Transpozicijom NIS2 Direktive ostvaren je novi regulativni okvir kibernetičke sigurnosti u Republici Hrvatskoj. Regulativni okvir utemeljen je Zakonom o kibernetičkoj sigurnosti (NN 14/2024), a nastavlja se razrađivati različitim podzakonskim aktima i smjernicama nadležnih tijela. Ključni elementi novog regulativnog okvira su mjere kibernetičke sigurnosti, koje se utvrđuju kao obvezujuće i povezuju se s obvezama upravljanja rizicima i to za subjekte odabrane po općim i posebnim kriterijima iz Zakonom utvrđenih sektora, podsektora i vrsta subjekata. Regulativni okvir uvodi i obveze prijave značajnih kibernetičkih incidenata, kao i nacionalni program upravljanja kibernetičkim incidentima velikih razmjera i kibernetičkim krizama. Predviđeno je i više načina nadzora provedbe obveza u subjektima obveznicima, kroz procese samoprocjene, revizije i stručnog nadzora, kao i mogućnost korištenja određenih nacionalnih usluga i resursa u okviru dobrovoljnog postupanja pravnih osoba koje nisu obveznici Zakona. Početak provedbe Zakona s jedne strane obilježava inicijalna kategorizacija subjekata koju provode nadležna tijela iz Zakona, a s druge strane donošenje niza smjernica koje će olakšati provedbu mjera kategoriziranim subjektima.

Zavod za sigurnost informacijskih sustava (ZSIS) je temeljem Zakona o kibernetičkoj sigurnosti ("Nardone novine", 14/2024) i Uredbe o kibernetičkoj sigurnosti ("Nardone novine", 135/2024) izradio Smjernice za provedbu samoprocjene kibernetičke sigurnosti u skladu s obvezama iz Uredbe o kibernetičkoj sigurnosti. Smjernice su namijenjene subjektima koji podliježu regulatornim zahtjevima te pružaju osnovu za dosljednu i usklađenu procjenu stanja kibernetičke sigurnosti unutar organizacija. Svrha Smjernica jest pružiti strukturirani okvir koji omogućava institucijama i organizacijama da samostalno procijene razinu svoje kibernetičke otpornosti, identificiraju potencijalne slabosti i definiraju prioritete za unaprjeđenje sigurnosnih mjera. Smjernice podržavaju koncept kontinuiranog poboljšanja sigurnosnog stanja kibernetičke sigurnosti organizacija te olakšavaju praćenje napretka u usklađivanju sa zahtjevima propisanim zakonodavnim aktima. Smjernice su strukturirane tako da najprije definiraju opći okvir za samoprocjenu, uključujući osnovne principe, ciljeve i preporučeni pristup. Nadalje, predviđena je upotreba Kalkulatora za samoprocjenu kibernetičke sigurnosti, praktičnog alata koji omogućuje kvantificiranu procjenu stupnja usklađenosti organizacije s definiranim sigurnosnim zahtjevima. Uz to, dokument sadrži okvir za evaluaciju mjera upravljanja kibernetičkim rizicima, kojim se standardizira način vrednovanja učinkovitosti provedenih sigurnosnih aktivnosti. Na kraju, priložen je i katalog kontrola, koji predstavlja skup preporučenih tehničkih i organizacijskih mjera svrstanih prema sigurnosnim domenama. Poseban naglasak stavljen je na važnost redovitog provođenja samoprocjena kao mehanizma za praćenje stanja kibernetičke sigurnosti, kao i na prilagodbu procjena u skladu s promjenama rizika i tehnološkim razvojem. Nacrt prijedloga Smjernica bio je dostupan i putem portala e-Savjetovanja, čime je omogućeno uključivanje šire stručne javnosti u proces oblikovanja konačnog dokumenta. Samoprocjena kibernetičke sigurnosti, uz primjenu metodološkog pristupa propisanog ovim Smjernicama, predstavlja ključni instrument za podizanje razine kibernetičke otpornosti institucija i doprinosi ukupnoj sigurnosti informacijskog prostora Republike Hrvatske. Nadalje, Smjernice za samoprocjenu predstavljati će i jasan smjer razvoja budućih nacionalnih pravila za provođenje revizija kibernetičke sigurnosti. Svrha predavanja je upoznati sudionike s osnovnim načelima i strukturom Smjernica za provedbu samoprocjene kibernetičke sigurnosti te naglasiti važnost samostalne procjene stanja sigurnosti u organizacijama.

Kroz predavanje pojasnit će se širi okvir obveze kategoriziranih subjekata temeljem Zakona o kibernetičkoj sigurnosti da obavještavaju o značajnim incidentima. Proći će se kroz postupak prijave značajnog incidenta, objasniti korake koje subjekti trebaju napraviti i prikazati kako taj proces podržava Platforma PiXi.

Najveća kibernetička prijetnja zdravstvenom sektoru su ucjenjivački (ransomware) napadi. Prezentacija će proći kroz primjere nedavnih ransomware napada te naučenih lekcija: kako takve napade spriječiti, kako ih detektirati prije eksfiltracije podataka i zaključavanja sustava odnosno kako se oporaviti od njih u slučaju uspješnog napada.

Europska komisija pokrenula je 15. siječnja Akcijski plan EU-a za kibernetičku sigurnost bolnica i pružatelja zdravstvenih usluga. Taj je plan ključni prioritet, u skladu s obvezom utvrđenom u političkim smjernicama predsjednice Von der Leyen za mandat nove Komisije za razdoblje 2024. – 2029. Predviđa se postupna provedba nekoliko posebnih mjera u razdoblju 2025.–2026. u suradnji s državama članicama, pružateljima zdravstvene zaštite i zajednicom za kibersigurnost. Konkretno, predlaže se da ENISA uspostavi paneuropski centar za potporu kibernetičkoj sigurnosti za bolnice i pružatelje zdravstvene zaštite, osmišljen kako bi im pružio prilagođene smjernice, alate, usluge i osposobljavanje. Predložene zadaće, među ostalim, uključuju razvoj smjernica za dobre prakse i javnu nabavu u području kibernetičke sigurnosti, razvoj regulatornog alata za mapiranje, uspostavu kapaciteta EU-a za otkrivanje kibernetičkih prijetnji zdravstvenom sektoru, uvođenje usluge ranog upozoravanja za sektor, razvoj priručnika za odgovor na kibernetičke incidente. Nadovezujući se na postojeći zakonodavni okvir za kibernetičku sigurnost (NIS2, Cybersecurity Act, Cyber Resilience Act, Cyber Solidarity Act), predložene mjere odgovaraju trenutačnom mandatu ENISA-e kako bi se državama članicama EU-a pomoglo da povećaju otpornost svojih ključnih sektora, istodobno priznajući da države članice zastupaju različite potrebe. Kako bi se postigli ciljevi utvrđeni u akcijskom planu, potrebni su zajednički napori i odgovarajuća sredstva za ispunjavanje novih mjera.

Kroz predavanje predstavit ćemo Nacionalni CERT i usluge koje pruža građanima i tvrtkama. Osvrnut ćemo se na prošlu godinu, trendove koje primjećujemo i očekujemo te ćemo prikazati trenutno aktualne kibernetičke prijetnje te kako ih prepoznati i na njih reagirati.