Zakon je za sve isti, put do usklađenosti nije.
Svaki sektor ima svoje nadležno tijelo, svoj CSIRT i svoje tipične nalaze.
Područja koja pokrivamo
Zdravstvo
Bolnice i zdravstvene ustanove, posebna kategorija podataka.OTVORITE →Energetika
Električna energija, plin, nafta i toplinarstvo.OTVORITE →Promet
Cestovni, željeznički, pomorski i zračni promet.OTVORITE →Javna uprava
Državna tijela i jedinice samouprave.OTVORITE →Bankarstvo i financije
Uz Zakon vrijedi i uredba DORA kao poseban propis.OTVORITE →Vodoopskrba
Male ustanove s istim obvezama kao velike.OTVORITE →Digitalna infrastruktura
Podatkovni centri, mreže, DNS i usluge u oblaku.OTVORITE →IKT usluge
Obveze prema Zakonu i prema klijentima obveznicima.OTVORITE →Važni subjekti
Iste mjere, samoprocjena i revizija na zahtjev.OTVORITE →Sektor određuje tijelo, veličina određuje kategoriju
Tri se pojma često miješaju: sektor, kategorija subjekta i razina mjera. To su tri različite stvari i utvrđuju se na tri različita načina.
Sektor proizlazi iz djelatnosti i iz priloga Zakonu. Prilog I. nabraja sektore visoke kritičnosti, među njima energetiku, promet, bankarstvo, zdravstvo, vodu, digitalnu infrastrukturu, upravljanje uslugama informacijske tehnologije, javni sektor i svemir. Prilog II. nabraja ostale kritične sektore, primjerice poštanske usluge, gospodarenje otpadom, proizvodnju, hranu, istraživanje i sustav obrazovanja.
Kategorija, ključni ili važni subjekt, proizlazi iz priloga i veličine, uz iznimke koje vrijede neovisno o veličini. Ključni su subjekti iz Priloga I. iznad gornjih granica za srednje subjekte maloga gospodarstva, a važni su srednji subjekti iz Priloga I. te srednji i veliki iz Priloga II. Iznimka su pružatelji javnih elektroničkih komunikacijskih mreža i usluga, koji su ključni i kao srednji subjekt. Subjekt razvrstan i u ključne i u važne tretira se kao ključan, prema članku 16. Zakona.
Razina mjera, osnovna, srednja ili napredna, ne proizlazi ni iz sektora ni iz kategorije. Utvrđuje je nacionalna procjena rizika u postupku kategorizacije, prema članku 38. Uredbe. Zato ključni subjekt s niskim rizikom može imati osnovnu razinu, a važni subjekt s visokim rizikom naprednu.
Sektor pak određuje tko Vas nadzire i kome prijavljujete incident. Prilog III. Zakona za svaki sektor navodi nadležno tijelo za provedbu zahtjeva kibernetičke sigurnosti, tijelo nadležno za provedbu posebnih zakona i nadležni CSIRT.
Nadležna tijela i CSIRT po sektorima
Prema Prilogu III. Zakona. Crta znači da Prilog za taj sektor ne navodi tijelo u tom stupcu.
Stranica svakog sektora nabraja nadležno tijelo, nadležni CSIRT, tko iz sektora ulazi u opseg i gdje se u praksi najčešće zapinje. Otvorite stranicu svojeg sektora iz mreže na vrhu.
Zavod za sigurnost informacijskih sustava nije nadzorno tijelo prema Zakonu ni CSIRT za ijedan sektor. Zavod je središnje državno tijelo za tehnička područja informacijske sigurnosti, provodi certificiranje pružatelja upravljanih sigurnosnih usluga i provodi reviziju u tijelima državne uprave i drugim državnim tijelima, prema članku 32. stavku 3. Zakona.
Česta pitanja
Pitanja koja nam najčešće postave prije nego što krenemo.
Kako znamo u koji sektor spadamo?
Prema djelatnosti iz priloga Zakonu, ne prema šifri djelatnosti u sudskom registru. Kad je granica nejasna, gleda se koja je usluga ključna za korisnike. Konačnu riječ ima nadležno tijelo, koje Vas o kategorizaciji obavještava u roku od trideset dana.Možemo li biti u dva sektora?
Možete, i tada vrijedi stroža kategorija. Subjekt razvrstan i u ključne i u važne tretira se kao ključan, prema članku 16. Zakona, pa ima obveznu reviziju umjesto samoprocjene.Razlikuju li se mjere po sektoru?
Mjera je trinaest i vrijede za sve kategorizirane subjekte. Razlikuje se razina provedbe, koju utvrđuje nacionalna procjena rizika, i to tko je nadležno tijelo i nadležni CSIRT. Iznimka je sektor digitalne infrastrukture, za koji Prilog III. Uredbe utvrđuje prošireni skup mjera fizičke sigurnosti.Tko je naš CSIRT?
Za većinu sektora nacionalni centar za kibernetičku sigurnost. Za bankarstvo, infrastrukturu financijskog tržišta, registar naziva vršne nacionalne domene te istraživanje i sustav obrazovanja to je nacionalni CERT.Što ako nas nitko nije obavijestio o kategorizaciji?
Obavijest dostavlja nadležno tijelo u roku od trideset dana od provedene kategorizacije ili ažuriranja popisa, prema članku 19. stavku 4. Zakona. Dok obavijest ne stigne, rokovi za Vas ne teku, ali to nije razlog da se ne pripremite, jer rok od godine dana kreće danom dostave.Vrijede li uz Zakon i sektorski propisi?
Vrijede. U financijama uz Zakon stoji uredba o digitalnoj operativnoj otpornosti, u zdravstvu propisi o zdravstvenim podacima, u energetici i prometu propisi o kritičnoj infrastrukturi. Prvi je posao razgraničiti što ide po kojem propisu, da se isti zapis ne piše dvaput.Mijenja li se kategorija s vremenom?
Mijenja se, jer se popis subjekata ažurira. Kod promjene kategorije nadležno tijelo u obavijesti određuje rok za usklađivanje, koji ne može biti kraći od šezdeset dana ni dulji od šest mjeseci, prema članku 26. stavcima 6. i 7. Zakona.Ulaze li mikro i mali subjekti u opseg?
Načelno ne, ali postoje iznimke koje se primjenjuju neovisno o veličini: kvalificirani pružatelji usluga povjerenja, registar vršne domene i pružatelji DNS-a, informacijski posrednici u razmjeni elektroničkog računa, kritični subjekti, javni sektor i sustav obrazovanja. Neovisno o veličini u važne ulaze i pružatelji usluga povjerenja koji nisu kvalificirani te pružatelji javnih elektroničkih komunikacijskih mreža i usluga koji nisu ključni. Uz to nadležno tijelo može subjekt razvrstati po posebnim kriterijima iz članka 11.Povezane stranice
Bez obzira na sektor, posao je isti: mjere, dokazi i rokovi.
Niste sigurni u koju kategoriju spadate?
Pola sata, bez obveze. Prođemo Vašu djelatnost i veličinu i kažemo Vam što se iz toga očekuje.