{"text_format":"2","workbook":"xls","n_sheets":1,"sheets":["EConReport"],"not_rendered":{"charts":0,"images":0,"macros":0,"external_links":0,"defined_names":0,"comments":0,"pivot_tables":0},"unopened":[],"bounds":{"document_bytes":16777216,"sheet_cells":100000,"run_cost":"one","rows_first":2000,"rows_last":500,"rows_between":2000,"halvings":0,"cell_chars":16384,"cell_head_chars":4096},"cells_cut":1,"cells_raw":0,"read":"whole","date_system":"1900","formulas":"cached_only"}

{"sheet":"EConReport","index":0,"n_rows":10,"n_cols":6,"rows_kept":10,"cut":false,"hidden":false,"merged":[[0,0,0,5]],"flags":["formulas_cached_only"]}
["Izvješće o provedenom savjetovanju - Nacrt Pravila sigurnosne certifikacije za reviziju kibernetičke sigurnosti"]
[]
["Redni broj","Korisnik","Isječak","Komentar","Status odgovora\n","Odgovor"]
[1,"SLAVEN TOMIĆ","Pravila sigurnosne certifikacije za reviziju kibernetičke sigurnosti","Da li je usluga provedbe obvezne revizije kibernetičke sigurnosti kod nekog ključnog subjekta \"upravljana sigurnosna usluga\"? Ne radi se o : stalnom upravljanju sigurnosnim alatima (SIEM, SOC,EDR, itd...), ne obavlja se 24/7 nadzor, ne podrazumijeva stalan pristup (nadzor) sustavima ključnog subjekta, ne implementiraju se ili održavaju tehničke sigurnosne mjere, itd....??","Primljeno na znanje","Revizija kibernetičke sigurnosti je upravljana sigurnosna usluga. Uredba (EU) 2025/37 Europskog parlamenta dopunjuje Uredbu (EU) 2019/881 na način da u članku 2. Uredbe dodaje točku 14.a koja glasi: \" 'upravljana sigurnosna usluga’ znači usluga koja se pruža trećoj strani te se sastoji od obavljanja aktivnosti povezanih s upravljanjem kibersigurnosnim rizicima, kao što su rješavanje incidenata, penetracijska testiranja, revizije sigurnosti i savjetovanje, uključujući stručno savjetovanje, povezano s tehničkom potporom, ili pružanje pomoći u obavljanju tih aktivnosti;”"]
[2,"SLAVEN TOMIĆ","Pravila sigurnosne certifikacije za reviziju kibernetičke sigurnosti,\n2Organizacijski i stručni zahtjevi","Da li tvrtka koja želi biti certificirana za provođenje obvezne (zakonske) revizija kibernetičke sigurnosti ključnih subjekata, mora i sama biti kategorizirana kao ključni ili važni subjekt?","Primljeno na znanje","Tvrtka koja želi biti certificirana za provođenje revizije kibernetičke sigurnosti, a sukladno ovim Pravilima, ne mora biti kategorizirana kao ključni ili važni subjekt. Odnosno svatko tko zadovoljava propisane uvjete iz Pravila (samim time ZKS-a i UKS-a) se može prijaviti i biti certificiran za provođenje revizija kibernetičke sigurnosti sukladno čl. 31., 32., 33. i 34. ZKS-a, neovisno o kategorizaciji. Važno za napomenuti je da Uredba o kibernetičkoj sigurnosti u Prilogu II. Mjere upravljanja kibernetičkim sigurnosnim rizicima, u mjeri 8.3 alineja 2 propisuje sklapanje ugovora o pružanju upravljanih sigurnosnih usluga koji se moraju sklapati isključivo sa pružateljima takvih usluga koji su kategorizirani kao ključni ili važni subjekti sukladno Zakonu. Navedena mjera je obvezujuća za sve tri razine (osnovna, srednja i napredna) sukladno čl 42. i 44. UKS-a. Napominjemo kako ZSIS nije zadužen za poslove kategorizacije."]
