Nove obveznosti na področju kibernetske varnosti in odgovornost članov organov vodenja, Direktiva NIS 2 (EU) 2022/2555

Evropska unija je z Direktivo (EU) 2022/2555 o ukrepih za visoko skupno raven kibernetske varnosti v Uniji, znano kot Direktiva NIS 2, temeljito prenovila regulativni okvir na področju informacijske varnosti. Slovenija je to direktivo prenesla v nacionalni pravni red z Zakonom o informacijski varnosti (ZInfV-1), ki je bil sprejet leta 2024 in je začel veljati v začetku leta 2025.

Za organizacije v zasebnem in javnem sektorju ta zakonodajni premik prinaša bistveno razširjene obveznosti, strožje nadzorne mehanizme in znatno višje kazni v primeru neskladnosti.

Eden najpomembnejših elementov Direktive NIS 2 in ZInfV-1 je bistveno širši krog zavezanih subjektov v primerjavi z dosedanjo ureditvijo (6. ni 7. člen ZInfV-1), pri čemer nova ureditev uvaja dvodelno razvrstitev:

– Bistveni subjekti (essential entities): vrste subjektov iz Priloge 1, ki imajo vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov ter drugi pod določenimi pogoji. – Pomembni subjekti (important entities): vrste subjektov iz Priloge 2, vključno s tistimi, ki jih na podlagi 2. do 5. točke drugega odstavka prejšnjega člena in na predlog pristojnega nacionalnega organa določi vlada z odločbo, ter drugi pod določenimi pogoji. Organizacije morajo same preveriti uvrstitev in jo po potrebi tudi priglasiti pristojnemu nacionalnemu organu (obveznost samoregistracije je določena v 8. členu ZInfV-1) – v Sloveniji je to Urad Vlade RS za informacijsko varnost (URSIV).

ZInfV-1 v 20. in 21. členu določa celovit nabor tehničnih in organizacijskih ukrepov za obvladovanje tveganj in priglasitve incidentov, ki jih morajo zavezani subjekti implementirati sorazmerno z izpostavljenostjo tveganjem. Ključna področja tovrstnih obveznosti vključujejo:

1. Upravljanje tveganj in varnostne politike: Organizacije morajo vzpostaviti formaliziran proces obvladovanja kibernetskih tveganj, ki vključuje redne ocene tveganj, dokumentirane varnostne politike ter jasno opredeljene vloge in odgovornosti. Tovrstni ukrepi morajo obsegati podporo vodstva subjekta ter vključitev področja informacijske in kibernetske varnosti v letni načrt poslovanja ali letni program dela. 2. Obvladovanje incidentov: Vzpostaviti je treba postopke za zaznavanje, obvladovanje in poročanje o varnostnih incidentih. Bistveni subjekti morajo incidente, ki imajo pomemben vpliv na zagotavljanje njihovih storitev, priglasiti URSIV-u nemudoma, najpozneje pa v roku 24 ur po zaznavi, končno poročilo pa predložiti najpozneje v enem mesecu po predložitvi priglasitve incidenta. 3. Varnost dobavne verige: Gre za novo zahtevo, ki v praksi pogosto predstavlja največji izziv. Organizacije morajo oceniti in upravljati varnostna tveganja pri dobaviteljih in ponudnikih storitev ter v pogodbe vključiti ustrezne varnostne zahteve. 4. Ostale tehnične zahteve: varnostne rešitve za zaznavo in odziv na grožnje, šifriranje podatkov, upravljanje dostopov in večfaktorska avtentikacija, nadomestni sistemi in nadomestni delovni prostor za zagotovitev neprekinjenega izvajanja storitev, izobraževanje na področju informacijske varnosti in druge. Ena najpomembnejših novosti ZInfV-1 je tudi odgovornost članov upravljalnih organov (direktorjev, članov uprav in nadzornih svetov). Če subjekt ustrezno prepozna tveganja, sprejme primerne varnostne ukrepe, zagotavlja nadzor nad njihovim izvajanjem in ima vodstvo dejanski vpogled v upravljanje informacijskih tveganj, potem morebiten incident sam po sebi še ne pomeni nepravilnega ravnanja. Tudi ob skrbnem in odgovornem upravljanju namreč popolne informacijske varnosti ni mogoče zagotoviti, česar ne zahteva niti regulativni okvir. Drugačna pa je situacija, kadar se pokaže, da subjekt tveganj ni ustrezno ocenjeval, da sprejete odločitve niso temeljile na razumnih in dokumentiranih podlagah, da se varnostni ukrepi niso izvajali ali da vodstvo ni imelo ustreznega nadzora nad področjem informacijskih tveganj. V takšnih primerih incident ni več zgolj posledica neizogibnega poslovnega tveganja, temveč odraz pomanjkljivega upravljanja in organizacijskih pomanjkljivosti.

V primerjavi s prej veljavnim ZInfV predvideva sedaj veljavni InfV-1 veliko strožje sankcije za primer kršitev obveznosti na področju informacijske varnosti. V 52. členu ZInfV-1 je globa na primer predpisana v višini od 0,5 odstotka do 2 odstotka skupnega letnega prometa pravne osebe, doseženega v preteklem poslovnem letu, vendar ne manj kot 10.000,00 EUR in ne več kot 10.000.000,00 EUR, odvisno od tega, kateri znesek je višji. Za prekrške iz ZInfV-1 se sme v hitrem prekrškovnem postopku izreči globa tudi v znesku, ki je višji od najnižje predpisane globe, določene s tem zakonom.

Za nadzor nad izvajanjem določb ZInfV-1, na njegovi podlagi sprejetih predpisov in nad izvršitvijo upravnih odločb, so pristojni inšpektorji za informacijsko varnost pristojnega nacionalnega organa (URSIV), razen na obrambnem področju, kjer ta nadzor izvaja Inšpektorat Republike Slovenije za obrambo, ter na področju obveščevalno-varnostne dejavnosti, kjer ta nadzor izvaja Inšpektorat Republike Slovenije za notranje zadeve. Inšpektorji so pristojni za izvajanje rednih in izrednih inšpekcij, vključno z zahtevo za predložitev dokumentacije, opravljanjem pregledov na kraju samem ali na daljavo in naložitvijo začasnih ukrepov. Pod določenimi pogoji lahko inšpektor z odločbo zahteva tudi začasno prepoved opravljanja vodstvenih funkcij vsem osebam, ki za bistveni subjekt opravljajo poslovodne naloge na ravni glavnega izvršnega direktorja ali pravnega zastopnika.

ZInfV-1 in Direktiva NIS 2 torej predstavljata korenito spremembo paradigme na področju kibernetske varnosti v vse bolj digitaliziranem okolju.