Do proljeća 2026. revizija kibernetičke sigurnosti bila je obveza na papiru. Sada više nije.

Nacionalni centar za kibernetičku sigurnost objavio je 10. travnja 2026. da je Zavod za sigurnost informacijskih sustava izdao prve nacionalne sigurnosne certifikate pružateljima upravljanih sigurnosnih usluga te da su upisani u javno dostupan registar. Time je pitanje prestalo biti hoće li revizije biti i postalo kada, s kim i što će tražiti.

Ovaj tekst opisuje cijeli put: tko mora na reviziju i u kojem roku, tko je smije provesti, što joj prethodi, kako se ocjenjuje, kako revizija teče, što mora pisati u izvješću, koji se dokazi traže i gdje organizacije najčešće padnu. Na kraju stoji plan pripreme za šest mjeseci.

Pisan je za osobe odgovorne za usklađenost u ključnim i važnim subjektima, za informatičke voditelje i za uprave koje potpisuju izjave. Ne zamjenjuje pravni savjet, ali svaka tvrdnja u njemu ima broj članka uz sebe.

Tko mora na reviziju i u kojem roku

Zakon razlikuje dvije skupine obveznika i prema njima postavlja različit teret dokazivanja.

Ključni subjekti provode reviziju kibernetičke sigurnosti najmanje jednom u dvije godine, prema članku 34. stavku 1. Zakona. Nadležno tijelo može tražiti reviziju i prije isteka tog roka, prema stavku 2. istog članka.

Važni subjekti reviziju provode samo kada to zatraži nadležno tijelo, prema članku 34. stavku 4. To ne znači da su bez obveze dokazivanja: važni subjekti provode samoprocjenu, također najmanje jednom u dvije godine, prema članku 35. stavku 1. Zakona i članku 51. stavku 2. Uredbe.

Tri stvari koje se u praksi previđaju:

• Trošak snosi subjekt. Reviziju plaća onaj tko je revidiran, prema članku 34. stavku 7. Zakona. To je stavka koja mora ući u proračun, a ne trošak koji netko drugi pokriva.
• Izvješće ne ostaje kod Vas. Ključni i važni subjekti dostavljaju izvješće o reviziji nadležnom tijelu bez odgode, a najkasnije u roku od osam dana od dana primitka, prema članku 34. stavku 5.
• Ako je revizija provedena na zahtjev nadležnog tijela, izvješće se dostavlja odmah po primitku, prema stavku 6. Nema roka od osam dana.

Zakon govori o najmanje jednom u dvije godine i taj rok ne veže uz kalendarsku ni poslovnu godinu. Uz to, članak 34. stavak 3. dopušta da se revizija provede kao zaseban postupak ili u okviru revizije poslovanja, odnosno druge provjere sukladnosti koja se provodi po posebnim propisima. Za organizacije koje ionako prolaze godišnju reviziju to je stavka na kojoj se štedi.

Tko je smije provesti

Reviziju smije provesti samo pružatelj upravljanih sigurnosnih usluga koji ima nacionalni sigurnosni certifikat za reviziju kibernetičke sigurnosti. Zavod vodi javno dostupan registar takvih pružatelja, prema članku 33. stavku 4. Zakona.

Registar nije puki popis imena. Sadrži identifikacijski broj certifikata, naziv i OIB pružatelja, datum izdavanja i datum isteka certifikata, status i kontakt podatke. Status može biti aktivan, suspendiran ili opozvan, a Zavod promjene evidentira u roku od tri radna dana od nastanka promjene i jednom godišnje pregledava cijeli registar.

Odatle slijedi jedan vrlo praktičan savjet. Prije potpisa ugovora provjerite status u registru, a ne samo prisutnost imena u njemu. Certifikat vrijedi tri godine, uz redovne nadzore nakon dvanaest i dvadeset četiri mjeseca, a obnova se traži najmanje šest mjeseci prije isteka. Pružatelj čiji je certifikat suspendiran ili istekao ne može Vam dati izvješće koje će nadležno tijelo prihvatiti.

