Odluka hoće li se NIS2 zahtjevi uvesti vlastitim snagama ili uz vanjskog partnera ne svodi se na usporedbu naknade savjetnika i troška internog tima. Ishod projekta ovisi o opsegu obveza, dostupnosti donositelja odluka, kvaliteti podataka o procesima i resursima te sposobnosti organizacije da uspostavljena rješenja dugoročno održava. Naizgled najjeftinija opcija može postati najskuplja ako dovede do pogrešne procjene primjenjivosti zahtjeva, ponavljanja analiza ili dokumentacije koja ne odgovara stvarnom načinu rada. Zato najprije treba utvrditi opseg i nedostatke, zatim usporediti ukupni trošak, trajanje i rizike triju modela provedbe, a tek potom odabrati izvođača i način vođenja projekta.
Ne birajte izvođača prije nego što utvrdite obveze
Usporedba samostalne provedbe i angažmana vanjske tvrtke ima smisla tek nakon što se utvrdi podliježe li organizacija obvezama koje proizlaze iz NIS2 i poljskih propisa kojima se ti zahtjevi prenose u nacionalni okvir. Ako podliježe, treba odrediti na koje se usluge, organizacijske jedinice, lokacije i resurse analiza odnosi. Bez te procjene nije moguće pouzdano odrediti opseg posla, rokove ni troškove. Uprava također treba imenovati vlasnika projekta s ovlastima za usuglašavanje odluka između operativnih funkcija, pravne službe i IT-a.
Polazište nije kupnja dokumentacije ni informacijskog alata, nego razumijevanje poslovnog modela. Potrebno je utvrditi koje se usluge pružaju, koji ih procesi, sustavi i podaci podržavaju te o kojim dobavljačima i drugim ovisnostima ovisi kontinuitet poslovanja. Tek takva mapa omogućuje odluku treba li analizom obuhvatiti cijelo društvo ili samo određene usluge i lokacije. Rezultat prve faze trebaju biti dokumentirana procjena statusa subjekta, jasno određene granice opsega i popis područja koja zahtijevaju ocjenu i korektivne mjere.
Formalnu primjenjivost propisa treba razlikovati od poslovne potrebe za povećanjem otpornosti. Organizacija može biti izvan zakonskog opsega, a ipak mora ispuniti zahtjeve kupaca, grupe društava, osiguravatelja ili sudionika u lancu opskrbe. Takav se projekt ne bi trebao predstavljati kao ispunjavanje zakonske obveze, nego kao odgovor na konkretne ugovorne zahtjeve i operativne rizike.
Primjer je proizvodna tvrtka koja ima mrežne vatrozide, sigurnosne kopije i zaštitu krajnjih uređaja, ali ne može imenovati vlasnika procesa odgovora na incident. Istodobno nije utvrdila kako bi kvar sustava za planiranje proizvodnje utjecao na raspored naloga, raspoloživost materijala i pravodobnost isporuke. Problem tada nije samo u razini tehničke zaštite, nego i u nepridijeljenoj odgovornosti te nedostatku analize ovisnosti između informacijskog sustava i pružanja usluge.
Nakon opisa poslovanja treba provesti pravnu procjenu prema sektorskim kriterijima te kriterijima vrste i veličine subjekta koji vrijede na dan objave. Formalno stajalište treba odobriti tijelo ili osoba ovlaštena za zastupanje organizacije, uz sudjelovanje pravne službe te vlasnika usluga i procesa. IT osigurava podatke o sustavima, ali ne bi trebao samostalno odlučivati o kvalifikaciji subjekta. Tema je detaljnije obrađena u materijalu „Direktiva NIS2 – na koga se odnosi i koje tvrtke moraju ispuniti nove zahtjeve?”.
