bodova od potrebnog zbroja bodova, smatra se da trend nije utvrđen.

Postupak nakon provedene samoprocjene

Ako nakon provedene samoprocjene ukupni bodovi stupnja usklađenosti mjera pokazuju da su uspostavljene mjere upravljanja kibernetičkim sigurnosnim rizicima u skladu s razinom mjera upravljanja kibernetičkim sigurnosnim rizicima koja je utvrđena obvezujućom, subjekt sastavlja izjavu o sukladnosti.

Na obrascu izjave o sukladnosti koji se nalazi u Prilogu IV. Uredbe upisuju se ukupni bodovi stupnja usklađenosti mjera upravljanja kibernetičkim sigurnosnim rizicima s razinom mjera upravljanja kibernetičkim sigurnosnim rizicima koja je utvrđena obvezujućom za subjekt, ukupni bodovi trenda podizanja razine zrelosti kibernetičke sigurnosti subjekta i ostali traženi podaci sadržani u Uredbi.

Obrazac izjave o sukladnosti također je moguće popuniti i u kalkulatoru. Navedeni obrazac nalazi se na radnom listu „Izjava“. Ako se obrazac izjave o sukladnosti popunjava u kalkulatoru, tada se automatski popunjavaju sljedeća polja:

- Razina mjera upravljanja kibernetičkim sigurnosnim rizicima koja je utvrđena obvezujućom,

- Ukupni bodovi stupnja usklađenosti mjera upravljanja kibernetičkim sigurnosnim rizicima i

- Ukupni bodovi trenda podizanja razine zrelosti.

Ako ukupni bodovi stupnja usklađenosti mjera pokazuju da uspostavljene mjere upravljanja kibernetičkim sigurnosnim rizicima nisu u skladu s razinom mjera upravljanja kibernetičkim sigurnosnim rizicima koja je utvrđena obvezujućom, subjekt određuje plan daljnjeg postupanja koji obuhvaća ponovnu samoprocjenu te ispravke utvrđenih nedostataka.

Izjavu o sukladnosti i plan daljnjeg postupanja važni subjekti dužni su dostaviti nadležnom tijelu za provedbu zahtjeva kibernetičke sigurnosti bez odgode, a najkasnije u roku od osam dana od dana njihova sastavljanja. Subjekt je dužan čuvati izjavu o sukladnosti i drugu dokumentaciju nastalu u postupku samoprocjene deset godina od sastavljanja izjave.

Prilog B – Okvir za evaluaciju mjera upravljanja kibernetičkim sigurnosnim rizicima

Uvod

Ovaj dokument pruža sustavni okvir za provođenje postupka samoprocjene sukladno članku 51. Uredbe o kibernetičkoj sigurnosti („Narodne novine“, broj: 135/24, u daljnjem tekstu Uredba), te čini sastavni dio Smjernica za provedbu samoprocjene kibernetičke sigurnosti.

Svrha ovog dokumenta je definiranje uvjeta za provođenje samoprocjene i utvrđivanje stupnja usklađenosti pojedinih mjera kao i t renda podizanja razine zrelosti kibernetičke sigurnosti subjekta, a sve sukladno člancima od 51. do 54. Uredbe, te Prilogu II. Uredbe.  

Svaka kontrola koncipirana je da obuhvati specifične aspekte pojedine mjere, čime se osigurava visoka razina preglednosti i jasnoće pri procjeni usklađenosti subjekta s propisanim mjerama upravljanja kibernetičkim sigurnosnim rizicima koje su definirane člankom 42. i  Prilogom II. Uredbe.

Kontrole su strukturirane kako bi omogućile sustavan i dosljedan pristup pri procjeni ispunjavanja zahtjeva na različitim razinama implementacije: osnovnoj, srednjoj i naprednoj - u skladu s odredbama članka 42. i Priloga II. Uredbe.

Metode ocjenjivanja

Svaka mjera sastoji se od više mjera iz podskupa mjere (u daljnjem tekstu podmjera), a za svaku podmjeru propisanu Uredbom sastavljen je odgovarajući set kontrola. Setovi kontrola uključuju nazive kontrola detaljno opisanih u Prilogu C - Katalog kontrola, kao i razine mjera. Svaka razina mjere (osnovna, srednja i napredna) ima propisanu minimalnu ocjenu koju subjekt mora zadovoljiti kako bi se mogla uzimati u prosjek.

Sustav ocjenjivanja podmjera temelji se na ispunjavanju uvjeta pojedinačnih kontrola i ukupne ocjene podmjere za odgovarajuću razinu. Svaka kontrola ima postavljen minimalni bodovni prag ocjene (P _i ) koji mora biti ispunjen kako bi se smatrala zadovoljenom. Na primjer, ako je bodovni prag za određenu kontrolu definiran kao „ ≥ 2“, subjekt mora ostvariti ocjenu (O _i ) jednaku ili veću od 2 kako bi zadovoljio taj kriterij i prošao pojedinačnu kontrolu. Ocjena se dodjeljuje sukladno smjernicama za ocjenjivanje propisanim u Prilogu C - Katalog kontrola.

Za prolazak podmjere nije dovoljno ispuniti samo pojedinačne bodovne pragove ocjena kontrola, već prosječna ocjena svih kontrola također mora zadovoljiti unaprijed definirani ukupni bodovni prag (T). Ako prosječna ocjena svih kontrola ne ispunjava ukupni bodovni prag, smatra se da podmjera nije ispunila kriterije za prolaz, bez obzira na pojedinačne rezultate kontrola.

Iako pojedinačne ocjene za sve kontrole mogu biti zadovoljene, dodatni bodovni prag uveden je kako bi se osiguralo da subjekt u praksi postiže odgovarajuću razinu kibernetičke sigurnosti, a ne samo formalno zadovoljava pojedinačne kriterije. Dodatni bodovni prag stoga služi kao završna provjera koja omogućava procjenu stvarne primjene i integracije svih kontrola u svrhu postizanja cilja mjere. Ako se utvrdi da, unatoč formalnom ispunjavanju uvjeta pojedinačnih kontrola mjera u svojoj suštini nije djelotvorna ili nije dovoljno integrirana u sustav upravljanja rizicima subjekta, takva mjera se može ocijeniti kao nezadovoljavajuća.

U nastavku je prikazana univerzalna formula koja opisuje uvjete za prolaz subjekta uzimajući u obzir pojedinačne bodovne pragove (P _i ) za svaku kontrolu (O _i ) i dodatni bodovni prag prosječne ocjene (T):

Mjera 1 – Predanost i odgovornost osoba odgovornih za provedbu mjera upravljanja kibernetičkim sigurnosnim rizicima

Cilj: Cilj mjere je osigurati da osobe odgovorne za upravljanje mjerama iz članka 29. Zakona (u daljnjem tekstu: osobe odgovorne za upravljanje mjerama) prepoznaju kibernetičku sigurnost kao ključni aspekt poslovanja subjekta i aktivno sudjeluju u upravljanju kibernetičkom sigurnošću i poboljšanju razine kibernetičke sigurnosti u subjektu kroz integraciju kibernetičke sigurnosti u strateške planove i odluke o poslovanju subjekta.

Subjekt će u okviru provedbe ove mjere provoditi sljedeće podskupove mjera :

1.1. definirati i usvojiti na upravljačkom tijelu subjekta strateški akt kibernetičke sigurnosne politike koji definira ciljeve subjekta u pitanjima kibernetičke sigurnosti, mjere upravljanja kibernetičkim sigurnosnim rizicima koje će subjekt primjenjivati, organizacijski sustav i raspodjelu uloga, odgovornosti i obveza, te koji opisuje procese upravljanja kibernetičkom sigurnošću u subjektu. Subjekt je dužan najmanje jednom godišnje provoditi provjeru uspostavljenih mjera upravljanja kibernetičkim sigurnosnim rizicima i procjenjivati njihovu djelotvornost te prema potrebi ažurirati strateški akt kibernetičke sigurnosne politike.

