Važni subjekti

Iste mjere, drukčiji nadzor. Važni subjekti provode samoprocjenu svake dvije godine, a reviziju samo na zahtjev nadležnog tijela.

Zatražite razgovor Usklađenost sa ZKS-om

PRAVNI OKVIRZKS NN 14/2024 UREDBA NN 135/2024, PRILOG II PRILOG III. ZKS-a

Gdje važni subjekti stoje pod Zakonom

Važni subjekti nisu blaža inačica ključnih. Mjere su iste, trinaest iz Priloga II. Uredbe, a razlikuje se način periodičke provjere i intenzitet nadzora.

Ključni subjekti imaju reviziju kibernetičke sigurnosti najmanje jednom u dvije godine, prema članku 34. stavku 1. Zakona. Važni subjekti provode samoprocjenu najmanje jednom u dvije godine, prema članku 35. stavku 1., a reviziju samo kad je zatraži nadležno tijelo, prema članku 34. stavku 4. Rezultat je samoprocjene izjava o sukladnosti ili plan daljnjeg postupanja, koji se dostavlja nadležnom tijelu najkasnije osam dana od sastavljanja.

Razina provedbe mjera i za važne se subjekte utvrđuje nacionalnom procjenom rizika, prema članku 38. Uredbe. Važan subjekt s visokim rizikom može imati naprednu razinu, a ključni s niskim rizikom osnovnu.

Gdje kod važnih subjekata najčešće zapinje

Zabluda da je manje obvezaKazne su niže, pa se pretpostavi i kraći popis obveza.

Samoprocjena bez dokazaPopunjen obrazac bez zapisa iza sebe ne prolazi na provjeri.

Odgoda do prvog upitaNakon upita nadležnog tijela vrijeme za pripremu više nema.

Što radimo za Vas

01Utvrđivanje kategorije i opsega obveza02Priprema samoprocjene s dokazima03Snimka stanja po trinaest mjera04Plan popravaka po hitnosti05Priprema za mogući zahtjev nadležnog tijela

Tko ulazi u kategoriju važnih subjekata

TKOKATEGORIJANAPOMENA

Subjekti iz Priloga II., srednji i velikiVažniI veliki subjekti iz Priloga II. su važni, ne ključni

Subjekti iz Priloga I. koji su srednji subjektVažniPrema članku 10. podstavku 2. Zakona

Jedinice lokalne i područne samoupraveVažniNeovisno o veličini, uz procjenu važnosti, članak 12. stavak 3.

Subjekti iz sustava obrazovanjaVažniNeovisno o veličini, uz procjenu posebne važnosti, članak 13.

Kategoriju utvrđuje nadležno tijelo, a razinu mjera nacionalna procjena rizika; i jedno i drugo razloženo je u pregledu Zakona.

PRIMJER IZ PRAKSE · UJEDINJENA KRALJEVINA, SIJEČANJ 2023.

Royal Mail: šest tjedana bez pošiljke u inozemstvo

Ucjenjivački program pogodio je sustav kojim se ispisuju carinske deklaracije za pošiljke u inozemstvo. Šalteri su radili, ali nijedna međunarodna pošiljka nije mogla van, a trebalo je oko šest tjedana da se usluga vrati u punom opsegu. Napadači nisu tražili najosjetljiviji sustav, nego onaj bez kojega posao stane. Takvih je u svakoj kući nekoliko i obično nisu na popisu kritične imovine.

IZVOR: Priopćenja tvrtke Royal Mail i saslušanje pred odborom britanskoga parlamenta, 2023.

Česta pitanja

Pitanja koja važni subjekti postave prva, uglavnom oko samoprocjene i onoga što slijedi ako reviziju zatraži nadležno tijelo.

Imaju li važni subjekti manje mjera?

Nemaju. Razlikuje se samo način periodičke provjere, samoprocjena umjesto obvezne revizije, te gornja granica kazne.

Što je samoprocjena?

Provjera vlastite usklađenosti po istoj metodologiji i istim formulama bodovanja kao revizija. Provodite je sami svake dvije godine i o njoj vodite zapis.

Kad ipak dolazi revizija?

Na zahtjev nadležnog tijela, najčešće nakon incidenta, prijave ili loše samoprocjene. Tada za pripremu više nema vremena.

Kolike su kazne?

Za važne subjekte do 7 000 000 eura ili 1,4 posto ukupnog godišnjeg prometa, ovisno o tome što je veće.

Kako znamo jesmo li ključni ili važni?

Kategoriju određuju sektor i veličina, uz iznimke, a obavijest o kategorizaciji dostavlja nadležno tijelo. Rok od dvanaest mjeseci teče od te dostave.

Što je rezultat samoprocjene?

Izjava o sukladnosti ili plan daljnjeg postupanja, prema članku 35. stavcima 3. i 4. Zakona. Jedno ili drugo dostavlja se nadležnom tijelu bez odgode, najkasnije osam dana od dana sastavljanja. Trošak snosi subjekt.

Možemo li samoprocjenu povjeriti nekome izvana?

Možete. Članak 35. stavak 2. Zakona izrijekom dopušta korištenje vanjskog pružatelja usluge samoprocjene. Odgovornost za sadržaj i za dostavu ostaje na Vama.

Što ako nas nadležno tijelo zatraži reviziju?

Tada se provodi revizija, prema članku 34. stavku 4. Zakona, a izvješće se dostavlja odmah po primitku. Zato i kod važnih subjekata zbirka dokaza mora biti spremna za tuđe oko, a ne samo za vlastito.

Povezane stranice

Stranice na kojima je razrađeno ono što važni subjekti moraju imati prije samoprocjene.

Trinaest mjera i 99 podmjera Usklađenost sa ZKS-om Upravljanje rizicima Upravljanje incidentima Priprema za reviziju Svi sektori

Provjerimo jeste li ključni ili važni subjekt.

Pola sata, bez obveze. Utvrdimo jeste li ključni ili važni subjekt i što iz toga slijedi.

Dogovorite razgovorINFO@RISKORIA.EU · +385 97 737 1345