Obveznosti in podpora zavezancem po Zakonu o informacijski varnosti (ZInfV-1)

Zakon o informacijski varnosti (ZInfV-1) vzpostavlja pravni in organizacijski okvir za zagotavljanje visoke ravni informacijske in kibernetske varnosti v Republiki Sloveniji. V slovenski pravni red prenaša Direktivo (EU) 2022/2555 o ukrepih za visoko skupno raven kibernetske varnosti v Uniji (direktiva NIS 2) ter krepi nacionalni sistem kibernetske varnosti.

Zakon ureja področje informacijske in kibernetske varnosti, določa pristojnosti pristojnih organov ter opredeljuje naloge in odgovornosti subjektov pri upravljanju tveganj in odzivanju na incidente. Hkrati vzpostavlja nacionalni sistem informacijske in kibernetske varnosti, vključno s skupinami za odzivanje na incidente na področju računalniške varnosti (CSIRT) in Strategijo kibernetske varnosti Republike Slovenije.

ZInfV-1 širi krog zavezancev na bistvene in pomembne subjekte iz Priloge 1 in Priloge 2 zakona. Med zavezance sodijo tudi številni subjekti javnega in zasebnega sektorja, med drugim organi javne uprave, izvajalci kritične infrastrukture ter ponudniki digitalnih storitev.

Zakon je vpeljal nov sistem določanja zavezancev, in sicer je uvedel sistem samoprepoznave oziroma posledično samoregistracije. Tako velja, da morajo subjekti sami preveriti, ali izpolnjujejo pogoje za uvrstitev med zavezance po ZInfV-1. Pri tem se upoštevata predvsem vrsta dejavnosti, ki jo subjekt opravlja, in njegova velikost.

Pri prepoznavi zakonskih obveznosti, pa vsem subjektom URSIV nudi številne oporne dokumente, kjer so na voljo dodatna pojasnila in napotki npr. pojasnila k ZInfV-1. Celotno področje in podporni dokumenti so vsem subjektom na voljo na tej spletni strani. Za aktualne in ažurne informacije, predlagamo redno spremljanje naših objav na spletni strani ali na socialnih omrežjih.

Samoregistracija

V skladu z ZInfV-1 morajo zavezanci izvesti postopek samoregistracije v tridesetih dneh od dneva, ko nastopijo okoliščine, da se uvrstijo med zavezance po ZInfV-1. Zavezanci, ki so ob uveljavitvi ZInfV-1 izpolnjevali merila za zavezance, so morali samoregistracijo opraviti do 19. decembra 2025. Tridesetdnevni rok za samoregistracijo velja tudi za tiste zavezance, ki jim je bila vročena vladna odločba o določitvi zavezanca, in sicer rok teče od dneva vročitve odločbe.

Zavezanci se samoregistrirajo preko uradnega digitalnega obrazca, ki ga je vzpostavil URSIV. Obrazec organizacijam pomaga pri ugotavljanju ali izpolnjujejo pogoje za zavezanca. V primeru, da organizacija izpolnjuje merila za zavezanca po ZInfV-1, podatke o samoregistraciji v digitalni obliki posreduje na elektronski naslov URSIV gp.uiv@gov.si kot elektronsko podpisano datoteko PDF ter datoteko v formatu CSV.

Odgovornost vodstva

Vodstvo subjekta mora podpirati zagotavljanje informacijske in kibernetske varnosti ter področje informacijske in kibernetske varnosti vključiti v letni načrt poslovanja ali letni program dela. Odgovorno je za izvajanje varnostne dokumentacije in ukrepov za obvladovanje tveganj.

Izobraževanje vodstva

Najmanj vsake štiri leta se mora vodstvo izobraževati oziroma usposabljati na področju obvladovanja tveganj informacijske in kibernetske varnosti ter njihovega vpliva na dejavnosti ali storitve, ki jih izvaja subjekt. Usposabljanja odgovornih oseb izvaja URSIV.

Izobraževanje skrbnikov informacijsko-komunikacijskih sistemov zavezancev (skrbnikov)

Odgovorne osebe morajo zagotoviti, da vsi skrbniki opravijo redno letno usposabljanje. S tem pridobijo potrebna nova znanja in hkrati ohranjajo raven že pridobljenih znanj ter spretnosti.

Zavezanci na ta način zagotavljajo, da so skrbniki ustrezno usposobljeni za prepoznavanje in ocenjevanje tveganj ter oceno praks obvladovanja tveganj za informacijsko in kibernetsko varnost ter njihov vpliv na storitve subjekta. Ker ZInfV-1 zahteva, da so skrbniki sposobni ocenjevati tveganja in prakse obvladovanja tveganj v svojem okolju, morajo biti usposabljanja prilagojena njihovim dejanskim nalogam in odgovornostim.

