Plan kontinuiteta poslovanja prema NIS2: kako povezati BCP, analizu rizika i krizne vježbe

Plan kontinuiteta poslovanja pripremljen u kontekstu zahtjeva NIS2 ne smije biti izdvojena procedura koju održava IT odjel. Mora proizlaziti iz analize utjecaja prekida na poslovanje i analize rizika, utvrđivati prioritete oporavka procesa te se redovito provjeravati vježbama. Njegovu učinkovitost ne potvrđuju izjave, nego sposobnost organizacije da pravodobno donese odluke, aktivira zamjenski način rada, uspostavi minimalnu razinu poslovanja i sigurno se vrati u redovan režim rada.

Kontinuitet poslovanja upravljačka je odluka

Izrada plana kontinuiteta poslovanja ne počinje predloškom procedure ni popisom informacijskih sustava. Polazište su usluge, proizvodi i procesi čiji prekid može ugroziti ispunjenje obveza, sigurnost, usklađenost sa zahtjevima ili financijsku stabilnost poduzeća. Opseg plana treba proizaći iz analize utjecaja prekida na poslovanje. Potrebno je utvrditi kako se posljedice povećavaju tijekom vremena, kada prelaze razinu koju je rukovodstvo spremno prihvatiti te kojim redoslijedom treba obnoviti operativne sposobnosti.

Najdulje prihvatljivo trajanje prekida i prihvatljivu razinu gubitaka ne bi smio samostalno određivati IT odjel. Te parametre odobrava rukovodstvo na temelju podataka koje dostavljaju vlasnici procesa te funkcije financija, usklađenosti, sigurnosti i tehnologije. Vlasnik procesa definira zahtjeve kontinuiteta, dok vlasnik plana koordinira pripremu i održavanje rješenja. Ako te uloge nisu povezane zajedničkim mehanizmom odlučivanja, IT štiti infrastrukturu, operativne funkcije odgovaraju za isporuku proizvoda ili usluga, a uprava nema objedinjenu sliku prioriteta oporavka i prihvatljivih prekida.

U proizvodnom pogonu samo ponovno uspostavljanje sustava za planiranje ili upravljanje proizvodnjom ne znači da se isporuke mogu nastaviti. Proizvodnja može ostati zaustavljena zbog nedostupnosti tehnoloških podataka, ovlaštenih operatera, električne energije, komunikacijske veze koju osigurava dobavljač ili odobrene upute za zamjenski način rada. Operativna otpornost postoji tek kada plan obuhvati cijeli lanac procesnih ovisnosti, a ne samo resurse pod nadzorom IT odjela.

Potrebno je razlikovati kontinuitet poslovanja, oporavak IT resursa, odgovor na incidente i upravljanje krizama. Kontinuitet poslovanja odnosi se na održavanje ili ponovno uspostavljanje procesa, IT oporavak na vraćanje tehnologije i podataka, odgovor na incidente na ograničavanje posljedica i obradu događaja, a upravljanje krizama na donošenje odluka u uvjetima ozbiljnog poremećaja. Ti mehanizmi trebaju koristiti zajedničke scenarije, pragove eskalacije i pravila odgovornosti, ali nisu međusobno zamjenjivi.

Tek se tako definiran operativni model može povezati s obvezama upravljanja rizicima, kontinuiteta poslovanja, postupanja s incidentima i odgovornosti rukovodstva koje proizlaze iz NIS2 i primjenjivih nacionalnih propisa, uzimajući u obzir status i područje primjene za konkretnu organizaciju. Širi kontekst donosi materijal NIS2 za proizvodna poduzeća: na koga se odnosi, koje obveze uvodi i kako pripremiti organizaciju bez svođenja teme isključivo na IT.