1.2. osigurati upoznavanje svih zaposlenika subjekta i relevantnih pravnih osoba, s kojima subjekt ima poslovni odnos, poput njegovih dobavljača ili pružatelja usluga, s glavnim strateškim odrednicama kibernetičke sigurnosne politike koji se na njih odnose.

1.3. osigurati potrebne resurse za učinkovitu provedbu mjera upravljanja kibernetičkim sigurnosnim rizicima, što uključuje financijska sredstva, tehničke alate i ljudske potencijale s potrebnim stručnim znanjima. U svrhu osiguranja kontinuiteta u provedbi odgovarajućih mjera upravljanja kibernetičkim sigurnosnim rizicima i održavanja visoke razine njihove djelotvornosti, subjekt će potrebne resurse najmanje jednom godišnje procjenjivati i po potrebi prilagođavati.

1.4. uspostaviti, dokumentirati i održavati aktivnim uloge i odgovornosti za kibernetičku sigurnost sukladno veličini subjekta i njegovoga mrežnog i informacijskog sustava te prema potrebi provesti ažuriranje uspostavljenih uloga i odgovornosti u subjektu. S obzirom na veličinu subjekta, uloge u pitanjima kibernetičke sigurnosti mogu biti dodijeljene osobama unutar subjekta s dediciranim ulogama isključivo u pitanjima kibernetičke sigurnosti (posebne uloge) ili ih se može dodijeliti zaposlenicima u okviru njihovih postojećih uloga u subjektu.

1.5. potrebno je razdvojiti pojedine uloge u pitanjima kibernetičke sigurnosti koje bi mogle rezultirati potencijalnim sukobom interesa (primjerice razdvojiti uloge za provedbu procjena rizika i uloge za provedbu mjera).

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

1.6. imenovati dediciranu osobu koja je za razinu cijelog subjekta operativno odgovorna za kibernetičku sigurnost i kojoj je osiguran adekvatan pristup osobama odgovornim za provedbu mjera u subjektu.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

1.7. osigurati godišnje izvještavanje osoba odgovornih za provedbu mjera o stanju kibernetičke sigurnosti. Ovi izvještaji trebaju sadržavati analizu uspostavljenih mjera upravljanja kibernetičkim sigurnosnim rizicima, identificirane kibernetičke prijetnje i rizike, te preporuke za unapređenje razine kibernetičke sigurnosti. Redovito izvještavanje treba osigurati informiranost osoba odgovornih za provedbu mjera i omogućiti donošenje strateških odluka za podizanje razine kibernetičke sigurnosti.

1.8. definirati i osigurati sigurnosne metrike o stanju kibernetičke sigurnosti, potrebne za izvještavanje osoba odgovornih za provedbu mjera u subjektu, tj. definirati ključne sigurnosne metrike koje će omogućiti precizno praćenje stanja kibernetičke sigurnosti. Ove metrike trebaju uključivati pokazatelje koji podrazumijevaju praćenje i prikupljanje podataka poput broja i vrste incidenata, vremena reakcije, te postotka usklađenosti s propisanim mjerama upravljanja kibernetičkim sigurnosnim rizicima. Redovito prikupljanje i analiza ovih podataka treba osigurati kvalitetno izvještavanje osoba odgovornih za provedbu mjera.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

1.9. osigurati odgovarajuće aktivnosti nužne za podizanje svijesti osoba odgovornih za provedbu mjera o kibernetičkoj sigurnosti, a osobito u pitanjima upravljanja kibernetičkim sigurnosnim rizicima i mogućeg učinka tih rizika na usluge koje subjekt pruža, odnosno djelatnost koju obavlja. Ove aktivnosti uključuju edukativne radionice, seminare i druge oblike edukacija o aktualnim kibernetičkim prijetnjama, najboljim kibernetičkim sigurnosnim praksama, te o važnosti poduzimanja proaktivnih mjera upravljanja kibernetičkim sigurnosnim rizicima. Ovim podskupom mjera upravljanja kibernetičkim sigurnosnim rizicima potrebno je osigurati da upravljačko tijelo subjekta bude informirano i kontinuirano angažirano u postizanju i održavanju visoke razine kibernetičke sigurnosti.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

1.10. osigurati adekvatne mehanizme sudjelovanja osoba odgovornih za provedbu mjera u inicijativama kibernetičke sigurnosti i promociji kontinuiranog unaprjeđenja kibernetičke sigurnosti. Ovi mehanizmi uključuju redovite sastanke, radne skupine i odbore posvećene pitanjima kibernetičke sigurnosti, te transparentan protok informacija između operativnog tima za kibernetičku sigurnost i upravljačkog tijela subjekta. Ovim podskupom mjera upravljanja kibernetičkim sigurnosnim rizicima potrebno je osigurati uključenost osoba odgovornih za provedbu mjera u donošenje odluka i utvrđivanje prioriteta u području kibernetičke sigurnosti.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

1.11. osigurati adekvatne mehanizme praćenja glavnih indikatora stanja kibernetičke sigurnosti u praktički stvarnom vremenu. Ovi mehanizmi uključuju implementaciju naprednih sustava za nadzor, automatske alarme i nadzorne ploče ( dashboarde ), koji omogućavaju kontinuirano praćenje i brzu detekciju potencijalnih kibernetičkih prijetnji. Na taj način se omogućava pravovremena reakcija na incidente i minimiziranje potencijalnih utjecaja incidenata.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

Mjere 1.1 do 1.11. primjenjuju se u cijelosti i na IT i na OT dio mrežnih i informacijskih sustava subjekta.

Raspodjela podskupova mjere po razinama mjera upravljanja kibernetičkim sigurnosnim rizicima iz članka 42. ove Uredbe:

Mjera 2 – Upravljanje programskom i sklopovskom imovinom

Cilj: Cilj mjere je uspostaviti strukturirani pristup identifikaciji i klasifikaciji programske i sklopovske imovine subjekta te uspostaviti potpunu kontrolu i zaštitu programske i sklopovske imovine subjekta prilikom njezina korištenja, skladištenja, prijevoza i u konačnici brisanja ili uništavanja, odnosno upravljanja životnim ciklusom programske i sklopovske imovine.

Subjekt će u okviru provedbe ove mjere provoditi sljedeće podskupove mjera :

2.1. aktom koji usvajaju osobe odgovorne za upravljanje mjerama potrebno je definirati pravila i odgovornosti za upravljanje programskom i sklopovskom imovinom i utvrditi kriterije za uspostavu „inventara kritične programske i sklopovske imovine” (u daljnjem tekstu: inventar kritične imovine). Ovo uključuje izradu i dokumentiranje detalja kao što su: tko je odgovoran za različite aspekte upravljanja imovinom, kako se imovina treba klasificirati na kritičnu i ostalu imovinu, odnosno na više grupa ili kategorija u smislu njene kritičnosti za poslovanje subjekta, te postupke koji se provode za redovito praćenje i održavanje imovine. Subjekt može definirati nekoliko jasno prepoznatljivih grupa ili kategorija imovine sukladno njihovoj kritičnosti (primjerice „infrastruktura”, „poslovne aplikacije”, „aplikacije za podršku”, „testni sustavi” ili „javno dostupni servisi”, „interni servisi” ili „produkcija”, „test”, „razvoj” ili kombinacija sličnih kategorija). Potom subjekt mora ovim aktom odrediti koje grupe ili kategorije predstavljaju kritičnu programsku i sklopovsku imovinu, pri čemu je moguće definirati samo kategoriju kritične programske i sklopovske imovine, koja tada obavezno uključuje: poslužitelje elektroničke pošte, VPN uređaje, sigurnosne uređaje, kao i drugu programsku i sklopovsku opremu prema procjeni kritičnosti koju provodi subjekt. Subjekt u okviru ovoga postupka mora definirati kriterije za uspostavu inventara kritične imovine (primjerice sva imovina označena kao „infrastruktura” ili kao „poslovne aplikacije”, odnosno u slučaju odabira istodobnog korištenja više kategorija, kritična imovina može biti definirana kao „svi javno dostupni servisi”, „kompletna infrastruktura” i „sve poslovne aplikacije na produkciji”). Klasifikacija programske i sklopovske imovine subjekta može se primjerice temeljiti na zahtjevima za dostupnost, autentičnost, cjelovitost i povjerljivost imovine, ali mora uzeti u obzir rizike kojima je imovina izložena i značaj imovine za poslovanje subjekta (kao u prethodnim primjerima), jer konačni cilj nije sama klasifikacija imovine već omogućavanje subjektu da primjeni drugačije mjere za različite kategorije imovine, sukladno različitom profilu rizika koji subjekt procjeni.