Još jedan podatak koji pomaže pri odabiru. Pružatelji su, istekom tri godine od stupanja Pravila na snagu, obvezni imati uspostavljene sustave prema normama ISO 9001:2015 i ISO/IEC 17021-1:2015. Pitanje gdje su u tom procesu posve je legitimno i o ozbiljnosti pristupa govori jednako mnogo kao i pitanje o sastavu revizorskog tima. Tražite li ponude od više pružatelja, usporedite ih i po tome, a ne samo po cijeni i broju dana.

Sedam načela i jedno pravilo koje mijenja izbor partnera

Certifikacijska tijela rade prema normi ISO/IEC 17021-1, koja u četvrtom poglavlju postavlja sedam načela: nepristranost, kompetentnost, odgovornost, otvorenost, povjerljivost, reagiranje na pritužbe i pristup temeljen na riziku.

Prvo od njih, nepristranost, ima izravnu posljedicu za Vas: onaj tko Vas je pripremao za reviziju ne smije Vas revidirati. Savjetnik koji je pisao Vaše politike, postavljao registar rizika i vodio analizu nedostataka ne može poslije ocjenjivati vlastiti rad. To nije formalnost nego temelj vjerodostojnosti izvješća.

U praksi to znači da ćete imati dva partnera, jednog za pripremu i drugog za reviziju, i da je to uredno stanje, a ne propust u planiranju. Riskoria radi na strani pripreme.

Uz to, revizor mora imati najmanje pet godina iskustva u informacijskoj i kibernetičkoj sigurnosti te u revizijama, a voditelj revizorskog tima mora u posljednje tri godine biti vođa tima u tri završene iste ili slične revizije. Ta pitanja smijete postaviti prije potpisa ugovora.

Prije revizije dolazi samoprocjena

Samoprocjena nije manja verzija revizije nego njezina priprema i, za važne subjekte, samostalna obveza. Provodi se prema Smjernicama Zavoda, uz pripadni Kalkulator, radnu knjigu sa sedam listova: uvod, osnovna, srednja i napredna razina, sažetak, trend i izjava.

Ako samoprocjena pokaže usklađenost s obvezujućom razinom mjera, važni subjekti sastavljaju izjavu o sukladnosti na obrascu iz Priloga IV. Uredbe. Njezin obvezni sadržaj propisuje članak 55. stavak 3. Uredbe i uključuje naziv i adresu subjekta, sektor i vrstu subjekta, utvrđenu razinu rizika kada je primjenjiva, obvezujuću razinu mjera, rezultate bodovanja usklađenosti i trenda, popis dokumentacije nastale u postupku te potpis osobe koja je provela samoprocjenu i osobe odgovorne za upravljanje mjerama.

Važni subjekti izjavu dostavljaju nadležnom tijelu bez odgode, najkasnije u roku od osam dana od dana sastavljanja, prema članku 35. stavku 5. Zakona. Izjava i sva prateća dokumentacija čuvaju se deset godina od sastavljanja izjave, prema članku 55. stavku 5. Uredbe.

Ako samoprocjena ne pokaže usklađenost, subjekt sastavlja plan daljnjeg postupanja, koji može uključivati ispravke utvrđenih nedostataka i ponovnu samoprocjenu. Taj se plan dostavlja u istom roku od osam dana. Neuspjela samoprocjena, dakle, nije katastrofa nego dokument s rokovima.

Dvije napomene koje sprječavaju česte pogreške u tumačenju. Prvo, ključni subjekti nemaju periodičku obvezu samoprocjene; oni je mogu provesti kao pripremu za reviziju ili za stručni nadzor, prema članku 51. stavku 3. Uredbe. Drugo, važni subjekti za provedbu samoprocjene smiju koristiti vanjskog davatelja usluge, prema članku 35. stavku 2. Zakona, pa pomoć u pripremi nije siva zona nego izrijekom dopuštena.

Trend, dio koji se najčešće krivo shvati

Uz bodovanje usklađenosti postoji i bodovanje trenda podizanja razine zrelosti, koje počiva na mjeri 3, upravljanju rizicima, prema članku 54. stavku 1. Uredbe. Trend nagrađuje podizanje razine provedbe obvezujućih podskupova i provedbu dobrovoljnih.