[3,"NATALIJA PARLOV","2Organizacijski i stručni zahtjevi,\n2.1Organizacijski zahtjevi",{"$cut":{"chars":16665,"head":"Originalni tekst:\nOrganizacijski zahtjevi za PRUS-ove koji provode revizije kibernetičke sigurnosti osiguravaju uspostavljen proces upravljane usluge revizije kibernetičke sigurnosti, stabilnu i učinkovitu unutarnju strukturu, neovisnost u radu te dosljedno upravljanje kvalitetom procesa. PRUS-ovi moraju uspostaviti proces revizije kao svoju upravljanu sigurnosnu uslugu, te jasno definiranu organizacijsku strukturu s precizno dodijeljenim odgovornostima i ovlastima unutar revizorskog tima. Svaki član tima mora imati jasno definirane uloge u procesu revizije, od planiranja do provedbe i izvještavanja. Osim toga, PRUS je dužan dokumentirati te uloge u obliku internog pravilnika ili organizacijske sheme koji se redovito ažuriraju, a proces revizije mora biti opisan procedurama i ostalim dokumentiranim informacijama. \n\nPrijedlog promjene:\nOrganizacijski zahtjevi za PRUS-ove koji provode revizije kibernetičke sigurnosti osiguravaju uspostavljen proces upravljane sigurnosne usluge revizije kibernetičke sigurnosti, stabilnu i učinkovitu unutarnju strukturu, neovisnost u radu te dosljedno upravljanje kvalitetom procesa te informacijskom i kibernetičkom sigurnošću. PRUS-ovi moraju uspostaviti proces revizije kao svoju upravljanu sigurnosnu uslugu, te jasno definiranu organizacijsku strukturu s precizno dodijeljenim odgovornostima i ovlastima unutar revizorskog tima, kao i načinima ophođenja s informacijama o subjektu revizije tijekom cijelog njenog procesa. Svaki član tima mora imati jasno definirane uloge u procesu revizije, od planiranja do provedbe i izvještavanja. Osim toga, PRUS je dužan dokumentirati te uloge u obliku internog pravilnika ili organizacijske sheme koji se redovito ažuriraju, a proces revizije mora biti opisan procedurama i ostalim dokumentiranim informacijama. \n\nObrazloženje: \nRevizije spadaju pod upravljane sigurnosne usluge te se zbog zadržavanja jasnoće predlaže dodavanje riječi \"sigurnosne\".\nPredlaže se i jasnije isticanje obveza vezanih uz informacijsku sigurnost, osobito tijekom cjelokupnog procesa provedbe revizije odnosno od njenog iniciranja, dodjele tima revizora, provedbe, pa sve do konačnog izvještavanja i arhiviranja svih podataka o subjektima revizije kojima će raspolagati.\n.\n.\n.\nOriginalni tekst:\nSustav upravljanja kvalitetom uspostavljenog procesa revizije PRUS-a ključan je za održavanje visokih standarda u pružanju sigurnosnih usluga. PRUS-ovi su dužni implementirati formalni sustav upravljanja kvalitetom koji minimalno uključuje redovite interne procjene, identifikaciju slabosti i/ili nedostataka te mjere za poboljšanje procesa. Ove procjene moraju biti dokumentirane u formi revizijskih izvješća, a preporučuje se i vođenje registra neusklađenosti te predloženih korektivnih mjera. ZSIS u okviru nadzora nad PRUS-om provodi provjeru postojanja i primjene navedenih sustava. Pregledom relevantne dokumentacije, provođenjem intervjua s ključnim osobljem te procjenom učinkovitosti primjene korektivnih mjera, ZSIS utvrđuje u kojoj mjeri PRUS osigurava provedbu propisanih procesa, uspostavlja mehanizme sustavnog unapređenja te održava usklađenost s primjenjivim referentnim standardima.\n\nPrijedlog promjene:\nSustav upravljanja kvalitetom i informacijskom odnosno kibernetičkom sigurnošću uspostavljenog procesa revizije PRUS-a ključan je za održavanje visokih standarda u pružanju sigurnosnih usluga. PRUS-ovi su dužni implementirati formalni sustav upravljanja kvalitetom i informacijskom sigurnošću koji minimalno uključuje redovite interne procjene, identifikaciju slabosti i/ili nedostataka te mjere za poboljšanje procesa.\nVezano uz sustav upravljanja kvalitetom, procjene moraju biti dokumentirane u formi revizijskih izvješća, a preporučuje se i vođenje registra neusklađenosti te predloženih korektivnih mjera. \nVezano uz upravljanje informacijskom i kibernetičkom sigurnošću, PRUS-ovi su dužni implementirati napredne mjere kibernetičke sigurnosti, u skladu sa svim obvezama važnih ili ključnih subjekata koje proizlaze iz njihove kategorizacije s obzirom na pružanje upravljanih sigurnosnih usluga.\nZSIS u okvi"}},"Prihvaćen","Primjedbe prihvaćene."]