Obveznost zagotavljanja rednega letnega usposabljanja skrbnikom je vsebinski standard, zato ni dovolj zgolj formalna udeležba. Usposabljanja morajo biti ciljno usmerjena na naloge skrbnikov (aplikacije, omrežja, oblačne storitve, strežniška infrastruktura ipd.). Namenjena morajo biti nadgradnji njihovih kompetenc ter biti dokazljivo izvedena, in sicer tako, da lahko zavezanec ob nadzoru jasno pokaže načrt, izvedbo, učne izide ter učinke na obvladovanje tveganj.

Usposabljanja morajo omogočati – glede na potrebe in poznavanje lastnih sistemov – pridobivanje, vzdrževanje in nadgradnjo kompetenc za opravljanje dodeljenih nalog. Potrdilo o usposabljanju mora izkazovati pridobljene veščine/znanja/kompetence. ZInfV-1 ne določa posameznih usposabljanj ali izvajalcev, odgovornost vsake posamezne organizacije je, da glede na lastne sisteme in dodeljene naloge posameznikom opredeli, katera znanja/veščine/kompetence so potrebne za ustrezno opravljanje dodeljenih nalog.

Usposabljanje zaposlenih

Odgovorne osebe prav tako zagotavljajo redno usposabljanje vseh zaposlenih, da pridobijo dovolj znanj in spretnosti, s katerimi se usposobijo za prepoznavanje tveganj za informacijsko in kibernetsko varnost ter njihovega vpliva na storitve, ki jih opravlja subjekt. URSIV priporoča, da usposabljanje zaposlenih obsega prepoznavanje spletnih prevar in zlonamerne programske opreme, varno uporabo gesel, naprav in omrežij ter ustrezno ravnanje z informacijami, vsebine pa naj se prilagodijo posameznim delovnim vlogam.

Na voljo so tudi vsa gradiva iz serije spletnih strokovnih delavnic za doseganje skladnosti z ZinfV-1, ter strokovne delavnice na temo storitev varnostno-operativnih centrov in odzivanju na najpogostejše kibernetske incidente, ki jih je URSIV izvedel v sodelovanju z Agencijo Evropske unije za kibernetsko varnost (ENISA) v okviru Podpornih aktivnosti (ang. Support action).

Organizacijam je na voljo brezplačni spletni tečaj »Varni v pisarni«, ki ga izvaja nacionalni odzivni center za kibernetsko varnost SI-CERT in financira URSIV. Tečaj je namenjen zaposlenim ter ponuja praktična znanja in napotke za prepoznavanje tveganj, varno uporabo digitalnih tehnologij in ustrezno ravnanje ob kibernetskih incidentih.

Varnostna dokumentacija

Za odpornost svojih omrežnih in informacijskih sistemov ter visoko raven informacijske varnosti morajo bistveni in pomembni subjekti vzpostaviti ter vzdrževati dokumentirani sistem upravljanja:

• varovanja informacij in
• neprekinjenega poslovanja.

Vključevati morata najmanj:

• politiko o varnosti omrežnih in informacijskih sistemov,
• popis sredstev za nemoteno delovanje omrežnih in informacijskih sistemov,
• analizo obvladovanja tveganj z opredelitvijo sprejemljive ravni in metodologije,
• načrt in politiko neprekinjenega poslovanja,
• načrt obnovitve in ponovne vzpostavitve delovanja omrežnih in informacijskih sistemov,
• načrt odzivanja na incidente s protokolom obveščanja pristojne skupine CSIRT,
• načrt varnostnih ukrepov za zagotavljanje celovitosti, avtentičnosti, zaupnosti in razpoložljivosti omrežnih in informacijskih sistemov,
• politiko s postopki za presojo učinkovitosti varnostnih ukrepov.

Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) je pripravil vzorčno varnostno dokumentacijo, ki je zasnovana kot pomoč predvsem malim in srednje velikim organizacijam pri izpolnjevanju zahtev ZinfV-1 ter pri vzpostavljanju celovitega sistema upravljanja informacijske in kibernetske varnosti.  

Vzorčna varnostna dokumentacija vsebuje najpogostejše splošne in posebne varnostne politike ter ukrepe za zagotavljanje varnosti omrežnih in informacijskih sistemov. Dokumenti niso univerzalna rešitev, temveč izhodiščni okvir, ki ga mora vsaka organizacija prilagoditi svoji dejanski informacijsko-komunikacijski infrastrukturi, posebnostim svojega sektorja, obsegu poslovanja, uporabi zunanjih ponudnikov storitev ter rezultatom izvedene analize obvladovanja tveganj.

V pomoč organizacijam pri vzpostavitvi temeljev je URSIV objavil gradiva iz delavnic Pregled varnostne dokumentacije.