Tri stvari valja znati. Prvo, u inicijalnoj samoprocjeni trend se ne uzima u obzir; uključuje se tek nakon prve obavljene samoprocjene. Drugo, pragovi se razlikuju po razini: najmanje 109 bodova na osnovnoj, 58 na srednjoj i 15 na naprednoj. Treće, ako je subjekt dužan zadovoljiti naprednu razinu, postupak podizanja razine ne primjenjuje se, pa se cijeli prag ostvaruje isključivo dobrovoljnim podskupovima.

Sitnica koja zna pokvariti izračun: dobrovoljni podskup koji ne zadovoljava bodovni prag treba isključiti iz ocjenjivanja, jer inače umanjuje trend umjesto da ga podigne.

Kako se ocjenjuje: dvije ocjene, jedna brojka

Ovo je dio koji odlučuje prolazi li podmjera, a najrjeđe se dobro razumije.

Za svaku se kontrolu ocjenjuju dva aspekta, svaki na ljestvici od 1 do 5:

• DK, dokumentacija kontrole: postoji li pisana politika, procedura, plan ili zapis, je li formalno odobrena i ažurirana,
• IK, implementacija kontrole: provodi li se kontrola stvarno, postoje li dokazi, metrike i izvještavanje.

Ljestvica nije opisna nego ima pragove iznimaka. Ocjena 3 znači formaliziran proces uz dokaze za većinu aktivnosti i iznimke ispod 10 posto. Ocjena 4 traži potpunu dokumentaciju uz iznimke ispod 3 posto i potpunu provedbu uz iznimke ispod 5 posto. Ocjena 5 traži kontinuirano poboljšavanje uz iznimke ispod 0,5 odnosno 1 posto.

Iz DK i IK računa se jedinstvena ocjena kontrole, i u izvješću se navodi samo ona:

• ocjena kontrole: K = (DK + IK) / 2
• ocjena podmjere: P = (DP + IP) / 2, gdje su DP i IP aritmetičke sredine ocjena dokumentacije i implementacije svih kontrola u podmjeri
• ocjena mjere: M = aritmetička sredina ocjena podmjera
• ukupni stupanj usklađenosti: U = aritmetička sredina ocjena mjera

Dva uvjeta, ne jedan

Za prolaz podmjere moraju biti ispunjena oba uvjeta:

1. svaka pojedinačna kontrola mora dosegnuti svoj bodovni prag,
2. prosjek svih kontrola mora zadovoljiti ukupni bodovni prag podmjere.

To znači da jedna slaba kontrola ruši podmjeru čak i kada je prosjek visok. Obrnuto vrijedi jednako: sve kontrole mogu biti iznad svojih pojedinačnih pragova, a podmjera pasti jer prosjek ne doseže ukupni prag.

Zamka koja košta bodova

Univerzalna formula u Prilogu B piše prag kao „veće ili jednako”, ali tablice pojedinih podmjera često propisuju strogi prag. Od ukupno 297 pragova, koliko ih ima 99 podmjera na tri razine, njih 81 je strogo veće, 209 je veće ili jednako, a 7 traži točnu vrijednost 5,0.

Posljedica je konkretna: prosjek 3,50 uz prag „veće od 3,5″ ne prolazi. Organizacije koje računaju napamet, po sjećanju na univerzalnu formulu, ovdje redovito izgube podmjeru za koju su mislile da je zadovoljena. Uvijek se očitava doslovna vrijednost i operator iz konkretne tablice.

Kako revizija teče

Revizor je dužan prije početka revizijskog postupka izraditi i dokumentirati plan i program revizije, usklađen s Katalogom kontrola, s Okvirom za evaluaciju i sa smjernicama norme ISO 19011. Plan mora sadržavati najmanje ciljeve, kriterije i opseg, datume i trajanje pojedinih aktivnosti, sastav revizorskog tima i uloge, podatke o organizaciji i kontaktima, opis lokacija, planirane metode, područja rizika i fokus, način bilježenja nalaza te obveze povjerljivosti i komunikacije rezultata.

Program se tijekom revizije nadograđuje ovisno o zatečenom stanju, pa plan nije nepromjenjiv dokument nego okvir koji prati nalaze.