Rizik mora biti preveden u scenarij

Registar rizika usmjerava plan kontinuiteta samo ako prikazuje vezu između prijetnje, ranjivosti, resursa, procesa i poslovne posljedice. Sam popis kibernetičkih prijetnji ne pokazuje kako održati poslovanje. Scenarije zato treba oblikovati prema posljedicama poremećaja, primjerice nedostupnosti upravljačkog sustava, gubitku podataka, prekidu komunikacije, nedostatku osoblja ili nedostupnosti dobavljača. Različiti uzroci mogu dovesti do istog operativnog stanja i zahtijevati istu strategiju kontinuiteta.

Analiza utjecaja na poslovanje i analiza rizika imaju različite, ali komplementarne uloge. Prva utvrđuje značaj prekida, dinamiku povećanja gubitaka i trenutak u kojem posljedice prelaze razinu prihvatljivu rukovodstvu. Druga omogućuje prepoznavanje mogućih izvora događaja, ranjivosti i učinkovitosti postojećih kontrola. Odabrana metodologija i ljestvica ocjenjivanja trebaju omogućiti usporedbu scenarija te svjesno prihvaćanje preostalog rizika u skladu sa sklonošću organizacije preuzimanju rizika.

Broj scenarija preporučljivo je ograničiti na različite posljedice koje zahtijevaju drukčije odluke, resurse ili redoslijed oporavka. Zasebna analiza svake tehničke varijante obično ne povećava uporabljivost plana, nego otežava njegovo održavanje i primjenu pod vremenskim pritiskom.

Za svaki scenarij potrebno je odrediti najdulje prihvatljivo trajanje prekida, minimalnu razinu poslovanja, potrebne resurse, redoslijed oporavka i osobu ovlaštenu za aktivaciju plana. Parametri se trebaju temeljiti na stvarnim trajanima zastoja i oporavka iz incidenata, kvarova i vježbi te na ugovornim zahtjevima za raspoloživost, rokove isporuke i prijavu poremećaja. Na toj se osnovi mogu mjeriti vrijeme donošenja odluke, vrijeme do postizanja minimalne razine poslovanja i vrijeme potpunog oporavka.

Analiza mora obuhvatiti stvarne ovisnosti procesa o aplikacijama, podacima, infrastrukturi, lokacijama, energentima i drugim komunalnim uslugama, ključnim kompetencijama, IT dobavljačima, integratorima i podugovarateljima. Ako strategija predviđa podršku treće strane, treba provjeriti njezinu dostupnost, vrijeme odziva, kanale eskalacije i zamjenska rješenja, umjesto oslanjanja samo na ugovorne odredbe. Ovu temu dodatno razrađuje tekst NIS2 i sigurnost lanca opskrbe: kako ocjenjivati IT dobavljače, integratore i podugovaratelje.

Plan mora voditi organizaciju kroz poremećaj

Upotrebljiv plan kontinuiteta poslovanja ne opisuje svaki mogući događaj, nego odgovorne osobe vodi kroz slijed ključnih odluka. Treba jasno odrediti tko prepoznaje situaciju, tko proglašava režim kontinuiteta, koje procese treba održavati na minimalnoj razini, kojim redoslijedom obnavljati sposobnosti, kako voditi krizno komuniciranje te na temelju kojih kriterija završiti izvanredni režim.

Razina detalja primjerena je kada plan smanjuje potrebu za tumačenjem pod vremenskim pritiskom, ali ne zamjenjuje tehničke i procesne upute. U većoj organizaciji praktično je uspostaviti krovni plan koji definira upravljanje, eskalaciju i zajedničko djelovanje te ga dopuniti planovima za pojedine procese.

Postupak aktivacije mora imati mjerljive kriterije. Formulacija „u slučaju ozbiljnog kvara” raspravu o tome što znači „ozbiljno” premješta u najnepovoljniji trenutak. Kriterij može biti prekoračenje prihvatljivog trajanja prekida, gubitak pouzdanosti podataka, nemogućnost sigurnog rada, nedostupnost ključnih osoba ili očekivani pad ispod minimalne razine poslovanja koju je odobrio vlasnik procesa. Svako odstupanje treba povezati s radnjom, osobom ovlaštenom za odluku, rokom eskalacije i obveznim zapisom. Sličnu logiku, iako na drugoj operativnoj razini, uređuje Plan reakcije u planu kontrole – kako definirati postupke kada proces izađe izvan granica.