Sprejem ukrepov za obvladovanje tveganj

Zavezanci morajo sprejeti konkretne ukrepe za obvladovanje tveganj, ki grozijo njihovim informacijskim in omrežnim sistemom.

Ukrepi za obvladovanje tveganj naj bodo ob upoštevanju vseh nevarnosti učinkoviti, prilagojeni, skladni, sorazmerni, konkretni in preverljivi:

• podpora vodstva in vključitev varnosti v poslovne načrte,
• zagotavljanje integritete kadrov pred, med in po končanju delovnega razmerja,
• osnovna kibernetska higiena in redna usposabljanja zaposlenih,
• redno izvajanje varnostnih kopij,
• preverjanje identitete uporabnikov in skrbno upravljanje dostopov,
• ohranjanje dnevniških zapisov o delovanju sistemov,
• raba kriptografije s šifriranjem, kjer je potrebno,
• jasno določene odgovornosti za zaščito it-sistemov,
• upravljanje podatkovnega prometa in komunikacij,
• varnostne zahteve za ključne dobavitelje in ponudnike storitev.

Ukrepi naj sledijo najboljšim evropskim in mednarodnim standardom ter upoštevajo stroške izvedbe.

Poleg tega morajo ukrepi obsegati tudi:

• fizično in tehnično varovanje objektov in prostorov,
• uporabo varne programske opreme,
• upravljanje tehničnih ranljivosti,
• zaščito pred zlonamerno programsko kodo,
• uporabo večfaktorske avtentikacije in varne komunikacije,
• varno upravljanje oblačnih storitev.

Sprejeti je treba ukrepe, ki so sorazmerni tveganjem, pri čemer se upošteva:

• stopnjo izpostavljenosti tveganjem,
• velikost subjekta,
• verjetnost pojava incidentov,
• resnost morebitnih incidentov, vključno z njihovim vplivom.

Vsaj enkrat letno ali v rednih obdobjih in ob zaznanih ranljivostih morajo subjekti preveriti izpolnjevanje varnostnih ukrepov in sprejeti popravne ukrepe, če zaščita ni učinkovita.

Priglašanje incidentov

ZInfV-1 uvaja nova pravila za priglašanja incidentov. Bistveni in pomembni subjekti morajo pristojni skupini za odzivanje na incidente na področju računalniške varnosti (CSIRT) priglasiti vse incidente, ki imajo pomemben vpliv na zagotavljanje njihovih storitev in se štejejo za pomembne incidente. Pri tem se incident šteje za pomembnega če:

• je zadevnemu subjektu povzročil ali bi mu lahko povzročil resne operativne motnje pri opravljanju storitev ali finančne izgube ali
• je vplival ali bi lahko vplival na druge fizične ali pravne osebe s povzročitvijo precejšnje premoženjske ali nepremoženjske škode.

Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) je pripravil napotke za priglašanje incidentov, ki so namenjeni predvsem zavezancem po ZInfV-1, ki izvajajo obvezno priglašanje pomembnih incidentov. Uporabljajo jih lahko tudi subjekti, ki prostovoljno priglašajo incidente, kibernetske grožnje in skorajšnje incidente, ter vse druge organizacije, ki želijo prispevati k učinkovitejšemu odzivanju na incidente informacijske in kibernetske varnosti.

Priprava ocene skladnosti in samoocena skladnosti

Bistveni subjekti morajo najmanj vsaki dve leti ali po pomembnem incidentu izvesti oceno skladnosti, ki jo opravi revizor informacijskih sistemov ali notranji revizor z ustrezno strokovno podporo, in pripraviti poročilo ter načrt odprave morebitnih neskladnosti.

Pomembni subjekti pa v enakih rokih izvajajo samooceno skladnosti, s katero preverijo izvajanje ukrepov informacijske varnosti in skladnost z varnostno dokumentacijo. Samoocena skladnosti se lahko izvede tudi v okviru notranje revizije. Ob izpolnjevanju predpisanih zahtev pomembni subjekt sestavi izjavo o skladnosti, v nasprotnem primeru sestavi izjavo o ugotavljanju neskladnosti, kjer navede ugotovljene neskladnosti in način njihove odprave z roki za izvedbo.

Predložitev podatkov in informacij URSIV

Bistveni in pomembni subjekti morajo URSIV na podlagi pisne zahteve predložiti podatke in informacije, ki jih ta potrebuje za izvajanje svojih pristojnosti v roku, ki ga določi v svoji pisni zahtevi.

Zahtevani podatki in informacije morajo biti sorazmerni namenu, za katerega bodo uporabljeni. URSIV v zahtevi navede namen uporabe zahtevanih podatkov in informacij.