Zavod zna da revizija traje

Pružatelj je dužan najaviti reviziju Zavodu najmanje deset radnih dana prije planiranog datuma, s datumima, mjestom, predmetom revizije te nazivom i kontaktima subjekta. Promjenu termina ili ključnih informacija javlja najkasnije dva radna dana od nastanka promjene.

Zavod pritom može tražiti dodatne informacije i sudjelovati kao promatrač, a pružatelj mu je dužan omogućiti prisustvo. Za organizaciju koja se revidira to znači da u prostoriji može biti i osoba koja ne postavlja pitanja, nego prati kako ih postavlja revizor.

Metode su tri i nadopunjuju se: intervju s nositeljima procesa, pregled dokaza i tehničko testiranje. Prije početka pružatelj s Vama sklapa ugovor o povjerljivosti u kojem se naznačuje i klasifikacija izvješća prema Vašoj shemi.

Što mora pisati u izvješću

Izvješće o provedenoj reviziji ima sedam obveznih dijelova: naslovnicu s osnovnim informacijama, uvod s ciljevima i opsegom, sažetak ključnih pronalazaka i preporuka, detaljan prikaz nalaza po mjerama, zaključak, potpis revizora i priloge s dokazima.

Naslovnica sama po sebi nosi više nego što se čini. Uz naziv subjekta i naslov izvješća, mora sadržavati datum izdavanja, podatke o pravnoj osobi revizora s adresom sjedišta, OIB-om i kontaktima, imena članova revizorskog tima s njihovim titulama i certifikatima, razdoblje revizije te klasifikaciju izvješća. Predaja izvješća označava službeni dovršetak revizorskog postupka, pa je datum na naslovnici i datum od kojeg Vam teče rok od osam dana za dostavu nadležnom tijelu.

Pružatelj cjelovita izvješća, zajedno s pratećim dokazima poput zapisnika, fotografija i izjava, čuva najmanje tri godine od završetka revizije i mora ih učiniti dostupnima Zavodu u slučaju nadzora.

Koji se dokazi traže

Podjela na DK i IK izravno određuje što ćete pripremiti. Za svaku kontrolu revizor traži dvije vrste dokaza.

Za dokumentaciju: politiku ili proceduru s tragom formalnog odobrenja, datumom donošenja i datumom sljedećeg pregleda, popis iznimaka i osobu koja ih odobrava, te dokaz da su oni koji provode proces s dokumentom upoznati. Dokument bez odobrenja i bez datuma za revizora je ocjena 1 ili 2, bez obzira na to koliko je dobro napisan.

Za implementaciju: zapise koji pokazuju da se kontrola provodila u razdoblju revizije, ne na dan revizije. To su zapisnici sa sastanaka, izvještaji iz alata, tragovi u sustavu, snimke zaslona s vidljivim datumom, potpisane liste sudionika, tiketi i nalozi za promjenu. Za više ocjene traže se i metrike i izvještavanje, dakle dokaz da netko brojke gleda i da o njima izvještava, a ne samo da ih sustav bilježi.

Postojeći certifikati nisu uzalud

Ako imate ISO/IEC 27001 ili druge certifikate, oni ne prolaze nezapaženo. Uredba u članku 49. predviđa korelacijski pregled koji povezuje mjere iz Priloga II. s odredbama referentnih standarda. Obveza njegove izrade i objave je na središnjem državnom tijelu za kibernetičku sigurnost, ne na subjektu, a pokriva šest okvira: ISO/IEC 27001, ISO/IEC 27002, ISO 22301, NIST CSF 2.0, NIST SP 800-53 i CIS Controls v8.

Praktična korist je dvojaka. Vama pomaže da vidite koje mjere već pokrivate postojećim sustavom upravljanja, a revizoru da postojeće certifikate i pripadne zapise uzme kao dokaze. Certifikat sam po sebi ne daje ocjenu 5, ali skraćuje put do dokaza.

Gdje organizacije padnu

Iz strukture ocjenjivanja i iz Priloga B da se predvidjeti gdje se gubi najviše bodova.