2.2. izraditi detaljan inventar kritične imovine koji će sadržavati sve informacije nužne za učinkovito upravljanje i osigurati njegovo ažuriranje sve do razine koja omogućava učinkovito operativno upravljanje imovinom i provođenje adekvatnih mjera i kontrola. Detaljnost inventara kritične imovine mora biti na razini koja odgovara poslovnim potrebama subjekta, a inventar treba sadržavati najmanje sljedeće:

− popis mrežnih i informacijskih sustava koje subjekt koristi prilikom pružanja usluga ili obavljanja djelatnosti

− popis ključnih elemenata mrežnih i informacijskih sustava koji se procjenjuju kritičnim za održavanje kontinuiteta poslovanja subjekta

− jedinstveni identifikator svake pojedine imovine (primjerice inventurni broj, ime ili FQDN – Fully Qualified Domain Name)

− lokaciju imovine

− odgovornu osobu i organizacijsku jedinicu subjekta ili vanjskog davatelja usluge .

2.3. utvrditi kritične podatke subjekta, vodeći računa o zahtjevima za dostupnost, autentičnost, cjelovitost i povjerljivost podataka i uzimajući u obzir rizike kojima su podaci izloženi, kao i značaj podataka za poslovanje subjekta. Subjekt može definirati nekoliko jasno prepoznatljivih grupa ili kategorija kritičnih podataka (primjerice svi podaci koji predstavljaju poslovnu tajnu, osobne podatke, klasificirane podatke ili druge podatke koje subjekt procjenjuje kritičnim po osnovi njihove važnosti za poslovanje subjekta).

2.4. definirati pravila korištenja prijenosnih medija za pohranu kritičnih podataka, s kojima trebaju biti upoznati svi zaposlenici, a tim pravilima potrebno je osigurati korištenje prijenosnih medija isključivo u poslovne svrhe, onemogućiti izvršenje programskog kôda s prijenosnih medija te osigurati automatsku provjeru postojanja malicioznih sadržaja na njima, a kada je potrebno i korištenje odgovarajuće enkripcije.

2.5. utvrditi je li kritična programska i sklopovska imovina na korištenju isključivo u prostorima subjekta ili se koristi i izvan prostora subjekta, te definirati odgovornosti za čuvanje, korištenje i vraćanje iste, kada je na korištenju izvan prostora subjekta.

2.6. proširiti inventar kritične imovine s programskom i sklopovskom imovinom manje kritičnosti, tj. s drugim grupama ili kategorijama imovine, za subjekte koji imovinu prema točki 2.1. klasificiraju na više grupa kritične programske i sklopovske imovine, a s ciljem povećanja obuhvata procjene rizika na imovinu koja može utjecati na zaštitu kritične imovine i omogućavanje proširenja primjene dodatnih mjera zaštite, ovisno o klasifikaciji kritičnosti imovine (primjerice proširiti kategorizaciju s „testnim sustavima”, s obzirom da su isti javno dostupni trećim stranama koji sudjeluju u njihovom razvoju).

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

2.7. uspostaviti provedbu redovnih aktivnosti za pravovremenu nadopunu i ažuriranje inventara kritične imovine na način da: a) ažuriranje inventara kritične imovine predstavlja sastavni dio procesa nabave nove programske i sklopovske imovine, uključujući nabavu radi zamjene ranije nabavljene imovine ili b) uvede adekvatnu automatizaciju na način da nije moguće uvesti promjene programske i sklopovske imovine a da se inventar kritične imovine ne ažurira.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

2.8. implementirati detaljne procedure i adekvatne tehničke mjere za sigurno zbrinjavanje, sigurni prijevoz imovine koja sadržava kritične podatke, pritom koristeći opće poznate i provjerene metode za sigurno zbrinjavanje ili brisanje podataka s uređaja i medija za pohranu podataka te osigurati mjere zaštite uređaja i medija za pohranu podataka u slučaju prijevoza. Jednokratni prijevoz opreme ili medija može se zaštititi kompenzacijskim mjerama kao što je pohrana u sigurne spremnike, izvanredni nadzor prijevoza ili slično, dok oprema namijenjena za učestali prijevoz ili mobilni uređaji bilo kojeg tipa, moraju posjedovati i koristiti ugrađene i neodvojive mehanizme zaštite kao što je kriptiranje medija za pohranu. Ukoliko opisane tehničke mjere nije moguće primijeniti, programska i sklopovska imovina ili podaci smiju biti izneseni izvan prostorija subjekta samo nakon odgovarajućeg odobrenja osoba odgovornih za upravljanje mjerama.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

2.9. implementirati mehanizme za fizičku identifikaciju i označavanje fizičke imovine za obradu podataka ovisno o količini i rasprostranjenosti iste, što može uključivati i praćenje i nadzor imovine u stvarnom vremenu koristeći automatizaciju pomoću Internet stvari ( Internet of Things – IoT ) i radio frekvencijske identifikacije ( Radio Frequency Identification – RFID ).

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

Mjere 2.1. do 2.9. primjenjuju se u cijelosti i na IT i na OT dio mrežnih i informacijskih sustava subjekta.

Raspodjela podskupova mjere po razinama mjera upravljanja kibernetičkim sigurnosnim rizicima iz članka 42. ove Uredbe:

Mjera 3 – Upravljanje rizicima

Cilj: Cilj mjere je uspostaviti odgovarajući organizacijski okvir za upravljanje rizikom kako bi subjekt utvrdio i odgovorio na sve rizike koji prijete sigurnosti njegovih mrežnih i informacijskih sustava i pri tome predstavljaju rizik za poslovanje subjekta.

Subjekt će u okviru provedbe ove mjere provoditi sljedeće podskupove mjera :

3.1. razviti, dokumentirati, implementirati i na godišnjoj osnovi ažurirati proces upravljanja rizicima koji uključuje procjenu rizika (identifikacija, analiza, evaluacija), određivanje razine i kritičnosti rizika, načine obrade rizika, identifikaciju vlasnika rizika i njihovo područje odgovornosti. Subjekt mora dokumentirati, komunicirati i zaposlenicima subjekta, koji su odgovorni za segmente poslovanja subjekta povezane s rizicima, učiniti dostupnim kibernetičke sigurnosne politike i upute o osnovnim procedurama za identifikaciju, analizu, procjenu i obradu rizika, poglavito za pojedine rizike koji mogu dovesti do poremećaja u dostupnosti, cjelovitosti, autentičnosti i povjerljivosti mrežnih i informacijskih sustava subjekta.

3.2. provesti procjenu rizika nad imovinom iz inventara kritične imovine zasnovanom na načelu procjene svih vrsta rizika ( all-hazards approach ) te na određivanju razine svakog pojedinog rizika. S obzirom da kibernetičke prijetnje mogu imati različito podrijetlo, procjena rizika se treba temeljiti na pristupu koji uključuje sve opasnosti po programsku i sklopovsku imovinu što uključuje i fizičke prijetnje kao što su krađe, požari, poplava, prirodni fenomeni, kvarovi, ispad elektroničke komunikacijske infrastrukture, nestanak struje ili neovlašteni fizički pristup i oštećenje imovine, ali uključuje i sve prijetnje koje bi mogle ugroziti dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih, prenesenih ili obrađenih podataka ili usluga. Posebnu pozornost potrebno je pridati rizicima koji proizlaze iz korištenja usluga trećih strana. Moguće je koristiti pristup procjeni rizika temeljen na opisanom pristupu prepoznavanja operativnih rizika za imovinu iz inventara subjekta ( Asset-based approach ), kao i pristup temeljen na scenarijima i prepoznavanju izvora strateških rizika za poslovanje subjekta ( Event-based approach ) .