[4,"SLAVEN TOMIĆ","2Organizacijski i stručni zahtjevi,\n2.1Organizacijski zahtjevi","ISO/IEC 17021-1 nije norma po kojoj se organizacija certificira, već je to norma za akreditaciju tijela koja provode certifikaciju sustava upravljanja (npr. ISO 9001, ISO 14001, ISO 27001 itd.). Po toj normi su akreditirane certifikacijske kuće, ali ne tvrtke koje provode IT revizije ili revizije informacijske i kibernetičke sigurnosti.\nSukladno analizi normativnih zahtjeva, ističemo da ISO/IEC 17021-1 (\"Procjena sukladnosti – Zahtjevi za tijela koja provode audit i certifikaciju sustava upravljanja\") nije primjenjiva kao obvezujući standard za organizacije koje će provoditi revizije kibernetičke sigurnosti prema Zakonu o kibernetičkoj sigurnosti, iz sljedećih\nrazloga:\n\n1. Svrha norme ISO/IEC 17021-1\nISO/IEC 17021-1 odnosi se isključivo na tijela koja provode certifikaciju sustava upravljanja (npr. ISO 9001, ISO 27001 itd.) te definira zahtjeve za njihovu kompetentnost, dosljednost i nepristranost.\nOva norma nije namijenjena organizacijama koje provode stručne revizije ili inspekcije koje ne rezultiraju certifikatom sustava upravljanja, već koje, poput revizije kibernetičke sigurnosti, imaju savjetodavni, analitički ili izvještajni karakter.\n\n2. Revizija ≠ Certifikacija sustava upravljanja. Revizije u području kibernetičke sigurnosti koje se traže Zakonom o kibernetičkoj sigurnosti nisu certifikacijske revizije u smislu ISO normi (npr. ISO 27001), već su stručne procjene stanja sigurnosti informacijskih sustava, temeljem zakonskih i tehničkih zahtjeva, s ciljem unaprjeđenja sigurnosti – ne izdavanja certifikata.\n\n3. Alternativni standardi i okviri\nZa potrebe provjere kompetencija organizacija koje obavljaju revizije kibernetičke sigurnosti, primjereniji su drugi standardi i kriteriji,\npoput: ISO/IEC 27001 (za organizaciju) te stručnost i certifikati osoba koje provode reviziju (ISO/IEC 27005 Risk Manager, ISO/IEC 27035 Incident Manager, NIS 2 Directive Implementer, Cybersecurity Manager, ISO/IEC 27001 Lead Auditor itd.)\n\nZaključno, zahtijevanje akreditacije prema ISO/IEC 17021-1 za subjekte koji provode revizije kibernetičke sigurnosti nije opravdano ni tehnički ni normativno, te bi takav uvjet neopravdano ograničio broj stručnih subjekata i povećao trošak provedbe, bez stvarne dodane vrijednosti za kibernetičku sigurnost pravnih subjekata koji će biti predmet revizije.","Nije prihvaćen","Cilj ovih Pravila je uskladiti primjenu NIS2 direktive sa drugim zemljama članicama, odnosno sa nacrtima potencijalnih budućih Europskih shema za upravljane sigurnosne usluge. Kada pogledate primjere iz EU vidljivi su zahtjevi za posjedovanjem ISO/IEC 17021-1 za revizore kibernetičke sigurnosti. Cilj Pravila je maksimalno približiti procese trenutnim nacrtima EU shema da prijelaz, kada se EU shema donese, bude što lakši. Pravila i dalje ne zahtjevaju da PRUS-evi budu certificirani, suklando 17021-1 s danom stupanja već je definiran period od tri godine kako bi svi zainteresirani PRUS-evi mogli pravovremeno zadovoljiti sve uvjete. Više informacija dostupno je na stranicama Europske agencije za kibernetičku sigurnost (ENISA) - 25. lipnja 2025. godine objavljen je poziv za dostavu kandidata za razvoj europske sheme za upravljane sigurnosne usluge - shema spomenuta u čl. 32. stavak 2. alineja 2. Zakona o kibernetičkoj sigurnosti."]