Trošak uvođenja ne završava računom vanjskog partnera
Samostalna provedba nije besplatna, kao što ni naknada vanjskoj tvrtki nije ukupan trošak vanjske podrške. Izračun treba obuhvatiti rad uprave, vlasnika procesa, IT-a, nabave, ljudskih potencijala, pravne službe i osobe odgovorne za sustav upravljanja. Njihovo vrijeme treba vrednovati prema internim troškovnim stopama i stvarno utrošenim radnim satima, uključujući operativne poslove koje zbog projekta neće moći obaviti. Potrebni angažman prvenstveno ovisi o broju lokacija, procesa, sustava, dobavljača i društava obuhvaćenih projektom.
Najčešće se podcjenjuju prikupljanje podataka, usuglašavanje odgovornosti, popisivanje imovine i dobavljača, priprema dokaza, provedba testova i osposobljavanja te ispravljanje neusklađenih internih pravila. Vanjski partner može skratiti te aktivnosti samo ako zahtjeve zna povezati s postojećim procesima, ulogama i alatima. Predaja predložaka politika bez razumijevanja poslovanja ne uklanja trošak, nego ga prenosi u fazu usuglašavanja, primjene i kasnijeg ažuriranja.
| Kategorija troška | Samostalni model | Vanjski model | Kombinirani model |
|---|---|---|---|
| Interni rad | Najveći; obuhvaća analizu, dokumentiranje i koordinaciju | I dalje značajan; podaci i odluke moraju doći iz organizacije | Usmjeren na procesno znanje, odluke i prihvat rezultata |
| Savjetovanje | Bez savjetovanja ili samo ciljana podrška | Najveći trošak vanjske podrške | Ograničeno na područja koja zahtijevaju specijalističko znanje |
| Tehnologija | Ovisi o utvrđenim nedostacima; odabir modela provedbe sam po sebi ne uklanja ta ulaganja | ||
| Ispravci | Rizik od propusta i ponavljanja analiza | Rizik od neprilagođenih predložaka i prekomjernih rješenja | U pravilu ih je lakše ograničiti kontinuiranom provjerom |
| Održavanje | Puna interna odgovornost | Rizik ovisnosti o izvođaču | Znanje ostaje u organizaciji, a podrška može biti povremena |
Dokumentacija za postupanje s incidentima može se izraditi brzo, ali ostaje samo formalna ako nisu dogovoreni dežurstvo, eskalacijski putovi, način čuvanja dokaza i zamjene odgovornih osoba. Stvarni trošak postaje vidljiv tijekom testa ili stvarnog događaja, kada se postupak mora iznova urediti. Proračun zato treba odvojiti jednokratne od stalnih izdataka te obuhvatiti naknadu savjetniku, tehnička ulaganja, zastoj zbog projektnih aktivnosti, ispravke i godišnje održavanje: preglede, testove, osposobljavanje, ažuriranje dokumentacije, ocjenjivanje dobavljača i upravljanje incidentima.
Funkcionalan sustav upravljanja informacijskom sigurnošću ili certifikat može smanjiti opseg inventarizacije, procjene rizika, upravljanja dokumentacijom i audita ako ta rješenja zaista djeluju u području obuhvaćenom analizom. Ipak, ne zamjenjuje procjenu konkretnih obveza iz primjenjivih propisa ni provjeru odgovaraju li postojeće kontrole obuhvaćenim uslugama. Taj odnos objašnjava materijal NIS2 i HRN EN ISO 27001: što certifikat osigurava, a što još nedostaje za usklađenost s KSC-om.
Trajanje projekta ovisi o spremnosti za donošenje odluka
Brzina pisanja procedura rijetko određuje koliko će trajati priprema za NIS2 zahtjeve. Glavna su ograničenja dostupnost pouzdanih podataka, vlasnika procesa i osoba ovlaštenih za odobravanje promjena. Plan treba uzeti u obzir njihovu stvarnu raspoloživost, učestalost sastanaka upravljačkog odbora i vrijeme potrebno za međufunkcijske odluke. Najavljeni datum predaje dokumentacije nije mjerilo napretka ako organizacija nije odobrila opseg, odgovornosti i prioritete.