3.3. identificirane rizike potrebno je dokumentirati te definirati odgovor na tako utvrđene rizike, razmjerno njihovoj razini i kritičnosti, što uključuje poduzimanje odgovarajućih i razmjernih tehničkih, operativnih i organizacijskih mjera upravljanja rizicima. Subjekti bi trebali u okviru svoje procjene rizika poduzeti i prioritizirati mjere upravljanja kibernetičkim sigurnosnim rizicima razmjerne stupnju izloženosti svog poslovanja rizicima i vjerojatnosti nastanka incidenata te njihovoj ozbiljnosti za poslovanje subjekta, uključujući mogući društveni i gospodarski, odnosno međusektorski ili prekogranični utjecaj ovih rizika.

3.4. implementirati detaljne metode za analizu i procjenu rizika te izvještavanje o tim rizicima. Subjekt mora osigurati redovito izvještavanje o identificiranim rizicima, uključujući sve promjene u procjenama rizika i predloženim mjerama za njihovo ublažavanje ili eliminaciju. Izvještaji moraju biti dostavljeni relevantnim poslovnim segmentima unutar subjekta, kako bi se omogućilo donošenje informiranih odluka o mjerama upravljanja kibernetičkim sigurnosnim rizicima koje se poduzimaju i potrebi ažuriranja strateških dokumenata subjekta u pitanjima kibernetičke sigurnosti.

3.5. održavati registar identificiranih rizika. Ovaj registar treba sadržavati detaljne informacije o svim prepoznatim rizicima, uključujući opis rizika, procjenu vjerojatnosti i potencijalnog utjecaja rizika, te trenutni status i poduzete mjere obrade rizika. Registar mora biti redovito ažuriran kako bi odražavao prepoznate nove rizike i promjene u postojećim rizicima. Također, subjekt mora osigurati da su svi relevantni poslovni segmenti unutar subjekta informirani o sadržaju i promjenama u registru identificiranih rizika, kako bi se omogućilo učinkovito upravljanje rizicima i donošenje informiranih odluka o potrebnim mjerama upravljanja kibernetičkim sigurnosnim rizicima.

3.6. osigurati provedbu procjene rizika prilikom implementacije rješenja koja povećavaju površinu izloženosti mrežnog i informacijskog sustava subjekta kibernetičkom napadu, proširuju rizike ili uvode u korištenje u subjektu do sada nepoznate arhitekture mrežnih i informacijskih sustava ili mjera zaštite. Ova procjena treba uključivati identifikaciju novih prijetnji i ranjivosti koje proizlaze iz implementacije novih tehnologija ili rješenja, te analizu njihovoga potencijalnog utjecaja na cjelokupnu kibernetičku sigurnost subjekta. Na temelju rezultata procjene, subjekt mora poduzeti odgovarajuće mjere za ublažavanje identificiranih rizika prije implementacije uvodno opisanih rješenja. Sve aktivnosti i rezultati vezani uz procjenu rizika moraju biti dokumentirani i pregledani od strane relevantnih osoba zaduženih za pitanja sigurnosti subjekta.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

3.7. koristiti napredne softverske alate za procjenu i praćenje rizika. Ovi alati trebaju omogućiti detaljnu analizu i procjenu kibernetičkih prijetnji, identifikaciju ranjivosti, te praćenje incidenata u stvarnom vremenu. Softverski alati moraju biti sposobni za automatizirano prikupljanje i analizu relevantnih podataka, generiranje izvještaja i pružanje preporuka za ublažavanje ili eliminaciju rizika. Subjekt mora osigurati redovitu upotrebu i ažuriranje ovih alata kako bi se osigurala njihova učinkovitost u prepoznavanju i upravljanju rizicima. Rezultati dobiveni korištenjem ovih alata moraju biti integrirani u sveukupni proces upravljanja rizicima unutar subjekta.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

3.8. upravljanje rizicima integrirati kao dio upravljanja rizicima na razini poslovanja subjekta (ERM).

UVJET: Mjera 3.8. je obvezujuća za subjekt koji ima uspostavljene procese upravljanja rizicima na razini poslovanja subjekta te se u tom slučaju upravljanje rizikom, opisano u okviru podskupova mjere 3. (3.1. do. 3.7.), provodi integrirano, kao dio uspostavljenog procesa upravljanja rizicima poslovanja subjekta. Ako subjekt nema uspostavljene procedure upravljanja rizicima na razini poslovanja subjekta, uspostavlja mjeru 3. (3.1. do 3.7.) kao novi poslovni proces.

Mjere 3.1. do 3.8. primjenjuju se u cijelosti i na IT i na OT dio mrežnih i informacijskih sustava subjekta.

Raspodjela podskupova mjere po razinama mjera upravljanja kibernetičkim sigurnosnim rizicima iz članka 42. ove Uredbe:

Mjera 4 – Sigurnost ljudskih potencijala i digitalnih identiteta

Cilj: Cilj mjere je uspostaviti strukturirani pristup koji omogućuje subjektu učinkovito upravljanje zapošljavanjem odgovarajućeg ljudskog potencijala te upravljanje pravima pristupa zaposlenika i vanjskog osoblja mrežnim i informacijskim sustavima subjekta.

Subjekt će u okviru provedbe ove mjere provoditi sljedeće podskupove mjera :

4.1. razviti, dokumentirati, implementirati i redovno održavati pravila sigurnosti ljudskih potencijala uzimajući u obzir sve korisnike mrežnih i informacijskih sustava, uključujući vanjske suradnike. Odgovornosti vezane za kibernetičku sigurnost utvrđuju se ovisno o dodijeljenim ulogama korisnika sustava, utvrđenim prema poslovnim potrebama subjekta. Subjekti moraju osigurati da:

− svi zaposlenici subjekta razumiju svoje odgovornosti u pitanjima kibernetičke sigurnosti i da primjenjuju osnovne prakse kibernetičke higijene

− sve osobe s administrativnim ili povlaštenim pristupom mrežnom i informacijskom sustavu subjekta su svjesne povećane odgovornosti te predano izvršavaju svoje uloge i ovlasti dodijeljene prema kibernetičkoj sigurnosnoj politici subjekta

− osobe odgovorne za upravljanje mjerama u subjektu razumiju svoju ulogu, odgovornosti i ovlasti.

4.2. provjeravati adekvatnost i kvalifikacije kandidata prije njihova zapošljavanja sukladno značaju radnog mjesta na koje se osoba zapošljava i primjenjivim propisima (primjerice provjera referenci, provjera valjanosti posjedujućih certifikata, svjedodžbi i diploma, pismeni testovi, potvrde o nekažnjavanju itd.). Potrebno je utvrditi za koje uloge, odgovornosti i ovlasti u subjektu je potrebno provjeravati adekvatnost i kvalifikacije kandidata prije zapošljavanja, odnosno zahtijevati primjerice periodičnu dostavu potvrde o nekažnjavanju. Provjera kandidata mora se provesti u skladu s važećim zakonima, propisima i etikom i mora biti razmjerna poslovnim zahtjevima, usklađena sa zahtjevima pristupa pojedinim vrstama podataka i prepoznatim rizicima.

