Kako ISO/IEC 27001:2022 ubrzava usklađivanje s NIS2 za mala i srednja poduzeća

Direktiva NIS2 stupila je na snagu i za mnoga mala i srednja poduzeća predstavlja regulatorni val velikih razmjera. Ako ste malo ili srednje poduzeće u kritičnom sektoru ili dio većeg opskrbnog lanca, od vas se sada očekuje viša razina kibernetičke sigurnosti. Ovaj vodič pokazuje kako učinkovito i strateški koristiti globalno priznati okvir ISO/IEC 27001:2022 za ispunjavanje zahtjeva NIS2.

Što je u pitanju

Direktiva o sigurnosti mrežnih i informacijskih sustava (NIS2) ambiciozan je korak EU-a prema jačanju kibernetičke otpornosti u kritičnim sektorima. Za razliku od prethodne direktive, NIS2 znatno šire obuhvaća organizacije, uključuje više industrija i uvodi izravnu odgovornost najvišeg rukovodstva. Za malo ili srednje poduzeće nepripremljenost nije opcija. Direktiva propisuje osnovni skup sigurnosnih mjera, stroge rokove za prijavljivanje incidenata i čvrsto upravljanje rizicima u opskrbnom lancu. Neusklađenost može dovesti do značajnih novčanih kazni, operativnih poremećaja i ozbiljne reputacijske štete koja može ugroziti ključne poslovne odnose.

U svojoj biti, NIS2 zahtijeva da organizacije usvoje proaktivan pristup kibernetičkoj sigurnosti temeljen na riziku. Članak 21 direktive definira minimalni skup mjera, uključujući politike za analizu rizika, upravljanje incidentima, neprekidnost poslovanja i sigurnost opskrbnog lanca. To nije jednostavna vježba označavanja kućica. Regulatori će očekivati dokaze o stvarnom i aktivnom sigurnosnom programu koji razumije vlastite prijetnje i ima implementirane odgovarajuće kontrole za njihovo ublažavanje. Za malo ili srednje poduzeće s ograničenim resursima izgradnja takvog sustava od nule može biti zahtjevna i dovesti do rascjepkanih aktivnosti koje ne zadovoljavaju cjelovita očekivanja direktive.

Uzmimo primjer srednje velike logističke tvrtke koja pruža usluge prijevoza za prehrambeni sektor. Prema NIS2, takva se organizacija sada smatra „važnim subjektom”. Ransomware napad koji šifrira njezine sustave za planiranje rasporeda i ruta mogao bi zaustaviti operacije na više dana, uzrokovati kvarenje robe i dovesti do kršenja obveza u opskrbnom lancu. Prema NIS2, takav incident morao bi se prijaviti nadležnim tijelima u roku od 24 sata. Tvrtka bi se također suočila s preispitivanjem svojih praksi upravljanja rizicima. Jesu li postojale odgovarajuće sigurnosne kopije? Je li pristup kritičnim sustavima bio kontroliran? Jesu li dobavljači softvera bili sigurnosno provjereni? Bez strukturiranog okvira dokazivanje dubinske analize dobavljača postaje kaotičan, često neuspješan pokušaj naknadnog prikupljanja dokaza.

Kako izgleda dobro postavljen pristup

Postizanje usklađenosti s NIS2 ne mora značiti izmišljanje novog modela od početka. Sustav upravljanja informacijskom sigurnošću (ISMS) izgrađen prema ISO/IEC 27001:2022 pruža izvrsnu osnovu. Standard je osmišljen kako bi organizacijama pomogao sustavno upravljati rizicima informacijske sigurnosti. Ta prirodna usklađenost znači da implementacijom ISO 27001 istodobno izgrađujete upravo one sposobnosti i dokumentaciju koje NIS2 zahtijeva. Time se zahtjevan regulatorni teret pretvara u strukturiran i upravljiv projekt koji donosi mjerljivu poslovnu vrijednost izvan same usklađenosti.