• Dokumentacija bez implementacije. Politika je napisana, uredna i odobrena, ali nitko po njoj ne postupa. DK 4, IK 1, kontrola 2,5. To je najčešći obrazac i najskuplji, jer stvara dojam da je posao gotov.
• Jedna kontrola ruši podmjeru. Zbog pravila o pojedinačnim pragovima dovoljna je jedna zanemarena kontrola da podmjera padne unatoč dobrom prosjeku.
• Dokazi bez datuma. Snimka zaslona bez vidljivog datuma, zapisnik bez potpisa ili izvještaj koji ne pokazuje razdoblje ne dokazuju kontinuitet, nego trenutak.
• Lanac opskrbe. Mjera 8 redovito je najslabija, jer se popravlja u ugovorima, a ne u informatičkoj službi. O tome detaljno pišemo u tekstu o sigurnosti lanca opskrbe.
• Planovi koji nisu testirani. Plan kontinuiteta poslovanja koji postoji, ali nikad nije proveden ni na vježbi, po ljestvici implementacije teško prelazi ocjenu 2.
• Nalazi koji ne završe u registru rizika. Odstupanja utvrđena u provjerama moraju se obraditi kroz procjenu rizika. Nalaz koji ostane u zapisniku za revizora ne postoji.

Kako izgleda intervju

Intervju je metoda u kojoj se najbrže vidi razlika između dokumentacije i implementacije, pa ga vrijedi razumjeti prije nego što se dogodi.

Revizor rijetko pita „imate li politiku”. Pita osobu koja proces provodi, a ne osobu koja je politiku napisala, i pitanja idu od općeg prema pojedinačnom sve dok ne dođe do dokaza. Tri primjera po ulogama pokazuju obrazac.

Sistemskom inženjeru revizor neće pitati kako izgleda postupak upravljanja promjenama, nego: pokažite mi zadnju promjenu na produkcijskom sustavu, tko ju je odobrio, gdje je zapisana i što bi se dogodilo da je trebalo vratiti unatrag. Odgovor koji počinje s „to obično radimo tako da” bez zapisa daje ocjenu implementacije 2.

Voditelju informatike pitanje glasi: koliko ste ranjivosti visoke ozbiljnosti imali prošlog tromjesečja, u kojem su roku otklonjene i kome ste o tome izvijestili. Tu se traži metrika i izvještavanje, a to je granica između ocjene 3 i ocjene 4.

Osobi odgovornoj za mjere, dakle nekome iz uprave, pitanje je jednostavno i neugodno ako priprema nije napravljena: koje ste odluke o riziku donijeli u zadnjih godinu dana i na temelju čega. Mjera 1 govori o predanosti i odgovornosti odgovornih osoba, pa se ona ne dokazuje potpisom na politici nego tragom odluke.

Dvije navike koje pomažu. Prva, neka na intervju dođe onaj tko posao radi, a ne onaj tko o njemu najbolje govori; revizor traži dokaz, ne prezentaciju. Druga, ne izmišljajte. „Nemamo, evo zašto, i evo do kada planiramo” ocjenjuje se lošije od uspostavljene kontrole, ali puno bolje od odgovora koji se raspadne kad revizor zatraži zapis.

Ako niste zadovoljni radom revizora

Postupak pritužbe postoji i uređen je, ali ima jedan uvjet koji se lako previdi.

Prije nego što se obratite Zavodu, dužni ste na primjeren način upoznati pružatelja sa svojim primjedbama i pokušati riješiti stvar sporazumno. Ako to niste učinili, pritužba se neće razmatrati. Tek nakon toga pritužba se podnosi Zavodu, najkasnije petnaest radnih dana od primitka izvješća o provedenoj reviziji, a izvješće se smatra dostavljenim u trenutku zaprimanja poštom, elektroničkom poštom ili osobnim uručenjem.

Zavod potvrđuje primitak u roku od tri radna dana, a za dopunu dokumentacije ostavlja pet radnih dana. Rješavajući pritužbu, može provesti i nenajavljeni nadzor nad pružateljem. Pritužbu, uz subjekta, može podnijeti i svaka druga zainteresirana strana u postupku.