4.3. za sve zaposlenike čija redovna radna zaduženja uključuju projektiranje, provođenje, nadzor ili revidiranje mjera upravljanja kibernetičkih sigurnosnih rizika, osigurati specifično i dokumentirano osposobljavanje i to neposredno nakon stupanja osobe u radni odnos, kao i kontinuirano osposobljavanje svih takvih postojećih zaposlenika tijekom radnog odnosa, radi osiguravanja adekvatnog stupnja znanja o novim tehnologijama i kibernetičkim prijetnjama. Subjekt mora uspostaviti program osposobljavanja u skladu s kibernetičkom sigurnosnom politikom subjekta, tematski specifičnim politikama i relevantnim procedurama kibernetičke sigurnosti u okviru mrežnog i informacijskog sustava subjekta. Osposobljavanje mora obuhvatiti potrebne vještine, stručnosti i znanja za određena radna mjesta te kriterije prema kojima se utvrđuje potrebno osposobljavanje za pojedine uloge (primjerice IT administratori moraju proći dodatno osposobljavanje za sigurne konfiguracije programske i sklopovske imovine subjekta). Program osposobljavanja treba sadržavati poglavlja kao što su:

− uobičajene i dokumentirane upute koje se odnose na sigurnu konfiguraciju i rukovanje mrežnim i informacijskim sustavima subjekta, uključujući i mobilne uređaje

− uobičajeno i dokumentirano informiranje o poznatim kibernetičkim prijetnjama

− uobičajeno i dokumentirano postupanje prilikom incidenta.

4.4. osigurati redovnu obuku o osnovnim praksama kibernetičke higijene i podizanje svijesti o rizicima i kibernetičkim prijetnjama za sve zaposlenike, neposredno nakon stupanja osobe u radni odnos u subjektu te kasnije redovito tijekom radnog odnosa. Subjekt mora uspostaviti program podizanja svijesti u skladu s kibernetičkom sigurnosnom politikom, tematski specifičnim politikama i relevantnim procedurama kibernetičke sigurnosti u okviru mrežnog i informacijskog sustava subjekta. Podizanje svijesti mora obuhvatiti osnovne IT vještine i znanja (primjerice svi zaposlenici moraju proći osposobljavanje za sigurno korištenje e-pošte i pretraživanje Interneta). Program podizanja svijesti treba sadržavati poglavlja kao što su:

− uobičajene i dokumentirane upute koje se odnose na sigurnost IT sustava i osobne IT imovine što uključuje i mobilne uređaje

− sigurno korištenje autentifikacijskih sredstava i vjerodajnica (primjerice izbjegavanje korištenja istih lozinki na različitim javnim servisima te izbjegavanje korištenja službenih adresa na javnim servisima radi smanjivanja rizika od napada, izbjegavanje spremanja lozinki u web preglednike itd.)

− prepoznavanje i prijavu najčešćih incidenata.

4.5. definirati adekvatne disciplinske mjere za zaposlenike u slučaju nepridržavanja relevantnih pravila kibernetičke sigurnosti ovisno o radnom mjestu zaposlenika, a sve sukladno primjenjivom zakonskom okviru. Prilikom utvrđivanja povreda radnih obveza i određivanja disciplinskih mjera zbog kršenja kibernetičkih sigurnosnih politika subjekta uzimaju se u obzir svi primjenjivi propisi, kao i posebni ugovorni ili drugi poslovni zahtjevi.

4.6. osigurati da svaki korisnik mrežnog i informacijskog sustava (neovisno o tome je li ili nije zaposlenik subjekta), gdje god je to tehnički moguće i sustav dozvoljava, posjeduje jedan ili više digitalnih identiteta koji su samo njegovi te ih koristi tijekom rada na mrežnim i informacijskim sustavima subjekta. Ukoliko sustav ne omogućava stvaranje adekvatnog broja digitalnih identiteta ili je to neopravdano skupo, neki korisnici mogu koristiti iste digitalne identitete isključivo ukoliko subjekt osigura kompenzacijsku mjeru koja osigurava nedvosmislenu i dokazivu evidenciju korištenja dijeljenih digitalnih identiteta (primjerice grupno korištenje institucionalne email adrese). Subjekt mora:

− kreirati jedinstvene digitalne identitete za korisnike i mrežne i informacijske sustave

− za korisnike se mora povezati digitalni identitet s jedinstvenom osobom kako bi se osoba mogla držati odgovornom za aktivnosti provedene s tim specifičnim identitetom

− omogućiti nadzor sustava digitalnih identiteta

− voditi evidencije digitalnih identiteta i osigurati praćenje i dokumentiranje svih promjena

− digitalni identiteti koji su dodijeljeni većem broju osoba (primjerice grupni računi e-pošte) mogu biti dopušteni jedino kada je to nužno zbog poslovnih ili operativnih razloga, te se oni moraju posebno odobriti i dokumentirati, uz uspostavu kompenzacijske mjere evidentiranja zapisa koja osigurava podatke o svakom pojedinom korisniku i vremenu korištenja takvog digitalnog identiteta.

4.7. odgovornosti za kibernetičku sigurnost definirati prema jasnim radnim ulogama zaposlenika i uz osiguravanje zamjenskih osoba za svaku ulogu. Prava pristupa zaposlenika mrežnim i informacijskim sustavima subjekta potrebno je implementirati sukladno dodijeljenim poslovnim zaduženjima i uz primjenu načela „poslovne potrebe” ( need-to-know ), „minimalno potrebnih ovlaštenja za provedbu zadaća” ( least privilege ) te „razdvajanja nadležnosti” ( segregation of duties ).

4.8. osigurati provedbu jasnog i učinkovitog procesa koji će osigurati da se digitalni identiteti svih korisnika mrežnog i informacijskog sustava pravovremeno dodijele te pravovremeno promijene ili ukinu uslijed organizacijskih ili poslovnih promjena. Ovaj proces mora osigurati pravovremenu dodjelu digitalnih identiteta novim korisnicima i njihovo brzo ukidanje kada više nisu potrebni. Prava pristupa moraju se evidentirati te redovito revidirati i prilagođavati u skladu s organizacijskim ili poslovnim promjenama, čime se minimizira rizik od neovlaštenog pristupa i štite kritični podaci subjekta.

4.9. razviti i provoditi obuku za odgovor na incidente u subjektu za ključne osobe koje sudjeluju u tom procesu. Obuka mora uključivati praktične scenarije i redovite vježbe kako bi se osiguralo da su svi sudionici dobro pripremljeni za učinkovito reagiranje na incidente. Redovitim ažuriranjem obuke, subjekt je dužan prilagoditi obuku novim prijetnjama i najboljim praksama u području kibernetičke sigurnosti. Time se povećava otpornost subjekta na incidente i osigurava brza i adekvatna reakcija u slučaju njihovoga pojavljivanja.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

4.10. koristiti sustave za udaljeno digitalno učenje za kontinuiranu obuku i certifikacije svojeg osoblja u području kibernetičke sigurnosti, osobito u pitanjima upravljanja kibernetičkim sigurnosnim rizicima i njihova učinka na usluge koje subjekt pruža odnosno djelatnost koju obavlja. Subjekt se može odlučiti za udaljeno digitalno učenje i zbog jednostavnosti provedbe obuke neovisno o tome je li mu moguće organizirati i obuku u živo.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

4.11. implementirati testiranje socijalnog inženjeringa, simulacije krađe identiteta ( phishing ) i programe podizanja svijesti. Ove aktivnosti moraju biti redovite i obuhvatiti sve zaposlenike subjekta kako bi se identificirale ranjivosti i educiralo osoblje o prepoznavanju i odgovoru na takve ranjivosti. Programi podizanja svijesti trebaju uključivati edukativne materijale, radionice i praktične vježbe. Time se jača sigurnosna kultura unutar subjekta i smanjuje rizik od uspješnih napada socijalnog inženjeringa.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

4.12. integrirati sustav za vođenje evidencije i upravljanje ljudskim potencijalima sa sustavima za upravljanje digitalnim identitetom i pravima pristupa mrežnom i informacijskom sustavu, kako bi se osiguralo učinkovito upravljanje digitalnim identitetima i pravima pristupa u stvarnom vremenu. Subjekt je dužan:

− dodjeljivati i ukidati prava pristupa na temelju načela „poslovne potrebe” ( need-to-know ), načela „najmanje privilegije” ( least privilege ) i sukladno potrebi načela „razdvajanja nadležnosti” ( segregation of duties )

− osigurati da prava pristupa budu revidirana u slučaju prekida ili druge promjene statusa zaposlenja (primjerice ukidanje ili promjena prava pristupa, deaktivacija korisničkih računa itd.)