Sinergija je vidljiva u više područja. Zahtjev NIS2 za procjenom rizika i sigurnosnim politikama sama je srž točaka 4 do 8 standarda ISO 27001. Snažan naglasak direktive na sigurnosti opskrbnog lanca izravno je pokriven kontrolama iz Priloga A, kao što su 5.19, 5.20 i 5.21, koje uređuju sigurnost u odnosima s dobavljačima. Slično tome, zahtjevi NIS2 za upravljanje incidentima i neprekidnost poslovanja zadovoljavaju se implementacijom kontrola 5.24 do 5.30. Korištenjem ISO 27001 uspostavljate jedinstven i koherentan sustav koji zadovoljava više zahtjeva, štedi vrijeme, smanjuje dupliciranje napora i pruža jasan prikaz za revizore i regulatore. Naša sveobuhvatna biblioteka kontrola pomaže vam precizno mapirati te zahtjeve. Zenith Controls¹

Zamislite malog pružatelja upravljanih usluga (MSP) koji hostira infrastrukturu za lokalnu bolnicu. Bolnica je prema NIS2 „ključni subjekt” i mora osigurati da su njezini dobavljači sigurni. MSP stjecanjem certifikacije prema ISO 27001 može odmah pružiti međunarodno priznato jamstvo da ima čvrst ISMS. Može se pozvati na svoju procjenu rizika, Izjavu o primjenjivosti i izvješća interne revizije kao konkretne dokaze usklađenosti. Time ne samo da ispunjava zahtjeve bolnice za dubinskom analizom dobavljača prema NIS2, nego stječe i snažnu konkurentsku prednost koja otvara vrata dodatnom poslovanju u reguliranim sektorima.

Praktičan put

Izgradnja ISMS-a usklađenog s ISO 27001 i NIS2 strateški je projekt, a ne samo IT zadatak. Zahtijeva metodičan pristup koji počinje razumijevanjem organizacije i njezinih rizika, a zatim sustavnom implementacijom kontrola za upravljanje tim rizicima. Podjelom puta na logične faze čak i mali tim može ostvarivati stalan i dokaziv napredak. Ovaj pristup osigurava izgradnju sustava koji nije samo usklađen, nego je i stvarno učinkovit u zaštiti poslovanja. Cilj je uspostaviti održiv sigurnosni program, a ne samo proći reviziju.

Faza 1: Uspostavite temelje (1.–4. tjedan)

Prva faza odnosi se na postavljanje temelja. Prije nego što možete upravljati rizikom, morate razumjeti svoj kontekst. To uključuje definiranje onoga što želite zaštititi (opseg), osiguravanje predanosti vodstva te utvrđivanje svih pravnih i regulatornih obveza, pri čemu je NIS2 jedan od glavnih pokretača. Taj temeljni rad, vođen točkama 4 i 5 standarda ISO 27001, ključan je kako bi vaš ISMS bio usklađen s poslovnim ciljevima i imao potrebne ovlasti za uspjeh. Bez jasnog opsega i podrške vodstva, čak će i najbolji tehnički napori biti nedostatni.

• Definirajte opseg ISMS-a: Jasno dokumentirajte koji će dijelovi poslovanja, sustavi i lokacije biti obuhvaćeni.
• Osigurajte predanost uprave: Pribavite formalno odobrenje i resurse od najvišeg rukovodstva. To je neupitan zahtjev i za ISO 27001 i za NIS2.
• Utvrdite zainteresirane strane i zahtjeve: Popišite sve dionike (klijente, regulatore, partnere) i njihova sigurnosna očekivanja, uključujući konkretne članke NIS2.
• Formirajte tim za implementaciju: Dodijelite uloge i odgovornosti za izgradnju i održavanje ISMS-a.