Aktivnosti treba rasporediti prema njihovim međuovisnostima. Najprije treba odrediti opseg, uloge, procese i imovinu, zatim provesti procjenu rizika, donijeti plan postupanja s rizicima, primijeniti kontrole, provesti testove i prikupiti dokaze o funkcioniranju. Paralelno se mogu provoditi zadaci koji se temelje na istim odobrenim pretpostavkama, primjerice inventarizacija ugovora i pregled postojećih kontrola. Detaljnu procjenu rizika ne treba započinjati prije nego što se odrede usluge, procesi, sustavi, informacije i ovisnosti o dobavljačima koje procjena obuhvaća.
Pri određivanju redoslijeda aktivnosti treba razlikovati nedostatke koji zahtijevaju nabavu, izmjene ugovora, tehničke integracije ili testiranja. Svaka od tih skupina ima drukčiji postupak odobravanja i vrijeme provedbe. Vanjska podrška može ubrzati dijagnostiku, olakšati radionice i strukturirati njihove rezultate, ali savjetnik ne može umjesto uprave odlučiti o prihvaćanju rizika, prioritetima ulaganja ili prihvatljivom trajanju prekida usluge. Ako se takve odluke odgađaju do završetka projekta, dokumentacija prestiže operativna rješenja i dio analiza mora se ponoviti.
Napredak zato treba mjeriti brojem odobrenih odluka, riješenih ovisnosti i kontrola čije je djelovanje provjereno, a ne količinom izrađene dokumentacije. Čak je i višemjesečni plan neizvediv ako organizacija nema ažuran popis sustava, registar ugovora s dobavljačima ni dogovorene vlasnike procesa. Projektni tim tada može opisati deklarirano stanje, ali ne i utvrditi odgovornost za kontinuitet poslovanja, oporavak usluge i nadzor nad dobavljačem.
Mapiranje procesa treba podupirati upravo takve odluke, a ne povećavati opseg dokumentacije. Usporedba „BPMN ili dijagram toka – koji je alat prikladniji za mapiranje procesa kvalitete?” olakšava odabir odgovarajuće razine detalja. Za ovu je namjenu prikladan alat koji jasno prikazuje uloge, točke prijenosa odgovornosti, informacijske ovisnosti i područja za koja treba osigurati zaštitu ili zamjenu.
Rizik prvenstveno proizlazi iz pogrešnih pretpostavki
Za uspješnu pripremu prema NIS2 zahtjevima često je važnija ispravnost pretpostavki nego broj izvršenih zadataka. U samostalnom modelu najveći rizici proizlaze iz pogrešnog tumačenja opsega, zanemarivanja poslovnih ovisnosti i svođenja kibernetičke sigurnosti na odgovornost IT-a. Organizacija tada može izostaviti proizvodne procese, logistiku, održavanje, kontinuitet opskrbe ili obveze prema kupcima. Nedostaje i neovisna procjena praksi koje se interno smatraju dostatnima samo zato što dosad nisu dovele do vidljivog poremećaja.
Vanjska podrška ne uklanja te rizike automatski. Dodatno ih povećava izvođač koji isporučuje standardizirani paket dokumenata bez razumijevanja usluga, procesa i ovisnosti organizacije, ne uključuje vlasnike procesa ili ne prenosi znanje potrebno za održavanje uvedenih rješenja. Tada nastaje sustav koji ovisi o autoru dokumentacije, a ne o osobama odgovornima za svakodnevno poslovanje.
Zato je korisno odvojiti provedbu od neovisne završne ocjene, osobito kada je isti pružatelj usluga odredio opseg, procjenjivao rizike i odabirao kontrole. Odluka o prihvaćanju preostalog rizika treba ostati u nadležnosti odgovarajuće razine upravljanja.