− osigurati da se prava pristupa odgovarajuće dodjeljuju trećim stranama, poput izravnih dobavljača ili pružatelja usluga, vodeći računa o primjeni načela iz alineje 1. ovoga podskupa mjera. Posebno je važno ograničiti takva prava pristupa, kako po opsegu tako i po trajanju.

− voditi registar dodijeljenih prava pristupa po korisnicima i

− koristiti evidentiranje pristupa pri upravljanju pravima pristupa na mrežnom i informacijskom sustavu.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

Mjere od 4.1.do 4.12. primjenjuju se u cijelosti i na IT i na OT dio mrežnih i informacijskih sustava subjekta.

Raspodjela podskupova mjere po razinama mjera upravljanja kibernetičkim sigurnosnim rizicima iz članka 42. ove Uredbe:

Mjera 5 – Osnovne prakse kibernetičke higijene

Cilj: Cilj mjere je za sve zaposlenike i mrežne i informacijske sustave subjekta osigurati implementaciju temeljnih sigurnosnih postavki, pravila i procedura koje osiguravaju zaštitu mrežnih i informacijskih sustava subjekta i njegovih podataka, pri čemu je fokus na sprječavanju najčešćih vrsta incidenata koji nastaju kao posljedica maliciozne infekcije sustava, phishing napada, nepropisne i nepravilne konfiguracija sustava ili upotrebe slabih lozinki.

Subjekt će u okviru provedbe ove mjere provoditi sljedeće podskupove mjera :

5.1. razviti, dokumentirati, održavati i implementirati pravila osnovne prakse kibernetičke higijene te redovito educirati sve korisnike svojih mrežnih i informacijskih sustava o tim pravilima.

5.2. osigurati da se na svim mrežnim i informacijskim sustavima za pristup kojima se koriste lozinke, kao sredstvo autentifikacije koriste politike „najjačih mogućih lozinki” ili ukoliko zbog operativnih razloga to nije moguće, subjekt će definirati i obrazložiti svoju politiku korištenja lozinki koja mora biti u skladu s trenutnim dobrim praksama, kao što je primjerice „ Password Policy Guide of Center for Internet Security (CIS) ”. Ukoliko je subjekt odlučio implementirati svoju politiku korištenja lozinki ona treba uključivati različite smjernice za različite mrežne i informacijske sustave i namjene korištenja lozinki, s obzirom da razina potrebne zaštite često nije ista na svim vrstama mrežnih i informacijskih sustava (primjerice na novijim Windows Server sustavima korištenje lozinke dulje od 14 znakova onemogućava korištenje zastarjele LAN Manager autentifikacije). Općenito na svim mrežnim i informacijskim sustavima koji nemaju mogućnost više-faktorske autentifikacije (MFA) ili za korisničke račune na kojima MFA nije tehnički moguć, minimalna duljina je 14 znakova koji moraju predstavljati kombinaciju velikih i malih slova, znamenki te specijalnih znakova. Lozinka za korisničke račune s privilegiranim pravima pristupa mrežnom i informacijskom sustavu treba biti duga najmanje 16 znakova, a lozinke za servisne račune najmanje 24 znaka, koristeći ranije opisano pravilo o kombinaciji velikih i malih slova, znamenki i specijalnih znakova. Za korisničke račune, uključujući one s privilegiranim pravima pristupa i servisne račune, za koje je uključena provjera drugog faktora, duljina lozinke može biti kraća, ali ne kraća od 8 znakova, ukoliko je to tehnički izvedivo, vodeći pri tome računa o potrebi korištenja ranije opisanog pravila o kombinaciji velikih i malih slova, znamenki i specijalnih znakova. U slučaju da mrežni i informacijski sustav ne može podržati primjenu opisanih pravila određivanja lozinki, subjekt je dužan osigurati druge kompenzacijske mjere zaštite, odnosno ograničavanje pristupa mrežnom i informacijskom sustavu temeljem odgovarajuće kompenzacijske mjere (primjerice obavezno ograničenje fizičkog pristupa ili obavezni udaljeni pristup koji je zaštićen s dva autentifikacijska faktora). Ukoliko se subjekt odlučio za autentifikaciju koja ne uključuje korištenje lozinki, nužno je korištenje dva faktora (biometrija i posjedovanje drugog autentifikacijskog uređaja ili upravljanog pristupnog uređaja). U okviru ovoga podskupa mjere subjekt je dužan:

− osigurati da je snaga provjere autentičnosti prikladna kritičnosti mrežnog i informacijskog sustava te u sladu s procjenom rizika

− provoditi korištenje metoda autentifikacije (lozinke, digitalni certifikati, pametne kartice, biometrija i sl.) koje su u skladu sa stanjem razvoja tehnologije i koristiti jedinstvena autentifikacijska sredstva (nešto što korisnik zna kao lozinka ili pin, nešto što korisnik posjeduje kao pametni telefon ili token, te nešto što korisnik jeste kao otisak prsta, prepoznavanje lica i sl.)

− osigurati sigurnu dodjelu i korištenje autentifikacijskih sredstava (primjerice pohranjivanje i prijenos takvih sredstava u zaštićenom obliku, automatsko generiranje, izrada kriptografskih sažetaka uz „soljenje” i/ili „paprenje” itd.), što uključuje i savjetovanje osoblja o prikladnom postupanju

− zahtijevati inicijalnu promjenu osobnih pristupnih podataka (lozinke i PIN) prilikom prvog korištenja korisničkog računa, kao i u slučaju postojanja sumnje da su osobni pristupni podaci kompromitirani

− ukoliko je tehnički izvedivo, potrebno je zabraniti spremanje lozinki u web-preglednike

− osigurati zaključavanje korisničkih računa nakon prekomjernih neuspjelih pokušaja prijave ( account lockout ), uz mogućnost automatskog otključavanja nakon razumnog vremenskog perioda radi sprječavanja napada uskraćivanjem usluge

− ugasiti neaktivne korisničke sjednice nakon unaprijed određenog perioda neaktivnosti gdje to poslovni proces dopušta i

− zahtijevati posebne vjerodajnice za pristup privilegiranim ili administratorskim korisničkim računima.

5.3. uz provedbu politike korištenja lozinki, implementirati višefaktorsku autentifikaciju (MFA) za kritične mrežne i informacijske sustave koji su više izloženi potencijalnim kibernetičkim napadima. Primjena MFA je potrebna na VPN pristupu, SaaS alatima dostupnim s Interneta itd. Potrebno je osigurati da se korisnička imena i lozinke korištene na servisima s dvofaktorskom autentifikacijom ne koriste na drugim servisima bez dvofaktorske autentifikacije. Snaga provjere autentičnosti mora biti usklađena s procjenom rizika i izloženosti mrežnog i informacijskog sustava. Potrebno je uzeti u obzir višefaktorsku provjeru autentičnosti prilikom pristupanja kritičnim mrežnim i informacijskim sustavima s udaljene lokacije, sustavima za administriranje korisnika i mrežnih i informacijskih sustava, kritičnim podacima subjekta itd. Višefaktorska provjera autentičnosti se može kombinirati s drugim tehnikama kako bi se zahtijevali dodatni faktori u specifičnim okolnostima, temeljeno na unaprijed definiranim pravilima i obrascima, poput pristupa s neuobičajene lokacije, s neuobičajenog uređaja ili u neuobičajeno vrijeme.