Uloge treba dodjeljivati funkcijama, a ne samo konkretnim osobama. Matrica odgovornosti treba obuhvatiti zamjene, opseg ovlasti, raspoloživost te primarni i pričuvni kanal komunikacije. Popis kontakata s imenima može biti nadzirani prilog, tako da promjena osoblja ne zahtijeva izmjenu cijelog plana.

Uprava treba donositi odluke koje prelaze odobreni operativni okvir, uključujući prihvaćanje značajnog poslovnog rizika, aktivaciju izvanrednih mjera ili komunikaciju od strateškog značaja. Odluku o prelasku na prethodno odobren zamjenski način rada treba, međutim, zadržati što bliže samom procesu.

Nakon gubitka sustava za obradu narudžbi dežurna osoba može potvrditi nedostupnost i očekivano trajanje prekida, vlasnik procesa aktivirati zamjensku evidenciju, a koordinator kontinuiteta eskalirati događaj nakon dosezanja utvrđenog praga. Plan mora definirati ograničenja takvog zaobilaznog postupka: kapacitet, najdulje dopušteno trajanje primjene, pravila zaštite i integriteta podataka, potrebna ručna usklađivanja te način naknadnog unosa zapisa u sustav.

Povratak na redovan rad moguć je tek nakon potvrde stabilnosti rješenja, cjelovitosti podataka i usklađenja operacija provedenih ručno. Nastali zapisi trebaju omogućiti procjenu vremena donošenja odluke, uspostave minimalne razine poslovanja i potpunog oporavka.

Najveći trošak nastaje na sučeljima između planova

Visinu gubitka ne određuje samo uzrok kvara. Prekid dodatno produljuju čekanje odobrenja, nejasna klasifikacija događaja, neusklađeni prioriteti oporavka i nedovoljno poznavanje ovisnosti između procesa, sustava i dobavljača. Plan odgovora na incident prvenstveno služi otkrivanju, procjeni, ograničavanju i obradi događaja. Plan kontinuiteta poslovanja treba održati poslovanje na prihvaćenoj razini. Oba mehanizma moraju definirati zajedničke točke za prijenos informacija i odluka: tko utvrđuje da je kontinuitet ugrožen, tko aktivira zamjenski način rada i tko odobrava povratak na redovan rad.

Prioritet tehničkog oporavka treba proizlaziti iz prioriteta procesa, ali ne može biti njegova izravna preslika. Sustav koji podržava najvažniji proces može ovisiti o prethodnom pokretanju usluga identiteta, mreže, baza podataka ili integracija. Pritom treba očuvati integritet podataka, pravilan redoslijed pokretanja i sigurnosne mehanizme. Usklađenost poslovnih i tehničkih prioriteta provjerava se usporedbom zahtijevane raspoloživosti procesa sa stvarnim rezultatima testova oporavka sigurnosnih kopija, dopuštenim gubitkom podataka i infrastrukturnim ovisnostima.

Operativna funkcija može očekivati da se zaprimanje naloga obnovi prije obračuna, dok IT tim planira najprije vratiti sustav obračuna jer sadržava središnji registar poslovnih partnera. Ako ta ovisnost nije prethodno usuglašena, odluka se donosi pod pritiskom, a ručni zaobilazni postupak može stvoriti podatke koje naknadno nije moguće sigurno uskladiti. Takav slučaj treba ocjenjivati na temelju stvarnog vremena otkrivanja, eskalacije, donošenja odluke i oporavka te rezultata provjera kojima se potvrđuju cjelovitost i integritet podataka.