Prividna usklađenost prepoznaje se po razlikama između dokumentiranog i stvarnog postupanja: politika opisuje proces koji se u praksi ne provodi, registar rizika ne utječe na prioritete i ulaganja, a postupak upravljanja incidentima nije testiran. Dokumentacijski nedostatak znači da potreban zapis ne postoji ili nije usklađen. Operativni nedostatak postoji kada organizacija ne može provesti aktivnost, dodijeliti odgovornost ili predočiti dokaz njezine učinkovitosti. Dopuna obrasca može ukloniti prvi nedostatak, ali ne može zamijeniti testiranje, odluku ili promjenu načina rada.
Primjer je pogon s odobrenim postupkom prijave incidenata u kojem zaposlenici proizvodnje ne znaju kako prijaviti nedostupnost upravljačkog sustava ili sustava za planiranje. Istodobno s pružateljem usluge nisu dogovoreni eskalacijski put, kontaktne osobe ni pravila postupanja izvan radnog vremena. Dokument postoji, ali se prve minute poremećaja gube na utvrđivanje odgovornosti. Takav se nedostatak može otkriti tek vježbom koja uključuje korisnika, vlasnika procesa, IT, upravu i dobavljača.
Audit spremnosti treba provjeriti sposobnost djelovanja i predočavanja vjerodostojnih dokaza, a ne samo potpunost dokumentacije. Korisna mjerila uključuju broj neprovedenih aktivnosti nakon prethodnih audita i testova, rezultate testova oporavka, zaključke pregleda incidenata i poremećaja te udio ključnih dobavljača obuhvaćenih ocjenom i dogovorenim zahtjevima — uvijek na temelju podataka organizacije. Način provedbe takve provjere detaljnije je prikazan u materijalu „NIS2 audit u proizvodnoj tvrtki – kako provjeriti je li organizacija spremna za nove obveze”.
Kombinirani model obično omogućuje najbolju kontrolu
Model provedbe treba odabrati prema stvarnoj sposobnosti organizacije da izvrši potrebne aktivnosti, a ne samo usporedbom savjetničkih naknada. Samostalna provedba racionalan je izbor kada projekt ima kompetentnog vlasnika, procesi upravljanja rizicima dovoljno su zreli, popisi resursa i ovisnosti ažurni su, a ključni zaposlenici imaju vrijeme i znanje za tumačenje zahtjeva. Šira vanjska podrška opravdana je kada postoje znatni nedostaci u kompetencijama, raspršena organizacijska struktura, značajne tehnološke ovisnosti, kratak rok ili nedovoljno uređen sustav upravljanja.
Najbolju kontrolu troška, vremena i rizika najčešće omogućuje kombinirani model. Organizacija zadržava odgovornost za odluke, izvorne podatke, vlasništvo nad rizicima i provedbu operativnih aktivnosti. Savjetnik je odgovoran za dijagnostiku, metodologiju, vođenje radionica, analize koje zahtijevaju specijalističko znanje i kontrolu kvalitete rezultata.
U organizaciji trebaju ostati najmanje sljedeće odgovornosti:
- utvrđivanje važnosti procesa i usluga;
- imenovanje vlasnika rizika;
- prihvaćanje preostalog rizika;
- određivanje investicijskih prioriteta;
- potvrđivanje da kontrole djeluju u praksi.
Uprava ne može na izvođača prenijeti odgovornost za otpornost organizacije.
Tvrtka s više pogona može samostalno prikupiti informacije o uslugama, resursima, dobavljačima i posljedicama poremećaja jer njihova pouzdana procjena zahtijeva operativno znanje. Vanjski stručnjak zatim može strukturirati metodologiju procjene, preispitati nedosljednosti, voditi međufunkcijske radionice i provjeriti potpunost dokaza. Isplativost takve podjele ovisi o broju i kompetencijama osoba koje se zaista mogu angažirati, a ne o formalnom sastavu projektnog tima.