Faza 2: Procijenite rizike i planirajte obradu rizika (5.–8. tjedan)

Ovo je središnji dio vašeg ISMS-a. U ovoj fazi sustavno ćete identificirati, analizirati i vrednovati rizike informacijske sigurnosti. Proces mora biti formalan i ponovljiv. Identificirat ćete kritičnu imovinu, prijetnje koje joj mogu naštetiti i ranjivosti koje je izlažu tim prijetnjama. Rezultat je prioritizirani popis rizika koji omogućuje donošenje informiranih odluka o usmjeravanju resursa. Ta procjena rizika izravno zadovoljava ključni zahtjev iz članka 21 NIS2 i pruža dokazivu osnovu za sigurnosnu strategiju. Naš implementacijski predložak pruža potrebne alate, uključujući unaprijed pripremljen registar rizika, za pojednostavnjenje ovog procesa. Zenith Blueprint²

• Izradite popis imovine: Dokumentirajte svu važnu informacijsku imovinu, uključujući podatke, softver, hardver i usluge.
• Provedite procjenu rizika: Upotrijebite definiranu metodologiju za identifikaciju prijetnji i ranjivosti za svaku imovinu, a zatim izračunajte razine rizika.
• Odaberite mogućnosti obrade rizika: Za svaki značajan rizik odlučite hoćete li ga ublažiti, prihvatiti, izbjeći ili prenijeti.
• Izradite plan obrade rizika: Za rizike koje odlučite ublažiti odaberite odgovarajuće kontrole iz Priloga A ISO 27001 i dokumentirajte plan njihove implementacije.
• Izradite Izjavu o primjenjivosti (SoA): Dokumentirajte koje su od 93 kontrole iz Priloga A primjenjive na vašu organizaciju i zašto te obrazložite sva isključenja.

Faza 3: Implementirajte kontrole i izgradite dokaze (9.–16. tjedan)

Nakon što je plan uspostavljen, vrijeme je za provedbu. Ova faza obuhvaća implementaciju politika, postupaka i tehničkih kontrola utvrđenih u planu obrade rizika. Tu se teorija pretvara u praksu. Možda ćete uvoditi višefaktorsku autentifikaciju, pisati novu politiku sigurnosnog kopiranja ili osposobljavati zaposlenike za prepoznavanje phishinga. Ključno je dokumentirati sve što radite. Za svaku kontrolu koju implementirate morate prikupiti dokaze da djeluje učinkovito. Ti će dokazi biti ključni za interne i vanjske revizije te za dokazivanje usklađenosti s NIS2 regulatorima.

• Uvedite tehničke kontrole: Implementirajte sigurnosne mjere kao što su vatrozidi, šifriranje, kontrole pristupa i zapisivanje događaja.
• Izradite i komunicirajte politike: Razvijte i objavite ključne politike koje pokrivaju područja kao što su prihvatljiva uporaba, kontrola pristupa i odgovor na incidente.
• Provedite obuku o sigurnosnoj svijesti: Osposobite sve zaposlenike o njihovim odgovornostima u području informacijske sigurnosti.
• Uspostavite praćenje i mjerenje: Uspostavite procese za praćenje djelotvornosti kontrola i mjerenje učinkovitosti ISMS-a.

Faza 4: Pratite, revidirajte i kontinuirano poboljšavajte (kontinuirano)

ISMS nije jednokratan projekt; riječ je o kontinuiranom ciklusu poboljšanja. Ova završna faza, uređena točkama 9 i 10 standarda ISO 27001, usmjerena je na osiguravanje trajne djelotvornosti ISMS-a. Provodit ćete redovite interne revizije radi provjere usklađenosti i identifikacije slabosti. Uprava će preispitivati učinkovitost ISMS-a kako bi osigurala da i dalje ispunjava poslovne ciljeve. Sva utvrđena pitanja ili nesukladnosti formalno se prate i ispravljaju. Upravo je taj kontinuirani proces praćenja i unaprjeđenja ono što regulatori NIS2 žele vidjeti, jer dokazuje vašu predanost održavanju snažnog sigurnosnog profila.