[5,"NATALIJA PARLOV","2Organizacijski i stručni zahtjevi,\n2.2Stručni zahtjevi","Originalni tekst:\nOsim spomenutoga, mnoga akreditirana tijela i edukacijski centri nude tečajeve za obuku članova revizorskog tima temeljenih na ISO 19011 (poput \"Internal Auditor Training – Based on ISO 19011\" ili \"ISO 19011 Guidelines Auditor Training\"). Potrebno je da članovi revizorskog tima PRUS-a imaju potvrdu koja potvrđuje da su osposobljeni za provođenje revizija u skladu s načelima ISO 19011 - navedeno nije certifikat ISO 19011, već dokaz da je revizor educiran prema smjernicama ISO 19011. \n\nPrijedlog promjene:\nOsim spomenutoga, mnoga akreditirana tijela i edukacijski centri nude tečajeve za obuku članova revizorskog tima temeljenih na ISO 19011 (poput \"ISO/IEC 27001:2022 Lead Auditor Training\", \"Internal Auditor Training – Based on ISO 19011\" ili \"ISO 19011 Guidelines Auditor Training\"). \nPotrebno je da članovi revizorskog tima PRUS-a imaju potvrdu koja potvrđuje da su osposobljeni za provođenje revizija u skladu s načelima ISO 19011, pri čemu ista ne predstavlja certifikat ISO 19011, već dokaz da je revizor educiran o načinu provedbe revizija u skladu sa smjernicama propisanim standardom ISO 19011. \n\nObrazloženje:\nDodan \"ISO/IEC 27001:2022 Lead Auditor Training\" s obzirom da je isti utemeljen na ISO 19011 te po svom opsegu i prirodi odgovara najvećem broju propisanih kontrola u Katalogu kontrola kao glavnom kriteriju, a koje su predmetom provedbe revizija kibernetičke sigurnosti. \nRedefinirana rečenica.","Prihvaćen","Primjedbe prihvaćane"]
[6,"SLAVEN TOMIĆ","2Organizacijski i stručni zahtjevi,\n2.2Stručni zahtjevi","Da li je točno da članovi revizorskog tima, po pitanju formalnog obrazovanja, moraju imati minimalno višu stručnu spremu (6. st.) iz relevantnog područja?","Primljeno na znanje","Točno je. U poglavlju 2.2 stručni zahtjevi: Članovi revizorskog tima moraju imati završeno visoko obrazovanje (razina 6. sv ili 6. st HKO-a i razina 7.1. sv ili 7.1. st HKO-a) iz relevantnog područja. Relevantna područja uključuju, ali nisu ograničena na: računarstvo, informacijske tehnologije, informacijsku sigurnost, studije sigurnosti, pravo i upravljanje s fokusom na sigurnosne aspekte, te druga područja ako sadrže značajnu komponentu iz područja kibernetičke sigurnosti ili revizija informacijskih sustava."]
