Revizija kibernetičke sigurnosti, tko je provodi i kako teče

Reviziju provode pružatelji upravljanih sigurnosnih usluga s nacionalnim sigurnosnim certifikatom, a za državna tijela Zavod za sigurnost informacijskih sustava. Riskoria taj certifikat nema i reviziju ne provodi.

Trinaest mjera i 99 podmjera Zakon o kibernetičkoj sigurnosti

PRAVNI OKVIRZKS NN 14/2024, ČL. 32. DO 35.UREDBA NN 135/2024

Tko smije provoditi reviziju i kada

Revizor mora imati certifikat, a subjekt mora znati u kojem roku i po čijem zahtjevu.

Reviziju kibernetičke sigurnosti provode revizori kibernetičke sigurnosti, a to su pružatelji upravljanih sigurnosnih usluga kojima je izdan nacionalni sigurnosni certifikat za reviziju ili odgovarajući certifikat prema mjerodavnoj europskoj shemi certifikacije, prema članku 32. stavku 2. Zakona. Za tijela državne uprave i druga državna tijela revizor je Zavod za sigurnost informacijskih sustava, prema članku 32. stavku 3.

Riskoria taj certifikat nema i reviziju ne provodi. Pripremamo Vas za nju i pomažemo Vam pronaći revizora iz javnog Registra koji vodi Zavod za sigurnost informacijskih sustava, a razdvajanje tih dviju uloga sprječava sukob interesa.

Ključni subjekti dužni su reviziju provoditi najmanje jednom u dvije godine, prema članku 34. stavku 1. Zakona, i prije toga kad je zatraži nadležno tijelo. Važni subjekti provode samoprocjenu svake dvije godine, prema članku 35. stavku 1., a reviziju kad je nadležno tijelo zatraži. Rokovi počinju teći prvog radnog dana nakon isteka roka za provedbu mjera.

Kako teče revizija

Šest koraka, od najave do naknadne provjere popravaka.

Najava i dogovor opsega

Reviziju Zavodu za sigurnost informacijskih sustava najavljuje revizor, najmanje deset radnih dana prije termina, i s Vama dogovara datume, mjesto i predmet. Najava je njegova obveza, ne Vaša.

10 RADNIH DANAOPSEG I TERMIN

Plan i program revizije

Revizor ih izrađuje prije početka, usklađene s cijelim opsegom Kataloga kontrola i s pragovima iz Okvira za evaluaciju. Plan se tijekom revizije nadograđuje ovisno o zatečenom stanju.

KATALOG KONTROLAOKVIR ZA EVALUACIJU

Pregled dokumentacije i zapisa

Revizor traži dokumente i zapise koji uz njih idu, obično već prije dolaska. Dokument bez zapisa o primjeni ovdje se vidi prvi.

DOKUMENTIZAPISI O PRIMJENI

Razgovori s vlasnicima mjera

Revizor razgovara s ljudima, a ne samo s papirom, i pitanja postavlja vlasniku mjere, a ne onome tko je dokument napisao.

VLASNICI MJERAUPRAVA

Provjera dokaza na uzorku

Ono što je rečeno i napisano provjerava se na uzorku zapisa. Područje u kojem se nađe problem obično se produbljuje.

UZORAK ZAPISAPRODUBLJIVANJE

Nalaz, rokovi i naknadna provjera

Nesukladnosti dobivaju rok za popravak i naknadnu provjeru, a izvješće o reviziji ide nadležnom tijelu.

NESUKLADNOSTIROK ZA POPRAVAKIZVJEŠĆE

Kako revizor ocjenjuje

Dokumentacija i provedba ocjenjuju se zasebno, pa dobra dokumentacija ne spašava lošu provedbu, ni obrnuto.

OCJENADOKUMENTACIJAPROVEDBA

1Ne postoji ili nije formalno usvojena, ili provoditelji za nju ne znajuProces nije strukturiran, radi se od slučaja do slučaja

2Osnovna dokumentacija, nije redovito ažurirana, pokriva samo osnovne elementeProces je neformalan i provodi se povremeno

3Formalno odobrena i ažurirana, s definiranim iznimkamaProces je formaliziran, dokazi postoje za većinu aktivnosti, iznimke ispod 10 posto

4Potpuna i ažurirana, obuhvaća sve ključne elemente, iznimke ispod 3 postoPotpuno provedeno, uz praćenje pokazatelja i izvještavanje, iznimke ispod 5 posto

5U potpunosti usklađena i kontinuirano se poboljšava, iznimke ispod 0,5 postoNajviša razina, napredno praćenje i redovita poboljšanja, iznimke ispod 1 posto

Ocjena kontrole prosjek je ocjene dokumentacije i ocjene provedbe. Ocjena mjere je aritmetička sredina ocjena njezinih podmjera. Podmjera prolazi samo ako je zadovoljen i pojedinačni prag svake kontrole i ukupni prag podmjere, a dio podmjera koristi strogi ukupni prag, gdje prosjek jednak vrijednosti praga ne prolazi.

Što se najčešće ne prizna

Tri obrasca zbog kojih dokazi najčešće padnu.

01Politika bez zapisa o primjeniDokument postoji i uredan je, ali nitko ne može pokazati da se po njemu radilo. Ocjena dokumentacije je visoka, ocjena provedbe niska, a prosjek pada ispod praga.

02Mjera bez vlasnikaAko nitko nije poimence zadužen, mjera u praksi ne postoji. Prvo pitanje revizora najčešće je tko je za ovo odgovoran, a šutnja je odgovor sama po sebi.

03Zapisi bez datumaBez datuma se ne može utvrditi je li provjera obavljena u traženom ciklusu. Godišnja obveza koja nema datum jednaka je obvezi koja nije obavljena.

Česta pitanja

Pitanja o samom postupku, ne o pripremi za njega.

Koliko revizija traje?

Ovisno o veličini, od nekoliko dana do dva tjedna rada na terenu, uz pregled dokumentacije prije dolaska i izradu nalaza poslije.

Što se događa s nalazom?

Nesukladnosti dobivaju rok za popravak i naknadnu provjeru. Izvješće o reviziji dostavljate nadležnom tijelu bez odgode, najkasnije osam dana od primitka, a odmah po primitku ako je revizija provedena na zahtjev tog tijela.

Je li nalaz kazna?

Nije. Nalaz sam po sebi nije kazna, ali neriješena nesukladnost postaje osnova za postupak nadležnog tijela.

Tko snosi trošak revizije?

Subjekt kod kojeg se revizija provodi, prema članku 34. Zakona.

Povezane stranice

Što revizor ocjenjuje, tko je obveznik i kako se subjekt priprema, objašnjeno je na ovim stranicama.

Zakon o kibernetičkoj sigurnosti, obveze i rokovi Trinaest mjera i 99 podmjera Priprema za reviziju Sektori i nadležna tijela Važni subjekti, samoprocjena umjesto revizije Usklađenost sa Zakonom

Reviziju provodi certificirani revizor.

Kako se subjekt za nju priprema, korak po korak, piše na stranici o pripremi za reviziju.

Priprema za revizijuINFO@RISKORIA.EU · +385 97 737 1345