• Provedite interne revizije: Periodično pregledajte ISMS u odnosu na zahtjeve ISO 27001 i vlastite politike.
• Održavajte preispitivanja uprave: Predstavite učinkovitost ISMS-a najvišem rukovodstvu i donesite strateške odluke.
• Upravljajte nesukladnostima: Implementirajte formalni proces za identifikaciju, dokumentiranje i rješavanje svih problema ili praznina u usklađenosti.
• Pripremite se za certifikacijsku reviziju: Angažirajte vanjsko certifikacijsko tijelo kako bi vaš ISMS bio formalno revidiran i certificiran.

Politike koje osiguravaju primjenu

Politike su okosnica vašeg ISMS-a. One prevode sigurnosnu strategiju u jasna, provediva pravila za cijelu organizaciju. Za usklađenost s NIS2 dobro definirane i dosljedno primjenjivane politike nisu samo dobra praksa; one su zahtjev. Ti dokumenti zaposlenicima daju jasne smjernice, postavljaju očekivanja prema dobavljačima i služe kao ključni dokazi za revizore i regulatore. Pokazuju da je vaš pristup sigurnosti promišljen i sustavan, a ne reaktivan i ad hoc. Dvije temeljne politike koje podržavaju i ISO 27001 i NIS2 jesu Politika upravljanja imovinom i Politika sigurnosnog kopiranja i vraćanja podataka.

Politika upravljanja imovinom³ polazišna je točka svih sigurnosnih aktivnosti. Ne možete zaštititi ono za što ne znate da posjedujete. Ova politika uspostavlja formalan proces za identificiranje, klasificiranje i upravljanje svim informacijskim resursima kroz njihov životni ciklus. Za NIS2 sveobuhvatan popis imovine ključan je za definiranje opsega procjene rizika. On osigurava vidljivost svih sustava, aplikacija i podataka koji podržavaju vaše kritične usluge. Bez toga radite naslijepo i vjerojatno ostavljate značajne praznine u sigurnosnom obuhvatu. Ova politika osigurava jasnu odgovornost i uključivanje svih kritičnih komponenti u sigurnosni program.

Jednako je važna Politika sigurnosnog kopiranja i vraćanja podataka⁴. Članak 21 NIS2 izričito zahtijeva mjere za neprekidnost poslovanja, kao što su upravljanje sigurnosnim kopiranjem i oporavak od katastrofe. Ova politika definira pravila o tome koji se podaci sigurnosno kopiraju, koliko često, gdje se sigurnosne kopije pohranjuju i kako se testiraju. U slučaju ometajućeg incidenta kao što je ransomware napad, dobro provedena strategija sigurnosnog kopiranja često je jedino što stoji između brzog oporavka i katastrofalnog poslovnog neuspjeha. Ova politika upravi, klijentima i regulatorima pruža jamstvo da imate vjerodostojan plan za održavanje operativne otpornosti i pravodoban oporavak kritičnih usluga, čime se izravno ispunjava temeljni zahtjev direktive.

Mala inženjerska tvrtka koja projektira komponente za energetski sektor implementirala je formalnu Politiku upravljanja imovinom. Popisivanjem projektnih poslužitelja, licenci za CAD softver i osjetljivih podataka klijenata identificirala je svoju najkritičniju imovinu. To joj je omogućilo da ograničen sigurnosni proračun usmjeri na zaštitu tih visokovrijednih ciljeva snažnijim kontrolama pristupa i šifriranjem, pokazujući zreo pristup temeljen na riziku tijekom revizije dobavljača koju je proveo veliki klijent iz energetskog sektora.

