Organizacija prima obavijest o kategorizaciji kao ključni subjekt prema ZKS-u (NN 14/2024). Uprava se odmah suočava s pitanjem koje nije lako: tko je odgovoran za kibernetičku sigurnost? Mjera 1 iz Priloga II. Uredbe o kibernetičkoj sigurnosti tu je jasna. Upravljačko tijelo usvaja strateški akt kibernetičke sigurnosne politike, osigurava financijske, tehničke i ljudske resurse za provedbu mjera te jednom godišnje prima izvješće o stanju kibernetičke sigurnosti. Nekome mora biti povjerena operativna koordinacija. Ali tko bi to trebao biti, i u kojoj formi, nije jednoznačan odgovor.

Tomislav Vazdar, direktor Riskorije, redovito razgovara s upravljačkim tijelima koja stoje pred ovim izborom. “Razgovor o vCISO-u ili internom CISO-u obično počinje pogrešnim pitanjem: ‘Što je jeftinije?’ Pravo pitanje je: ‘Što treba naša organizacija, i u kojoj fazi razvoja smo?’ To su potpuno različite rasprave.”

Zašto ovo pitanje postaje akutno

Talent za kibernetičku sigurnost rijedak je svugdje, a na manjim tržištima poput hrvatskog taj deficit posebno se osjeća. Prema istraživanju ISC2 iz 2024. godine, globalni jaz između potreba organizacija i dostupnih stručnjaka dosegnuo je gotovo 4,8 milijuna nepopunjenih radnih mjesta. Iskusni CISO, osoba koja razumije regulatorni okvir, može upravljati timom, komunicira s upravom i istovremeno donosi tehničke odluke, jednostavno nije dostupan u dovoljnom broju.

Čak i kada je dostupan, cijena je barijera. IANS Research CISO Compensation Benchmark za 2025. godinu dokumentira rast ukupnih naknada za CISO poziciju od 6,7 posto u 2025., pri čemu manji subjekti računaju na ukupnu godišnju naknadu od oko 260.000 dolara, a veće organizacije na 415.000 dolara i više, samo u SAD-u. U europskom kontekstu te su brojke niže, ali razlika između troška iskusnog internog CISO-a i proračunskih mogućnosti srednje veličine hrvatskih organizacija i dalje je značajna.

Što vCISO zapravo donosi

Virtualni CISO, vanjski stručnjak koji obavlja dio ili sve funkcije CISO uloge na ugovornoj osnovi, nije nova ideja, ali njezina primjena ubrzano raste. Model nudi pristup iskusnom stručnjaku bez troška punog radnog mjesta, s fleksibilnošću prilagođenom trenutnim potrebama organizacije.

Za organizaciju koja se tek usklađuje s ZKS-om, vCISO može u roku od nekoliko tjedana uspostaviti okvir upravljanja rizicima, pridružiti trinaest mjera iz Priloga II. Uredbe stvarnom stanju organizacije i izraditi plan usklađivanja koji uprava može pratiti i odobriti. To je vrijednost u kratkom roku, određena stručnost, brz početak, bez dugotrajnog procesa zapošljavanja.

Šire od usklađivanja, iskusan vCISO donosi perspektivu koja interno ne postoji lako: pristupio je sličnim problemima u više organizacija, prepoznaje obrasce, zna što u praksi funkcionira. Organizacije koje nemaju vlastiti sigurnosni tim od tog uvida imaju najviše koristi, pogotovo u fazi uspostavljanja prvih procesa i politika.

Gdje vCISO model ima granice

Biti iskren o ograničenjima vCISO modela jednako je važno kao i isticanje prednosti. Vazdar naglašava nekoliko razlika koje organizacije često podcjenjuju.

Dostupnost je praktična barijera. Interni CISO dostupan je unutar organizacije svakodnevno, može reagirati na incident u roku od minuta, biti prisutan na ključnim poslovnim sastancima, graditi odnose s IT timom i operativnim voditeljima. vCISO ugovorenih nekoliko dana ili sati tjedno ne može nadomjestiti tu prisutnost u kriznim situacijama. Organizacije s visokom razinom operativnih rizika ili čestim incidentima zahtijevaju nešto više od povremene stručne pomoći izvana.

Institucionalno znanje gradi se kroz kontinuitet. Interni CISO poznaje infrastrukturu, procese i kulturu organizacije dubinski, razumije zašto je određena odluka donesena prije tri godine, tko je stvarni vlasnik nekog sustava, gdje su neformalne rupe u kontrolama. vCISO koji dođe jednom tjedno možda nikada neće dosegnuti tu razinu razumijevanja organizacijske stvarnosti. Taj kontekstualni uvid nije moguće kupiti ugovornim angažmanom koliko god kvalitetnim, on se gradi samo prisutnošću i vremenom.

Treće ograničenje jest odgovornost. Regulatorni okvir ZKS-a zahtijeva jasnu odgovornost za provedbu mjera kibernetičke sigurnosti. Ako vCISO angažman nije strukturiran s precizno definiranim odgovornostima i dokumentiranim ovlastima, organizacija može ostati u regulatorno nejasnoj situaciji, posebno ako dođe do incidenta ili revizije.

Okvir za donošenje odluke

Pitanje nije koji je model “bolji”, pitanje je koji je model primjeren za konkretnu organizaciju u konkretnoj fazi. Organizacije koje su u početnoj fazi usklađivanja, imaju ograničen proračun i ne zapošljavaju vlastiti sigurnosni tim razuman su kandidat za vCISO model koji će uspostaviti temelje. Organizacije s razvijenim IT timom, složenom infrastrukturom i visokim razinama rizika obično zahtijevaju internog CISO-a koji će biti prisutan i odgovoran svakodnevno.

Postoji i treća kategorija koja se obično zaboravlja: organizacije u procesu transformacije, koje trebaju vCISO privremeno dok izgrađuju kapacitete za interni model. Vazdar opisuje taj pristup kao “most, ne krajnje odredište”, privremeni aranžman koji organizaciju dovodi do točke gdje može zaposliti i zadržati internog stručnjaka na dugi rok.

Svaki od tih modela podrazumijeva drukčiji ugovorni okvir, drukčije definiranje odgovornosti prema ZKS-u i drukčiju razinu angažmana uprave. Ono što nije mogućnost jest stanje u kojem nitko nije odgovoran. Članak 29. Zakona uređuje odgovornost osoba odgovornih za upravljanje mjerama, a Mjera 1 traži uspostavu uloga i odgovornosti za kibernetičku sigurnost. Iza potpisa upravljačkog tijela mora stajati jasna organizacijska struktura: osoba ili tim koji provodi, prati i izvještava. Formalni naziv te uloge, CISO, voditelj IT sigurnosti, ili vanjski savjetnik s precizno definiranim mandatom, manje je važan od toga da odgovornost postoji i da je dokumentirana. Pitanje nije hoće li organizacija imati sigurnosno vodstvo. Pitanje je u kojoj formi će to vodstvo biti najdjelotvornije za konkretnu fazu.

Tomislav Vazdar direktor je Riskorije, savjetodavne tvrtke za kibernetičku sigurnost specijalizirane za digitalni rizik, ZKS usklađenost i organizacijsku otpornost. Za upite kontaktirajte info@riskoria.eu.

Pitanja koja se javljaju uz ovakav tekst obično su kratka i vrlo konkretna: vrijedi li ovo za nas, do kada i na temelju čega. Na njih odgovara ZKS Copilot, uz odredbu Zakona ili Uredbe na kojoj odgovor počiva.