Ponude treba uspoređivati prema istom opsegu rezultata i kriterijima prihvata. Reference izvođača treba procjenjivati prema sličnosti sektora, veličine, procesa i tehnološkog okruženja, a ne samo prema broju provedenih projekata. Ugovor treba jasno definirati rezultate, kriterije prihvata, obvezu povezivanja rješenja sa stvarnim procesima, prijenos znanja, pravila povjerljivosti i pristupa osjetljivim podacima, odgovornost za ispravke te opseg podrške nakon uvođenja. Model naknade ne bi trebao nagrađivati količinu dokumentacije, nego ostvarenje dogovorenih i provjerljivih rezultata.
Praktične granice odgovornosti uprave, vlasnika procesa i potpornih funkcija detaljnije obrađuje materijal NIS2 u upravljačkoj praksi: kako zahtjeve pretvoriti u odluke, odgovornosti i stvarnu otpornost organizacije.
Odluku temeljite na dokazima i sposobnosti održavanja sustava
Odabiru modela provedbe treba prethoditi kratka organizacijska dijagnostika. Potrebno je potvrditi opseg projekta, imenovati vlasnika, procijeniti raspoloživost kompetencija, popisati postojeće dokaze o funkcioniranju i procijeniti najvažnije nedostatke. Tek tada treba odlučiti koje će aktivnosti organizacija provesti sama, a gdje angažman stručnjaka smanjuje rizik pogrešnog tumačenja, propusta ili ponavljanja posla.
Odluka uprave treba usporediti tri opcije: provedbu vlastitim snagama, kombinirani model i širu vanjsku podršku. Na svaku treba primijeniti iste kriterije:
- ukupni trošak, uključujući rad zaposlenika, ispravke i održavanje;
- vrijeme potrebno za postizanje operativne sposobnosti;
- rizik pogreške i ponavljanja aktivnosti;
- stvarnu raspoloživost kompetencija;
- sposobnost organizacije da samostalno održava rješenja.
Odluka ili zaključak uprave treba definirati odabrani model, raspodjelu odgovornosti, vlasnika projekta, resurse, način izvještavanja, kriterije prihvata i pokazatelje učinkovitosti koji proizlaze iz procesa organizacije, a ne iz univerzalnih pragova bez odgovarajućeg konteksta.
Projekt ne treba prihvatiti na temelju broja izrađenih politika. Rezultat mora biti ponovljivo funkcioniranje: dodijeljene uloge, dokumentirane odluke o rizicima, primijenjene kontrole, testirani odgovori na poremećaje i incidente, nadzor nad dobavljačima te vjerodostojni zapisi. Odobren postupak odgovora na incidente ne potvrđuje spremnost ako test otkrije zastarjele kontakte, nejasan eskalacijski put ili nepostojanje osobe ovlaštene za donošenje odluke.
Kriteriji prihvata trebaju obuhvatiti usklađenost dokumentacije s praksom, zatvaranje dogovorenih nedostataka, rezultate testiranja, prijenos znanja i nedvosmislen plan daljnjeg poboljšavanja, uključujući program internih audita. Dokazi za prihvat mogu uključivati odobrenja, registre, rezultate testova, zapise o osposobljavanju, odluke o rizicima i potvrde provedbe aktivnosti. Priprema i održavanje takvih dokaza detaljnije su obrađeni u materijalu Dokumentacija NIS2 i KSC prije nadzora: koje politike, registre i dokaze zaista treba imati.
Održivost rješenja može se procijeniti tek kada se smanji sudjelovanje savjetnika. Vlasnici procesa tada trebaju samostalno ažurirati registre, donositi odluke o rizicima, analizirati rezultate testova i pokretati korektivne radnje. Ako sustav funkcionira samo zahvaljujući znanju izvođača, projekt nije završen: organizacija je dobila dokumentaciju, ali nije izgradila sposobnost njezina održavanja.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