Sličan nedostatak pojavljuje se na granici odgovornosti dobavljača. Ugovorna izjava o raspoloživosti usluge ne može zamijeniti jasno definiranu eskalacijsku putanju prema imenovanim osobama ili funkcijama, usuglašene parametre oporavka, pristup informacijama o tijeku poremećaja ni obvezu sudjelovanja u vježbama. Zahtjeve kritičnih procesa treba usporediti s ugovornim uvjetima i stvarnim sposobnostima pružatelja usluge. Tek tada organizacija može svjesno odlučiti hoće li održavati pričuvno rješenje, prihvatiti zastoj, koristiti vlastite resurse ili ugovoriti vanjsku uslugu.

Proračun treba usmjeriti na nedostatke u sposobnostima, a ne na povećavanje broja dokumenata. Ulaganja se mogu odnositi na dodatnu redundanciju, skraćivanje lanca odlučivanja, češće testove oporavka, promjenu ugovornih uvjeta ili osiguravanje alternativnog načina izvođenja procesa. Način strukturiranja takvih troškova detaljnije prikazuje analiza Koliko košta provedba NIS2 i uKSC – kako planirati proračun za audit, dokumentaciju, osposobljavanje i zaštitne mjere bez skupih pogrešaka.

Vježbom treba provjeravati odluke

Vježba kontinuiteta poslovanja ne smije se svesti na čitanje procedure ili potvrdu prisutnosti sudionika. Treba provjeravati jasno postavljenu hipotezu, primjerice: može li organizacija aktivirati zamjenski proces bez primarnog sustava, zadržati nadzor nad podacima koji se unose te ih sigurno uskladiti nakon oporavka usluge.

Program vježbi preporučljivo je razvijati postupno: od pregleda uloga i stolne vježbe, preko provjere odabrane procedure ili oporavka, do tehničko-operativne vježbe koja uključuje suradnju poslovnih funkcija, IT-a, rukovodstva i dobavljača. Opseg treba povećavati razmjerno riziku, značaju procesa i razini spremnosti organizacije.

Scenarij treba zahtijevati donošenje odluka u uvjetima koji odgovaraju stvarnom poremećaju. Mogu se koristiti nepotpune informacije, vremenski pritisak, sukob prioriteta i nedostupnost važne ovisnosti, primjerice osobe koja odobrava odluku, usluge dobavljača ili ažuriranog popisa kontakata. Vježba ipak ne smije biti zamka za sudionike. Ocjenjuje se sustav — podjela odgovornosti, kvaliteta informacija, provedivost postupaka i sposobnost eskalacije — a ne pojedinačno prozivanje zaposlenika.

Sudjelovanje rukovodstva nužno je kada scenarij zahtijeva prihvaćanje rizika, promjenu prioriteta ili aktivaciju skupog zamjenskog rješenja. Dobavljača treba uključiti ako njegova reakcija uvjetuje kontinuitet procesa.

Primjer vježbe može započeti nedostupnošću sustava za obradu naloga. Voditelj vježbe zatim daje informaciju da je sigurnosna kopija podataka nepotpuna i da pružatelj usluge kasni s odgovorom. Tim mora odlučiti hoće li aktivirati ručnu obradu, koje naloge prihvatiti i kako označavati zapise da bi nakon oporavka usluge spriječio duplikate i gubitak integriteta podataka.

Tijekom vježbe treba mjeriti vrijeme prepoznavanja poremećaja, eskalacije, aktivacije režima kontinuiteta, postizanja minimalne razine poslovanja i oporavka. Istodobno se ocjenjuju kvaliteta protoka informacija i zapisa, slučajevi uporabe neažurnih podataka za kontakt, neuspješne eskalacije i koraci plana koje nije bilo moguće provesti. Postignuta vremena treba usporediti s odobrenim ciljevima kontinuiteta.

