Priprema za NIS2 počinje razumijevanjem vlastitog poslovanja. Koje usluge moraju ostati dostupne, tko o njima odlučuje i kakve bi posljedice imao prekid? Odgovori pomažu pretvoriti sigurnosne zahtjeve u zadatke koje organizacija može provesti i pratiti.
1. Provjerite obuhvat i konkretne obveze
U Hrvatskoj se obveze razrađuju Zakonom i Uredbom o kibernetičkoj sigurnosti. Pregledajte djelatnost organizacije, službenu obavijest o kategorizaciji ako ste je zaprimili te upute nadležnog tijela. Prema pojašnjenjima NCSC-HR, rokovi za kategorizirane subjekte vežu se uz primitak te obavijesti. Jedan datum zato nije primjenjiv na svaku organizaciju.
2. Popišite kritične usluge i njihove ovisnosti
Krenite od poslovnih procesa, a zatim zabilježite sustave, podatke, korisničke račune i dobavljače koji ih podržavaju. Primjerice, dostupnost prodaje može ovisiti o identitetu u oblaku, internetskoj vezi, poslovnoj aplikaciji i vanjskom pružatelju podrške. Svakoj važnoj usluzi dodijelite osobu koja može potvrditi njezine potrebe.
3. Procijenite rizike i postojeće mjere
Za nekoliko realnih scenarija procijenite posljedice: krađu korisničkog računa, nedostupnost aplikacije, gubitak podataka ili incident kod dobavljača. Zapišite postojeće zaštite, njihove nedostatke i dokaze da djeluju. Procjena IT rizika trebala bi dati jasne prioritete za ulaganje i odgovorne osobe za pojedine rizike.
4. Izradite plan koji ima vlasnike i rokove
Svaka mjera treba imati nositelja, rok, potrebne resurse i način provjere. Za zaštitu računa to mogu biti višefaktorska autentifikacija, pregled administratorskih prava i postupak ukidanja pristupa. Za kontinuitet poslovanja provjerite sigurnosne kopije i stvaran povrat podataka. Plan uskladite s razinom mjera koja vrijedi za vašu organizaciju.
5. Uvježbajte odgovor i prikupite dokaze
Prođite kroz kratak scenarij incidenta s upravom i operativnim timom. Utvrdite tko procjenjuje događaj, kako se kontaktiraju odgovorne osobe i gdje se čuvaju zapisi. Zasebno provjerite primjenjive obveze prijavljivanja. Dokumentaciju održavajte uz provedbu: zapisnik o testu povrata ili pregled pristupa korisniji su kada pokazuju stvarno stanje sustava.
Kako započeti?
Prvi rezultat može biti pregled sadašnjeg stanja i popis prioritetnih aktivnosti. Na stranici NIS2 usklađivanje saznajte kako ITSec može pomoći u procjeni i planiranju provedbe ili dogovorite uvodni razgovor.
Izvori za regulatorni okvir: NCSC-HR: pitanja kategoriziranih subjekata i Zakon o kibernetičkoj sigurnosti. Provjereno 13. listopada 2026.