Inšpekcijski nadzor

Nadzor nad izvajanjem zakona o informacijski varnosti (ZInfV-1) opravlja Inšpekcija za informacijsko varnost v okviru URSIV. Nadzor se lahko izvede kot:

• redno načrtovan nadzor, v skladu s strateškimi usmeritvami in prioritetami inšpekcije;
• izredni nadzor, po zaznavi odmevnega incidenta ali suma neskladnosti.

Potek nadzora obsega:

• Pregled varnostne dokumentacije zavezanca (politike, postopki, načrti, ocene tveganj).
• Preverjanje izvajanja varnostnih ukrepov – ali so ukrepi le zapisani ali tudi dejansko izvajani.
• Inšpekcijski varnostni pregled omrežja – tehnični pregled za ugotavljanje ustreznosti implementacije predpisanih varnostnih kontrol in učinkovitosti zaščite.
• Ogled prostorov – fizično-tehnično varovanje lokacij, kjer se nahajajo ključni informacijski sistemi (npr. strežniške sobe).
• Ocena odzivnosti na incidente, vključno s preverjanjem ali je odzivanje ustrezno in so obveščene skupine CSIRT ter ostali deležniki.

Nadzor se zaključi z zapisnikom, lahko pa tudi z odločbo o odpravi ugotovljenih nepravilnosti. V primeru ugotovljenih hujših ali večkratnih kršitev zakonskih zahtev se izvede prekrškovni postopek in naloži globo.

V primeru ugotovljenih hujših in ponavljajočih se kršitev lahko inšpektor  odredi tudi izvedbo revizije skladnosti s predpisi s področja informacijske in kibernetske varnosti, ki jo izvede revizor informacijskih sistemov in tudi zavezancu odredi, da javno objavi kršitve ZInfV-1.

Pogoste ugotovitve inšpekcijskega nadzora

Iz izkušenj inšpekcije izhaja, da ima veliko zavezancev težave pri dejanski izvedbi zakonskih obveznosti. Pogoste ugotovitve so:

• Manjkajoča, nepopolna ali neustrezna varnostna dokumentacija.
• Neizvedena ali neustrezno izvedena analiza tveganj.
• Varnostne politike so “kopirane” ali generične, brez povezave z realnim stanjem organizacije ali se v praksi ne izvajajo.
• Ne izvaja se usposabljanj zaposlenih in ključnega IT kadra.
• Ni določene minimalne ravni poslovanja in postopkov za obnovo po katastrofi.
• Varnostne zahteve do ključnih dobaviteljev niso prenesene v pogodbe, nadzor nad ključnimi dobavitelji pa se ne izvaja.

Posebej opozarjamo, da status zavezanca sam po sebi ne pomeni skladnosti z zakonom – organizacija mora sprejete ukrepe tudi dejansko izvajati in jih preverjati.

Pogosto ukrepi obstajajo le "na papirju", kar pomeni, da varnostni mehanizmi niso tehnično ali organizacijsko podprti v praksi.

Inšpekcija spodbuja preventivni pristop – bolje pripravljena organizacija pomeni manj težav ob nadzoru in višjo raven zaščite pred kibernetskimi grožnjami.

Nasvet 1: Poskrbite, da so vsi vaši dokumenti usklajeni z zahtevami ZInfV-1 in, da so ukrepi kibernetske varnosti dokumentirani, uvedeni in preverljivi v praksi.

Nasvet 2: S ključnimi dobavitelji oziroma pogodbenimi partnerji sklenite anekse k veljavnim pogodbam, v katerih boste od njih zahtevali izvajanje predpisanih varnostnih ukrepov in omogočili izvajanje dolžnega nadzorstva.

Ocena ogroženosti kibernetske varnosti v Republiki Sloveniji

Ocena ogroženosti kibernetske varnosti v Republiki Sloveniji je strateški proces, ki ga izvaja URSIV kot pristojni nacionalni organ za informacijsko varnost. Namen ocene je ugotoviti stopnjo izpostavljenosti države kibernetskim grožnjam in ranljivostim, oceniti tveganja kibernetske varnosti in določiti ukrepe na ravni države za izboljšanje odpornosti ključnih sistemov in storitev. Zavezanci in ostali subjekti morajo redno spremljati oceno ogroženosti in ugotovitve ter priporočila v obliki ukrepov upoštevati pri obvladovanju tveganj kibernetske varnosti informacijsko-komunikacijskih sistemov, omrežij in storitev.

Nacionalni komunikacijski načrt odzivanja v primeru kibernetskih incidentov

Nacionalni komunikacijski načrt odzivanja v primeru kibernetskih incidentov, ki je dostopen spodaj v razdelku Pomembni dokumenti, je celota ukrepov na področju komuniciranja vseh odgovornih deležnikov z domačo in tujo javnostjo. Načrt je državni načrt in temelji na nalogah, za katere so odgovorni posamezni ključni deležniki.