[7,"NATALIJA PARLOV","2Organizacijski i stručni zahtjevi,\n2.3Tehničko-sigurnosni zahtjevi","Originalni tekst:\nZa ispunjavanje prethodno navedenog zahtjeva PRUS mora provesti proces samoprocjene kibernetičke sigurnosti sukladno Smjernicama za provedbu samoprocjene kibernetičke sigurnosti iz čl. 57 Uredbe. Proces samoprocjene potrebno je provesti nad informacijskim sustavom koji se koristi/će se koristiti za obradu i pohranu podataka vezanih uz reviziju kibernetičke sigurnosti. U slučaju da je navedeni informacijski sustav povezan sa ostalim sustavima PRUS-a, potrebno je imati dokumentaciju koja opisuje vezu između sustava na fizičkoj i logičkoj razini kao jasnu liniju razgraničenja – veza kontrolirana putem POL-007: Uspostava obaveznih mjera zaštite mreže, odnosno kroz NIST SP 800-53 kontrola AC-4 Information flow enforcement. \nU postupku certifikacije službene osobe ZSIS-a provjeravaju usklađenost informacijskog sustava s prethodno navedenim zahtjevima.\n\nPrijedlog promjene:\nZa ispunjavanje prethodno navedenog zahtjeva PRUS mora provesti proces samoprocjene kibernetičke sigurnosti sukladno Smjernicama za provedbu samoprocjene kibernetičke sigurnosti iz članka 57. Uredbe, obuhvaćajući cjelokupno poslovanje PRUS-a s obzirom na pružanje upravljane sigurnosne usluge revizije kibernetičke sigurnosti, uključujući sve informacijske sustave, procese i organizacijske mjere koji mogu utjecati na sigurnost, povjerljivost i integritet podataka o revizijama.\nSamoprocjena se provodi nad svim relevantnim informacijskim sustavima i resursima PRUS-a koji sudjeluju u pružanju njegovih upravljanih odnosno upravljanih sigurnosnih usluga, pri čemu je obavezno zasebno procijeniti i onaj informacijski sustav koji se koristi za obradu i pohranu podataka vezanih uz reviziju. U slučaju da je informacijski sustav korišten u pružanju usluge revizije povezan sa ostalim sustavima PRUS-a, potrebno je imati dokumentaciju koja opisuje vezu između sustava na fizičkoj i logičkoj razini kao jasnu liniju razgraničenja - veza kontrolirana putem POL-007: Uspostava obaveznih mjera zaštite mreže, odnosno kroz NIST SP 800-53 kontrola AC-4 Information flow enforcement.\nU postupku certifikacije službene osobe ZSIS-a provjeravaju usklađenost sustava s propisanom razinom mjera i drugim zahtjevima.\n\nObrazloženje:\nTrenutni tekst točke 2.3 ograničava obvezu PRUS-a na provođenje samoprocjene isključivo nad jednim informacijskim sustavom odnosno onim koji se koristi za obradu i pohranu podataka o provedenim i planiranim revizijama kibernetičke sigurnosti.\nOvakvo ograničenje sužava primjenu članka 57. Uredbe o kibernetičkoj sigurnosti (NN 135/2024) i Zakona o kibernetičkoj sigurnosti (NN 14/2024), koji propisuju da se samoprocjena provodi nad cjelokupnim mjerama upravljanja kibernetičkim sigurnosnim rizicima definiranima u Prilogu II Uredbe, ne samo nad jednim sustavom. \nPRUS-evi u opsegu svog poslovanja mogu pružati i upravljane i upravljane sigurnosne usluge te slijedom usluga koje pružaju kliljentima kao treće strane mogu biti obveznici provedbe Samoprocjene ili Revizije, nevezano uz prijavu za revizora u kontekstu sigurnosne certifikacije pri čemu je važna napredna razina mjera, što je već regulirano u Pravilniku.","Primljeno na znanje","Tvrtka koja želi biti certificirana za provođenje revizije kibernetičke sigurnosti, a sukladno ovim Pravilima, ne mora biti kategorizirana kao ključni ili važni subjekt. Odnosno, svatko tko zadovoljava propisane uvjete iz Pravila (samim time ZKS-a i UKS-a) se može prijaviti i biti certificiran za provođenje revizija kibernetičke sigurnosti sukladno čl. 31., 32., 33. i 34. ZKS-a, neovisno o kategorizaciji. Nadalje, postupak samoprocjene je propisan i uređen ZKS-om i Uredbom kao i obveznici provedbe samoprocjene te se ovim  Pravilima ne može nametati obveza provedbe samoprocjene subjektima za koje ta obveza nije propisana ZKS-om i Uredbom. \nKonačno, navedeni uvjet je izmijenjen sukladno prethodno navedenom, a propisuje se u okviru ovlasti dane ZSIS-u člankom 33. ZKS-a te u cilju ubrzanja samog postupka certifikacije i moguće pripreme subjekta za buduću moguću kategorizaciju odnosno obveze koje će proizaći iz kategorizacije."]