Hrvatska je 2024. transponirala europsku NIS2 direktivu kroz Zakon o kibernetičkoj sigurnosti (NN 14/2024). Pogađa preko 10.000 organizacija u 18 sektora — energetika, zdravstvo, financije, IT, vodoopskrba, hrana, prijevoz, javna uprava i drugi.
EU direktiva 2022/2555 zamijenila je staru NIS direktivu iz 2016. proširujući obuhvat na znatno više sektora i firmi — ne više samo kritična infrastruktura, već gotovo cijela srednja i velika privreda.
Stara direktiva pokrivala je 7 sektora — NIS2 ih ima 18. Dodani su digitalna infrastruktura, ICT pružatelji, prehrambena industrija, kemikalije, otpad, javna uprava, istraživanje i drugi.
Direktiva propisuje 10 obveznih mjera upravljanja rizicima — uključujući procjenu rizika, plan kontinuiteta, sigurnost dobavljača, kriptografiju, kontrolu pristupa i edukaciju zaposlenika.
Po prvi put, članovi uprave i direktori osobno odgovaraju za usklađenost s mjerama kibernetičke sigurnosti — uključujući moguće zabrane obnašanja rukovodećih funkcija.
Obveza se primjenjuje na srednje i velike organizacije (50+ zaposlenih ili €10M+ godišnjeg prometa) u jednom od navedenih sektora. Postoje iznimke — manje firme mogu biti obveznici ako su jedini pružatelj usluge u nekoj regiji ili ako su kritični dobavljač.
Procjena obvezujućeg statusa je prvi korak — radimo je besplatno.
Članak 21. NIS2 direktive propisuje minimalne mjere upravljanja rizicima koje svaka obvezna organizacija mora dokumentirati, provoditi i redovito revidirati.
Pisana politika koja definira pristup riziku, odgovornosti, dozvoljenu uporabu.
Procedura detekcije, eskalacije, dokumentiranja i izvještavanja CSIRT-a.
Backup strategija, disaster recovery plan, testiranje povrata podataka.
Procjena dobavljača, sigurnosne klauzule u ugovorima, monitoring trećih strana.
Vulnerability disclosure, secure coding, code review, penetracijsko testiranje.
Redovne revizije, KPI-jevi, interni auditi i izvještavanje uprave.
Obuke zaposlenika, phishing simulacije, MFA, password policy, patch management.
Enkripcija podataka u mirovanju i prijenosu, upravljanje ključevima.
Provjere prilikom zapošljavanja, RBAC, privileged access management, offboarding.
MFA na svim sustavima, sigurni glasovni/video/text kanali za hitne situacije.
Svaki značajan incident mora biti prijavljen nacionalnom CSIRT-u (HR-CERT pri CARNetu / NCKS) prema vrlo strogim rokovima:
Za razliku od starije NIS direktive gdje su sankcije bile simbolične, NIS2 uvodi kazne usporedive s GDPR-om — te osobnu odgovornost direktora.
Primjenjuje se viši iznos.
Primjenjuje se viši iznos.
U slučaju ponovljenih propusta u provedbi obveznih mjera kibernetičke sigurnosti.
Utvrđujemo spada li vaša organizacija pod NIS2 — sektor, veličina, kritična funkcija.
Mjerimo gdje ste sada vs. gdje morate biti — tehnička i organizacijska kontrola.
Pomažemo postaviti potrebne politike, alate i procese — te ih održavamo.
Stara NIS direktiva (2016) pokrivala je samo 7 sektora "kritične infrastrukture" i imala je vrlo opće obveze. NIS2 (2022) širi obuhvat na 18 sektora, propisuje konkretne mjere (10 obveznih kontrola), uvodi velike kazne i osobnu odgovornost uprave.
Glavni nadležni je SOA — Sigurnosno-obavještajna agencija — preko Centra za kibernetičku sigurnost. Operativni CSIRT-ovi su HR-CERT pri CARNetu (privredni subjekti) i Nacionalni CERT za javne tijela. Sektorski regulatori (HNB, HAKOM, HERA) dijele nadležnost u svojim domenama.
Zakon je na snazi od 15. veljače 2024. Obveznici su se trebali prijaviti nadležnom tijelu u roku od 3 mjeseca od stupanja na snagu (svibanj 2024). Mjere kibernetičke sigurnosti moraju biti provedene "bez odgađanja" — u praksi, što prije. Kontrole su počele.
Pravilo srednje veličine (50+ zaposlenih ili €10M+ prometa) ima iznimke. Mala firma može biti obveznik ako je: jedini pružatelj usluge u regiji, kritični dobavljač drugog obveznika, ili djeluje u posebno osjetljivoj djelatnosti (npr. registar TLD-a, pružatelj digitalne usluge javne uprave). Procjenu radimo individualno.
ISO 27001 pokriva većinu tehničkih obveza NIS2 — ali ne sve. Specifični zahtjevi za prijavu incidenata, lanac opskrbe i odgovornost uprave moraju biti adresirani dodatno. Gap analiza obično pokaže 70–80% pokrića ako već imate ISO — ostatak je 4–8 tjedana fokusiranog rada.
Ovisi o veličini i složenosti. Tipično: procjena obveznika 2–3 dana, gap analiza 2–4 tjedna za srednju firmu, implementacija 3–9 mjeseci. Za jednu lokaciju s 50–200 zaposlenih, ciljamo na potpunu usklađenost u 6 mjeseci.
Kontrole su počele. Bolje preventivno nego s kaznom u rukama.
Zatraži besplatnu procjenu →