5.4. osigurati korištenje osnovnog antivirusnog alata na svim radnim stanicama. Samo korištenje programskih antivirusnog alata za detekciju zlonamjernog softvera i oporavak često nije dovoljno pa je, sukladno procjeni rizika koju provodi subjekt, potrebno primijeniti i dodatne mjere odnosno koristiti alate za otkrivanje i odgovor na kibernetičke prijetnje na krajnjim točkama (EPP/EDR), s prikladnom razinom automatskog odgovora na prijetnje, u svrhu napredne zaštite na svim radnim stanicama i poslužiteljima gdje je to tehnički izvedivo. Subjekt može, zbog tehničke složenosti ili vrlo visoke cijene implementacije, odlučiti mjeru primijeniti samo na odabranom i obrazloženom podskupu programske ili sklopovske imovine sukladno procjeni rizika, primjerice na poslužiteljskoj infrastrukturi, ali onda ista mora biti logički odvojena od nezaštićene programske i sklopovske imovine, kako kompromitacija nezaštićene programske i sklopovske imovine ne bi lako dovela do kompromitacije zaštićenog dijela programske i sklopovske imovine .

5.5. osigurati pravovremenu i cjelovitu primjenu sigurnosnih zakrpa na kompletnoj programskoj i sklopovskoj imovini subjekta, čim iste bude primjenjive, ili je potrebno razraditi, definirati, dokumentirati i implementirati drugačiji proces upravljanja ranjivostima na korištenim mrežnim i informacijskim sustavima, koji će osigurati trijažu, procjenu te prioritiziranu i dokumentiranu postepenu primjenu sigurnosnih zakrpa. Ukoliko se subjekt odluči da neće odmah primjenjivati sve sigurnosne zakrpe već implementirati svoju politiku primjene sigurnosnih zakrpa, ista mora prilikom definiranja internog roka za primjenu sigurnosnih zakrpa uzeti u obzir faktore kritičnosti i izloženosti mrežnog i informacijskog sustava, ozbiljnost otkrivene ranjivosti tj. kritičnosti primjene sigurnosne zakrpe te opće stanje kibernetičke sigurnosti i eventualne aktualne kibernetičke napade koji iskorištavaju dotične ranjivosti. Pritom su subjekti dužni utvrditi i primijeniti postupke kojima će osigurati sljedeće:

− sigurnosne zakrpe na odgovarajući način se provjeravaju i testiraju prije nego što se primjene u produkcijskoj okolini

− sigurnosne zakrpe preuzimaju se iz pouzdanih izvora te se provjeravaju u smislu cjelovitosti

− sigurnosne zakrpe se ne primjenjuju ako uvode dodatne ranjivosti ili nestabilnosti koje su rizičnije od izvornog razloga za primjenu zakrpe

− dokumentiraju se razlozi za neprimjenjivanje raspoloživih sigurnosnih zakrpa

− u slučajevima kada sigurnosna zakrpa nije raspoloživa, provode se dodatne mjere upravljanja kibernetičkim sigurnosnim rizicima i prihvaćaju se preostali rizici

− upravljanje sigurnosnim zakrpama treba biti usklađeno s kontrolnim procedurama za upravljanje promjenama i održavanje mrežnih i informacijskih sustava.

5.6. osigurati, ukoliko je tehnički izvedivo, stvaranje zapisa o svakoj prijavi i aktivnosti na kritičnom mrežnom i informacijskom sustavu radi osiguravanja forenzičkog traga, a pri tome treba koristiti alate i procese za praćenje i bilježenje aktivnosti na mrežnom i informacijskom sustavu subjekta u svrhu otkrivanja sumnjivih događaja koji bi mogli predstavljati incident te postupanja kojim će se umanjiti potencijalni učinak incidenta. Dnevničke zapise je potrebno čuvati pohranjene najmanje zadnjih 90 dana (ne nužno u sustavu koji ih je stvorio). Iznimno od toga, pojedine vrste dnevničkih zapisa dopušteno je čuvati i kraće, ako količina tih zapisa predstavlja ograničenje za pohranu i ako nije moguće filtrirati i/ili komprimirati te dnevničke zapise kako bi se zadržale ključne informacije, a smanjila količina zapisa. U okviru uređenja procesa bilježenja dnevničkih zapisa (opseg i period čuvanja), treba uzimati u obzir procjenu rizika kako bi se omogućila detekcija i istraga incidenata sukladno procijenjenim scenarijima rizika. Subjekt mora osigurati da svi sustavi imaju sinkronizirano vrijeme kako bi se moglo korelirati dnevničke zapise između različitih mrežnih i informacijskih sustava. Tijekom projektiranja mrežnog i informacijskog sustava minimalno treba uključiti sljedeće vrste dnevničkih zapisa:

− metapodatke odlaznog i dolaznog mrežnog prometa

− pristup mrežnim i informacijskim sustavima, aplikacijama, mrežnoj opremi i uređajima

− stvaranje, izmjenu i brisanje korisničkih računa i proširivanje prava

− izmjene na pričuvnim kopijama

− zapisi iz sigurnosnih alata, primjerice antivirusnog sustava, sustav za otkrivanje napada ili vatrozida.

5.7. definirati i dokumentirati proces identifikacije i upravljanja ranjivostima na kritičnim mrežnim i informacijskim sustavima koje samostalno razvija. U tu svrhu, subjekt mora osigurati mehanizam identifikacije mogućih ranjivosti na mrežnim i informacijskim sustavima koje samostalno razvija. Sukladno vlastitoj procjeni rizika, mehanizmi mogu uključivati alate za statičku analizu kôda (SAST), alate za dinamičku analizu aplikacija (DAST), provjeru komponenti trećih strana (SCA), interne ili vanjske penetracijske testove, uključivanje u nagradne programe ( bug bounty ) ili slično. Preporuča se primjena načela pomaka sigurnosnih provjera „na lijevo” tj. na ranije faze softverskog razvoja. Ukoliko subjekt ne primjenjuje navedena načela pomaka sigurnosnih provjera „na lijevo”, onda je prije puštanja novoga ili promijenjenog mrežnog i informacijskog sustava u produkcijski rad potrebno provesti adekvatno sigurnosno testiranje.

UVJET: Mjera 5.7. je obvezujuća ako subjekt koristi programska rješenja koja samostalno razvija .

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

5.8. implementirati mehanizme za periodičnu ili redovitu provjeru ranjivosti svih mrežnih i informacijskih sustava kako bi se pravovremeno otkrio manjak primjene sigurnosnih zakrpi ili nepravilna konfiguracija sustava. Subjekti su dužni, na temelju procjene rizika, utvrditi potrebu i učestalost te vrste sigurnosnog testiranja (penetracijski testovi, red teaming , purple teaming , i dr.) kako bi otkrili ranjivosti u implementaciji mrežnog i informacijskog sustava. Rezultati sigurnosnog testiranja i provjere ranjivosti trebaju se prioritizirati, koristiti za unaprjeđenje sigurnosti mrežnog i informacijskog sustava te pratiti do njihovoga rješavanja. Prema potrebi treba provesti ažuriranje politika i procedura. Subjekt može ovu mjeru ograničiti na kritičnu programsku i sklopovsku imovinu iz mjere 2.1 .

