NIS2 — upravljanje kibernetičkim rizicima i odgovornostima
NIS2 uspostavlja europski okvir za jačanje kibernetičke sigurnosti određenih organizacija i sektora. Stvarne obveze u Hrvatskoj ovise o primjenjivim nacionalnim propisima, statusu i djelatnosti pojedine organizacije.
Edukacija zaposlenika važan je dio upravljanja rizicima, ali sama edukacija nije dokaz potpune regulatorne usklađenosti.
Što je NIS2 Direktiva?
Ojačani EU okvir za kibernetičku sigurnost
Vremenski okvir
- 2022 NIS2 usvojen na razini EU
- 2024 Razdoblje za nacionalnu transpoziciju
- 2025+ Primjena kroz nacionalne propise
Točna primjena i rokovi u Hrvatskoj proizlaze iz nacionalnih propisa.
Kazne predviđene direktivom
Ključni subjekti
Do 10 milijuna eura ili 2% globalnog godišnjeg prometa
Važni subjekti
Do 7 milijuna eura ili 1,4% globalnog godišnjeg prometa
Primjena i klasifikacija subjekata ovise o nacionalnim propisima i djelatnosti organizacije.
Ključna područja NIS2
Što vaša organizacija može trebati razmotriti
Upravljanje rizicima
Okvir očekuje tehničke i organizacijske mjere za upravljanje kibernetičkim rizicima, uključujući ljudski faktor.
Edukacija o kibernetičkoj sigurnosti
Članak 20. obrađuje edukaciju članova uprave i zaposlenika kao dio upravljanja rizicima.
Prijavljivanje incidenata
Direktiva propisuje prijavljivanje značajnih incidenata nadležnim tijelima u propisanim rokovima.
Odgovornost
Članovi uprave imaju odgovornosti vezane uz upravljanje kibernetičkim rizicima u skladu s primjenjivim propisima.
Sektori u opsegu
NIS2 proširuje raspon sektora koji mogu biti obuhvaćeni
Je li pojedina organizacija obuhvaćena i na koji način ovisi o njezinoj veličini, statusu i djelatnosti prema primjenjivim nacionalnim propisima.
Zašto je edukacija važan dio upravljanja rizicima
Dio upravljanja rizicima
Edukacija zaposlenika jedan je od elemenata upravljanja kibernetičkim rizicima koji NIS2 okvir prepoznaje kao važan.
Ljudski faktor
Mnogi sigurnosni incidenti povezani su s ljudskim faktorom, poput phishinga i slabih lozinki. Edukacija može pomoći u smanjenju tih rizika.
Brže prepoznavanje prijetnji
Educirani zaposlenici mogu lakše prepoznati sumnjive situacije i pravovremeno reagirati.
Dokumentacija aktivnosti
Evidencija provedene edukacije može poslužiti kao dio dokumentacije o aktivnostima upravljanja rizicima.
Članak 20. — edukacija i članovi uprave
"Države članice osiguravaju da članovi upravljačkih tijela ključnih i važnih subjekata pohađaju obuku te potiču ključne i važne subjekte da sličnu obuku redovito nude svojim zaposlenicima, kako bi stekli dovoljno znanja i vještina za prepoznavanje rizika i procjenu praksi upravljanja kibernetičkim rizicima te njihovog utjecaja na usluge koje subjekt pruža."
— NIS2 Direktiva (EU 2022/2555), Članak 20., stavak 2.
Kako WISE-R može pomoći
Pomažemo organizacijama organizirati edukaciju, definirati odgovornosti, povezati aktivnosti upravljanja rizicima i pripremiti relevantnu dokumentaciju. Za procjenu stvarnih regulatornih obveza potrebno je uzeti u obzir djelatnost i status svake organizacije.
Organizacija edukacije
Pomažemo organizirati edukaciju zaposlenika i uprave, uz partnersku tehnologiju GoldPhish za simulacije i module.
Odgovornosti i aktivnosti
Pomažemo definirati odgovornosti i povezati aktivnosti upravljanja kibernetičkim rizicima.
Priprema dokumentacije
Pomažemo pripremiti relevantnu dokumentaciju o provedenim aktivnostima, kao podršku vašim internim procesima.
Razgovarajmo o potrebama vaše organizacije
Recite nam više o svojoj situaciji i predložit ćemo odgovarajuće korake za edukaciju, odgovornosti i dokumentaciju.