Kontrolni popisi

Kako bismo vam olakšali provedbu, u nastavku su tri praktična kontrolna popisa. Osmišljeni su tako da vas vode kroz ključne faze izgradnje, rada i provjere ISMS-a te osiguraju pokrivanje ključnih zahtjeva standarda ISO/IEC 27001:2022 i Direktive NIS2.

Izgradnja: uspostava okvira ISO 27001 za usklađenost s NIS2

Prije nego što možete operativno voditi usklađen ISMS, morate ga izgraditi na čvrstim temeljima. Ova početna faza odnosi se na planiranje, definiranje opsega te osiguravanje potrebne podrške i resursa. Pogreška u ovoj fazi može narušiti cijeli projekt. Ovaj kontrolni popis pokriva ključne strateške korake potrebne za definiranje ISMS-a i njegovo usklađivanje s načelima upravljanja rizicima koja su u središtu NIS2.

• Osigurati formalno odobrenje uprave i proračun za projekt ISMS-a.
• Definirati i dokumentirati opseg ISMS-a, uz izričito navođenje usluga koje potpadaju pod NIS2.
• Utvrditi sve primjenjive pravne, regulatorne (NIS2) i ugovorne zahtjeve.
• Uspostaviti popis imovine za sve informacije, hardver, softver i usluge u opsegu.
• Provesti formalnu procjenu rizika radi identifikacije prijetnji i ranjivosti koje se odnose na ključnu imovinu.
• Izraditi plan obrade rizika s opisom kontrola odabranih za ublažavanje identificiranih rizika.
• Izraditi Izjavu o primjenjivosti (SoA) kojom se obrazlaže uključivanje i isključenje svih 93 kontrola iz Priloga A.
• Izraditi i odobriti temeljne politike, uključujući informacijsku sigurnost, upravljanje imovinom i prihvatljivu uporabu.

Operativni rad: održavanje svakodnevne sigurnosne higijene

Usklađenost nije jednokratan događaj. Ona je rezultat dosljedne, svakodnevne operativne discipline. Ovaj kontrolni popis usmjeren je na kontinuirane aktivnosti koje održavaju djelotvornost vašeg ISMS-a i sigurnost organizacije. To su praktične mjere koje revizorima i regulatorima pokazuju da je vaš sigurnosni program aktivan i djelotvoran, a ne samo skup dokumenata na polici.

• Provoditi redovitu obuku o sigurnosnoj svijesti za sve zaposlenike, uključujući simulacije phishinga.
• Primjenjivati postupke kontrole pristupa, uključujući redovite preglede korisničkih ovlaštenja i privilegiranog pristupa.
• Upravljati tehničkim ranjivostima implementacijom sustavnog procesa upravljanja zakrpama.
• Pratiti sustave i mreže radi sigurnosnih događaja i neuobičajenih aktivnosti.
• Provoditi i testirati postupke sigurnosnog kopiranja i vraćanja podataka u skladu s politikom.
• Upravljati promjenama na sustavima i aplikacijama kroz formalan proces kontrole promjena.
• Nadzirati sigurnost dobavljača provođenjem redovitih pregleda i procjena ključnih dobavljača.
• Održavati sigurnost fizičkih lokacija, uključujući kontrolu pristupa osjetljivim područjima.

Provjera: revizija i poboljšavanje ISMS-a

Završni dio cjeline jest provjera. Morate redovito provjeravati rade li kontrole kako je predviđeno i ostvaruje li ISMS svoje ciljeve. Taj krug kontinuiranog poboljšanja temeljno je načelo ISO 27001 i ključno očekivanje NIS2. Ovaj kontrolni popis obuhvaća aktivnosti osiguranja koje upravi i dionicima pružaju povjerenje u vaš sigurnosni profil.