5.9. osigurati središnju pohranu sigurnosno relevantnih događaja kopijom dnevničkih zapisa, kontinuirano ili u vremenskim intervalima ne duljima od 24 sata, s mjesta gdje su generirani na centralizirani sustav koji omogućava pohranu i pretragu te gdje su isti zaštićeni od neautoriziranog pristupa i izmjena (ukoliko je moguće administrator izvorišnog sustava ne bi trebao biti administrator ovoga centraliziranog sustava). Osigurati da središnji sustav ima mogućnosti prepoznavanja anomalija i mogućih incidenata te generiranje upozorenja o sumnjivim događajima. Praćenje dnevničkih zapisa treba uzimati u obzir važnost programske i sklopovske imovine i procjenu rizika – potrebno je generirati veći, odnosno dopušteno je generirati manji broj različitih vrsta upozorenja o sumnjivim događajima uzimajući u obzir scenarije rizika i procijenjene rizike. Subjekt mora u unaprijed planiranim intervalima provjeravati bilježe li se dnevnički zapisi ispravno kroz provođenje ili simulaciju radnje koja bi trebala rezultirati bilježenjem odgovarajućeg dnevničkog zapisa. Subjekt mora voditi brigu da se praćenje implementira i na način kojim bi se minimaliziralo postojanje lažno pozitivnih i lažno negativnih događaja.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

5.10. osigurati primjenu kontrola koje sprječavaju ili otkrivaju korištenje poznatih ili sumnjivih zlonamjernih web-stranica. Filter je moguće ostvariti primjenom liste zabranjenih kategorija ili imena domena, ili primjenom liste dozvoljenih kategorija ili imena domena, ovisno o apetitu subjekta za rizik te poslovnim potrebama.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

5.11. smanjiti potencijalnu površinu izloženosti subjekta kibernetičkim napadima:

− identifikacijom i ograničavanjem servisa koji su javno izloženi/dostupni putem Interneta (primjerice web-stranice, e-pošta, VPN ulazne točke, nadzorne konzole, RDP ili SSH servisi za udaljenu administraciju, SFTP, SMB i sličnih servisa za razmjenu datoteka i dr.)

− smanjenjem broja administratorskih i visoko privilegiranih korisničkih računa

− blokiranjem pristupa javno dostupnim servisima s TOR mreže i poznatih anonimizacijskih VPN servisa

− ograničavanjem izravnog pristupa Internet poslužiteljima, ukoliko je moguće.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

Mjere 5.1 do 5.11. primjenjuju se u cijelosti na IT dio mrežnih i informacijskih sustava subjekta. Na OT sustave primjenjuju se gornje točke 5.1., 5.2., 5.3., 5.5., 5.6., 5.7., 5.8., 5.9., 5.10. i 5.11., dok se gornja točka 5.4. primjenjuje, ovisno o procjeni rizika implementacije takve mjere na OT sustave.

Raspodjela podskupova mjere po razinama mjera upravljanja kibernetičkim sigurnosnim rizicima iz članka 42. ove Uredbe:

Mjera 6 – Osiguravanje kibernetičke sigurnosti mreže

Cilj: Cilj mjere je osigurati cjelovitost, povjerljivost i dostupnost mrežnih resursa subjekta.

Subjekt će u okviru provedbe ove mjere provoditi sljedeće podskupove mjera:

6.1. definirati i uspostaviti, sukladno svojoj mrežnoj arhitekturi i izloženosti javnim mrežama, obavezne mjere zaštite mreže te pritom razmotriti adekvatne mjere poput korištenje vatrozida, virtualne privatne mreže (VPN), mrežnog pristupa uz stalnu primjenu principa nultog povjerenja ( zero trust – „svi su nepouzdani”), sigurnih mrežnih protokola za bežičnu mrežu, odvajanje mreža različitih namjena, sukladno kritičnosti podataka ili prioritetu pojedinih mrežnih segmenata (primjerice uredska mreža, nadzorna mreža, produkcija, proizvodnja, gosti itd.).

6.2. osigurati da obavezne mjere zaštite mreže osiguravaju zaštićeni prijenos kritičnih podataka te autorizaciju i kontrolu korištenja mreža i mrežno dostupnih resursa. Primjerice, subjekt će osigurati korištenje sigurnih inačica protokola kao što su HTTPS i sFTP, pristup mreži samo za ovlaštene pojedince ili uređaje (autorizacija može biti utemeljena na provjerenom digitalnom identitetu pojedinca, provjerenom digitalnom identitetu uređaja, oboje ili gdje drugačije nije moguće lokacijom spajanja ukoliko se provodi autorizacija pristupa lokaciji, primjerice čuvani uredski prostor ili podatkovni centar).

6.3. svake godine provesti sveobuhvatan pregled svih definiranih mjera zaštite mreže kako bi se osiguralo da su one i dalje učinkovite i relevantne. Ovaj pregled uključuje procjenu trenutnih kibernetičkih prijetnji, ranjivosti i promjena u poslovnom okruženju koje bi mogle utjecati na uspostavljene mjere zaštite. Na temelju rezultata pregleda, provodi se ažuriranje tehničkih mjera zaštite kako bi se odgovorilo na nove izazove i rizike, osiguravajući stalnu usklađenost s najboljim praksama i zahtjevima. Svi rezultati i promjene koje se predlažu moraju se dokumentirati i odobriti od strane osoba odgovornih za provedbu mjera.

6.4. implementirati mehanizme praćenja odlaznog i dolaznog mrežnog prometa u svrhu smanjenja rizika od kibernetičkog napada te definirati metode filtriranja nepoželjnog mrežnog prometa u smislu prepoznavanja potencijalnih indikatora kompromitacije. Ovo uključuje postavljanje odgovarajućih alata za praćenje i analizu mrežnog prometa koji omogućuju identifikaciju i automatsko blokiranje potencijalno opasnih aktivnosti. Također, subjekt mora definirati i primijeniti metode filtriranja nepoželjnog mrežnog prometa, poput upotrebe sustava za otkrivanje i sprječavanje napada (IDS/IPS) i drugih sigurnosnih rješenja. Svi implementirani mehanizmi i metode filtriranja moraju biti redovito revidirani i ažurirani kako bi se održala visoka razina sigurnosti mreže. Ova mjera ne utječe na zabranu nadzora elektroničkih komunikacija reguliranu zakonom koji uređuje elektroničke komunikacije.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

6.5. implementirati tehničke mehanizme detekcije anomalija u mreži temeljene ili na odstupanju od tipičnog mrežnog prometa ili na odstupanju od interno definiranih pravila.

* kontrole podmjera se ocjenjuju samo u slučaju kada je podmjera dobrovoljno uključena sukladno lokalnoj procjeni rizika

Mjere 6.1. do 6.5. primjenjuju se u cijelosti na IT dio mrežnih i informacijskih sustava subjekta. Na OT sustave subjekta primjenjuju se u cijelosti mjere pod gornjim točkama 6.1., 6.3. i 6.5.

Na OT dio mrežnih i informacijskih sustava subjekta je primjenjiva i gornja točka 6.2., ovisno o dodatnoj procjeni kritičnosti podataka subjekta u okruženju OT sustava, dok je gornja točka 6.4. primjenjiva, ovisno o procjeni mogućeg negativnog učinka automatskog blokiranja potencijalno opasnih aktivnosti na operativni učinak i sigurnost OT sustava.

Raspodjela podskupova mjere po razinama mjera upravljanja kibernetičkim sigurnosnim rizicima iz članka 42. ove Uredbe:

Mjera 7 – Kontrola fizičkog i logičkog pristupa mrežnim i informacijskim sustavima

Cilj: Cilj mjere je uspostaviti sveobuhvatan sustav politika i procedura za kontrolu fizičkog i logičkog pristupa mrežnim i informacijskim sustavima subjekta, kako bi se spriječio neovlašteni pristup programskoj i sklopovskoj imovini te podacima subjekta.

Subjekt će u okviru provedbe ove mjere provoditi sljedeće podskupove mjera :

7.1. razviti, dokumentirati održavati i implementirati pravila kontrole pristupa mrežnom i informacijskom sustavu. Kontrola pristupa se odnosi na sve osobe i vanjske sustave koji pristupaju mrežnim i informacijskim sustavima subjekta. Politika i pravila kontrole pristupa trebaju obuhvaćati razradu kontrole pristupa za:

− zaposlenike i osoblje drugih subjekata koji predstavljaju izravne dobavljače ili pružatelje usluga

− procese u okviru mrežnog i informacijskog sustava subjekta, kojima je omogućeno povezivanje s nekim drugim procesom izvan mrežnog i informacijskog sustava subjekta.

Subjekt ne mora dokumentirati pravila kontrole pristupa ako koristi isključivo usluge računalstva u oblaku, ali i u tom slučaju mora osigurati upravljanje životnim ciklusom digitalnih identiteta svih svojih korisnika sukladno mjeri 4.6.