Sam pružatelj ima svoj put: protiv odluke o odbijanju certifikacije žali se Zavodu u roku od petnaest dana od zaprimanja odluke.

Kako se pripremiti, plan za šest mjeseci

Priprema nije jednokratan projekt nego niz koraka koji se preklapaju. Ovaj raspored pretpostavlja da znate svoju razinu mjera i da imate barem osnovnu dokumentaciju.

Šesti mjesec prije. Utvrdite obvezujuću razinu i opseg. Razinu ne birate sami, utvrđuje je nacionalna procjena rizika u postupku kategorizacije. Napravite popis sustava i procesa koji ulaze u opseg i odredite tko je vlasnik svake mjere. Bez imena uz mjeru nema ni dokaza.

Peti mjesec. Provedite analizu nedostataka po svim podmjerama koje Vas obvezuju. Cilj nije ocjena nego popis onoga čega nema. Iz njega nastaje plan s rokovima i odgovornim osobama.

Četvrti i treći mjesec. Popravljajte redom kojim se gube bodovi, dakle prvo kontrole ispod pojedinačnih pragova, pa tek onda one koje dižu prosjek. Paralelno posložite registar rizika, jer u njega ionako moraju doći svi nalazi.

Drugi mjesec. Provedite samoprocjenu u Kalkulatoru, iskreno. Samoprocjena koja se piše prema željenom rezultatu jedini je dokument u ovom postupku koji šteti sam sebi. Ondje gdje prag nije zadovoljen, zabilježite zašto i što slijedi.

Prvi mjesec. Složite mapu dokaza po mjerama i podmjerama, s datumima i vlasnicima. Provjerite je li svaka politika odobrena i ima li vidljiv datum. Prođite intervjue nasuho s nositeljima procesa; najveći broj slabih ocjena implementacije nastane zato što osoba koja proces provodi ne zna da postoji dokument koji ga opisuje.

Zadnja dva tjedna. Odaberite pružatelja i provjerite mu status u registru. Potpišite ugovor o povjerljivosti i dogovorite klasifikaciju izvješća. Uskladite termine, imajući na umu da pružatelj reviziju mora najaviti Zavodu deset radnih dana ranije.

Zaključak

Revizija kibernetičke sigurnosti nije ispit koji se polaže jednom i zaboravlja. Ona je mjerenje, i mjeri ono što stvarno postoji: postupak koji netko provodi, dokaz koji netko datira i nalaz koji netko unese u registar rizika. Sve što je napisano, a ne živi, u ovom se sustavu ocjenjuje niže od onoga što živi, a slabo je opisano.

Trošak revizije snosi subjekt, prema članku 34. stavku 7. Zakona, pa je jedino razumno na nju doći pripremljen. Prekršajne odredbe Zakona propisuju za ključne subjekte kaznu od 10.000 do 10.000.000 eura ili od 0,5 do 2 posto ukupnoga godišnjeg prometa na svjetskoj razini iz prethodne financijske godine, ovisno o tome koji je iznos veći. Za važne subjekte raspon je od 5.000 do 7.000.000 eura ili od 0,2 do 1,4 posto prometa, uz isto pravilo o većem iznosu. Priprema je u svakom od tih računa jeftinija stavka.

Rokovi teku od kategorizacije, ne od Vaše spremnosti. Ako još niste krenuli, tri su koraka koja imaju smisla ovaj tjedan: utvrdite svoju obvezujuću razinu, dodijelite vlasnika svakoj mjeri i napravite iskrenu analizu nedostataka. Nema savršenog trenutka za početak, ali postoji točka u kojoj postaje prekasno da se stigne u roku.

Ako niste sigurni gdje stojite, priprema za reviziju počinje analizom nedostataka i završava mapom dokaza koju revizor može pročitati bez tumača. Za pitanje koje se tiče jedne mjere dovoljan je kratak razgovor.

Pitanja koja se javljaju uz ovakav tekst obično su kratka i vrlo konkretna: vrijedi li ovo za nas, do kada i na temelju čega. Na njih odgovara ZKS Copilot, uz odredbu Zakona ili Uredbe na kojoj odgovor počiva.