Učestalost i oblik vježbi trebaju proizlaziti iz rizika, promjena u procesima, rezultata prethodnih provjera i značaja ovisnosti, a ne samo iz godišnjeg rasporeda. Najavljena vježba prikladnija je za učenje i usuglašavanje uloga. Nenajavljena omogućuje procjenu stvarne spremnosti, ali zahtijeva nadzor nad operativnim rizikom. Korištenje produkcijskog sustava opravdano je samo kada su opseg, zaštitne mjere i mogućnost prekida testa svjesno odobreni; u ostalim je slučajevima prikladnije testno okruženje.

Svaka vježba treba završiti nalazima i aktivnostima kojima su dodijeljeni vlasnik, rok provedbe, kriterij učinkovitosti i odluka o ponovnoj provjeri. Udio aktivnosti zatvorenih u roku koristan je pokazatelj, ali status „provedeno” sam po sebi ne dokazuje poboljšanje. Presudan je rezultat ponovne provjere. Strukturiranju scenarija, zapisnika, korektivnih radnji i pokazatelja može pomoći pristup opisan u materijalu Kako izraditi biblioteku predložaka kvalitete: FMEA, Control Plan, 8D, audit, CAPA i KPI.

Zatvorite ciklus dokazima i upravljačkim preispitivanjem

Kompletan skup procedura ne dokazuje sposobnost održavanja poslovanja. Vjerodostojan lanac dokaza treba povezati odobrene pretpostavke analize rizika i kontinuiteta, odluke vlasnika procesa, zapise testova, rezultate vježbi, utvrđene nesukladnosti, korektivne radnje i ocjenu njihove učinkovitosti. Evidencija verzija plana kontinuiteta poslovanja treba sadržavati ne samo datum i autora izmjene nego i događaj, odluku ili rezultat analize koji su izmjenu opravdali.

Učestalost preispitivanja plana treba prilagoditi kritičnosti procesa i promjenjivosti rizika. Sam periodični rok nije dovoljan. Preispitivanje treba pokrenuti i nakon incidenta, vježbe ili značajne promjene procesa, tehnologije, lokacije, dobavljača, organizacijske strukture ili profila rizika. Kriterije prihvaćanja rezultata vježbe treba utvrditi prije njezina početka kako se ocjena ne bi svela na subjektivnu tvrdnju da se organizacija „snašla”.

Mjesečno praćenje može pokazati da je program vježbi proveden prema rasporedu, ali i da jedan proces nije ostvario zahtijevano vrijeme oporavka te da za ključnu uslugu dobavljača još ne postoji zamjensko rješenje. Takav se rezultat ne smije sakriti u tehničkom zapisniku. Upravi treba dostaviti informacije o procesima koji ne postižu zahtijevanu sposobnost, neprihvaćenim odstupanjima, svjesno prihvaćenim rizicima te potrebnim ulaganjima ili organizacijskim odlukama. Upravljačko preispitivanje treba završiti dokumentiranim odlukama, a ne samo primanjem informacija na znanje.

Interni audit treba provjeravati usklađenost deklariranog stanja s praksom: sudjeluje li proces označen kao kritičan doista u vježbama, odgovaraju li tehnički ciljevi oporavka operativnim potrebama te jesu li aktivnosti nakon testiranja zatvorene i je li potvrđena njihova učinkovitost. Auditoru ili nadležnom tijelu treba predočiti slijed zapisa koji prikazuje put od utvrđenog rizika, preko odluke i provjere, do potvrđenog poboljšanja. Korisni pomoćni pokazatelji uključuju stupanj provedbe odobrenog programa vježbi, pravodobnost korektivnih radnji i broj neprihvaćenih odstupanja između zahtijevane i potvrđene sposobnosti kontinuiteta.

Završni popis aktivnosti može se uvrstiti u širi raspored opisan u materijalu Provedba NIS2 nakon upisa u popis KSC – plan aktivnosti do 3. travnja 2027.. Rokove, opseg obveza i odgovarajuće mjere ipak svaki put treba provjeriti prema važećem pravnom okviru, statusu organizacije u nacionalnom sustavu kibernetičke sigurnosti i njezinu stvarnom profilu rizika.