• Planirati i provesti cjelovitu internu reviziju ISMS-a u odnosu na zahtjeve ISO 27001.
• Provoditi redovita penetracijska testiranja ili skeniranja ranjivosti na kritičnim sustavima.
• Testirati Plan odgovora na incidente putem stolnih vježbi ili cjelovitih simulacija.
• Testirati planove oporavka od katastrofe i neprekidnosti poslovanja.
• Održavati formalne sastanke preispitivanja uprave radi procjene učinkovitosti ISMS-a i dodjele resursa.
• Pratiti sve nalaze revizije i nesukladnosti u registru korektivnih radnji do njihova rješavanja.
• Prikupljati i analizirati metrike o djelotvornosti sigurnosnih kontrola.
• Ažurirati procjenu rizika najmanje jednom godišnje ili pri značajnim promjenama.

Uobičajene zamke

Put prema istodobnoj usklađenosti s ISO 27001 i NIS2 zahtjevan je, a nekoliko uobičajenih pogrešaka može zaustaviti i dobro osmišljene napore. Svjesnost o tim zamkama pomaže vam da ih izbjegnete.

• Podcjenjivanje obveza u opskrbnom lancu: NIS2 stavlja dosad nezabilježen naglasak na sigurnost opskrbnog lanca. Mnoga mala i srednja poduzeća usredotoče se samo na interne kontrole i zaborave provesti dubinsku analizu svojih kritičnih dobavljača. Ako vaš pružatelj usluga u oblaku ili dobavljač softvera doživi sigurnosni neuspjeh koji utječe na vas, i dalje ste odgovorni prema NIS2. Morate imati proces za procjenu i upravljanje rizikom dobavljača.
• Tretiranje provedbe kao isključivo IT projekta: Iako je IT snažno uključen, informacijska sigurnost poslovno je pitanje. Bez stvarne podrške i vodstva s vrha, ISMS neće imati potrebne ovlasti ni resurse. NIS2 izričito stavlja odgovornost na upravu, stoga ona mora aktivno sudjelovati u upravljanju rizicima i odlukama o rizicima.
• Izrada dokumentacije koja se ne primjenjuje: Najveća je zamka izraditi uredan skup dokumenata koje nitko ne slijedi. ISMS je živi sustav. Ako se politike ne komuniciraju, postupci ne slijede, a kontrole ne prate, postignut je samo lažan osjećaj sigurnosti. Revizori i regulatori tražit će dokaze o provedbi, a ne samo dokumentaciju.
• Loše ili nejasno definiranje opsega: Preširoko definiran opseg može projekt učiniti neprovedivim za malo ili srednje poduzeće. Preusko definiran opseg može izostaviti kritične sustave koji potpadaju pod NIS2, čime nastaje velika praznina u usklađenosti. Opseg se mora pažljivo razmotriti i jasno uskladiti s kritičnim uslugama i poslovnim ciljevima.
• Zanemarivanje testiranja odgovora na incidente: Imati Plan odgovora na incidente osnovni je zahtjev. Međutim, ako plan nikada nije testiran, vjerojatno će zakazati tijekom stvarne krize. NIS2 ima vrlo stroge rokove prijavljivanja (početna prijava u roku od 24 sata). Stolna vježba može brzo otkriti praznine u planu, primjerice nejasnoću koga nazvati ili kako brzo prikupiti prave informacije.

Mala tvrtka za financijske usluge stekla je certifikat ISO 27001, ali je Plan odgovora na incidente razmatrala samo na sastancima. Kada je pretrpjela manju povredu podataka, tim nije bio spreman. Izgubili su sate raspravljajući tko ima ovlasti kontaktirati pružatelja kibernetičkog osiguranja i teško su prikupljali potrebne forenzičke podatke, gotovo propustivši regulatorni rok za prijavu.

Sljedeći koraci

Spremni ste izgraditi otporan sigurnosni profil koji zadovoljava i ISO 27001 i NIS2? Naši paketi alata pružaju politike, predloške i smjernice potrebne za ubrzanje vašeg puta prema usklađenosti.

• Zenith Suite
• Complete SME + Enterprise Combo Pack
• Full SME Pack

Reference