Prijava NIS2 incidenata u roku od 24 i 72 sata: postupak, odgovornosti i vježba pripravnosti

Postupak prijave incidenata u rokovima od 24 i 72 sata ne smije započeti obrascem niti završiti prebacivanjem odgovornosti na IT odjel. Njegova učinkovitost ovisi o tome kada organizacija smatra da je saznala za incident, tko procjenjuje njegov učinak, tko donosi odluku te može li se prijava pripremiti i poslati unatoč nepotpunim podacima, odsutnosti ključnih osoba ili nedostupnosti osnovnih sustava. Pripravnost zato treba uspostaviti kao međufunkcijski proces, a zatim je provjeriti vježbom koja se provodi pod vremenskim pritiskom.

Zašto rok počinje teći ranije nego što uprava pretpostavlja

Početak roka ne treba vezati tek uz potpunu tehničku potvrdu niti uz trenutak kada je predmet proslijeđen osobi ovlaštenoj za prijavu. Organizacija mora razlikovati događaj, odnosno uočenu anomaliju ili upozorenje, od sigurnosnog incidenta koji utječe na povjerljivost, cjelovitost, dostupnost ili autentičnost resursa i usluga. Sljedeću razinu čini incident koji ispunjava zakonske kriterije za prijavu. Stoga svaki alarm ne pokreće režim od 24 i 72 sata, ali svaki signal treba procijeniti prema unaprijed utvrđenim pravilima.

Najveći rizik od kašnjenja nastaje kada postupak ne određuje trenutak u kojem se smatra da je organizacija saznala za incident. Prvu informaciju mogu zaprimiti servis, operater proizvodne linije, administrator, pružatelj usluge ili korisnička podrška. Ako se vrijeme počne računati tek nakon obavještavanja člana uprave ili koordinatora informacijske sigurnosti, nastaje umjetan jaz između stvarnog prepoznavanja poremećaja i formalne reakcije. Postupak zato treba definirati izvore unutarnjih i vanjskih prijava, kriterije eskalacije te ulogu ovlaštenu za odluku je li poremećaj prešao prag uobičajenog kvara.

Ako pružatelj koji održava proizvodni sustav obavijesti servis o gubitku dostupnosti i sumnji na vanjsko djelovanje, uzrok, puni opseg i očekivano vrijeme ponovne uspostave rada mogu još biti nepoznati. To nije razlog za čekanje završnog tehničkog izvješća. Za eskalaciju su dovoljni vrijeme otkrivanja signala, pogođene usluge i lokacije, uočeni učinak, moguće posljedice te već poduzete mjere ograničavanja. Na toj osnovi ovlaštena osoba provodi početnu procjenu i dokumentira odluku o pokretanju ili nepokretanju postupka prijave.

Faze od 24 i 72 sata treba promatrati kao postupno dopunjavanje saznanja o istom incidentu: najprije se na temelju dostupnih pokazatelja dostavlja rano upozorenje, a zatim se procjena dopunjuje preciznijim nalazima. To nisu dvije neovisne administrativne obveze. Konkretne rokove, pragove za prijavu i komunikacijske kanale svaki put treba potvrditi prema važećem nacionalnom pravu kojim se provodi NIS2 te zahtjevima nadležnog tijela, umjesto da se postupak temelji isključivo na Direktivi. Učinkovitost uspostavljenih rješenja može se provjeriti u okviru NIS2 audita u proizvodnom poduzeću – kako provjeriti je li organizacija spremna za nove obveze.

Gdje organizacija gubi prve sate

Prvi sati često ne prolaze u tehničkoj analizi, nego u čekanju. Prijava ostaje u servisnom sustavu, izvan radnog vremena ne funkcionira kontaktni lanac, dobavljač priprema mišljenje, odjeli raspravljaju o razmjeru učinka, a osoba ovlaštena za odluku nije dostupna. Kašnjenje dodatno povećava ručno prikupljanje podataka iz više izvora. Problem prvenstveno nastaje na sučeljima između IT-a, operativne tehnologije, proizvodnje, kvalitete, pravnih poslova, komunikacija, zaštite osobnih podataka, nabave i uprave jer svako od tih područja raspolaže samo dijelom informacija.

U proizvodnom poduzeću gubitak pristupa sustavu planiranja, uz istodobnu nestabilnost dijela opreme, ne daje odmah potpunu sliku. Može upućivati na kvar međusobno ovisnih sustava, poremećaj operativne tehnologije ili incident šireg opsega. Organizacija treba paralelno štititi operacije i kontinuitet proizvodnje, utvrđivati pogođenu imovinu i lokacije te provoditi eskalaciju. Tehničko ograničavanje posljedica ne smije čekati formalnu odluku, ali ni odluku o prijavi ne treba odgađati do utvrđivanja uzroka ili potpunog uklanjanja poremećaja.

Uska grla najjasnije otkriva scenarijska vježba koja uključuje noćni događaj i nedostupnost ključne osobe. Treba mjeriti vrijeme od prvog signala do eskalacije, procjene, kontakta s donositeljem odluke i prikupljanja minimalnog skupa podataka. Potrebno je provjeriti i ugovorne uvjete s pružateljima informacijsko-komunikacijskih usluga. Pružatelj može pomoći u pripremi informacija, ali prijava u ime organizacije zahtijeva jasnu pravnu osnovu, odgovarajuće ovlaštenje i usklađenost s važećim postupkom. Sama činjenica da pružatelj održava sustav ne prenosi na njega odgovornost organizacije.

Procjena pripravnosti treba obuhvatiti cijelu organizaciju, a ne samo IT odjel: uloge, tok informacija, dobavljače, operativnu tehnologiju i krizno upravljanje. Dokazi o funkcioniranju tih mehanizama trebaju biti usklađeni s opsegom opisanim u materijalu Dokumentacija NIS2 i KSC prije nadzora: koje politike, evidencije i dokaze organizacija doista treba imati.

Postupak od prvog signala do prijave

Postupak mora voditi od prvog signala do dokumentirane predaje prijave, bez uvjetovanja odluke završetkom tehničke analize. Tijek obuhvaća zaprimanje signala, bilježenje vremena i izvora, početnu procjenu, osiguravanje dokaznog materijala te procjenu učinka na uslugu. Nakon toga slijede eskalacija, odluka, priprema obavijesti, slanje propisanim kanalom i čuvanje potvrde o predaji. Svaka faza zahtijeva vlasnika, zamjenika, unutarnji rok i definirani zapis. Unutarnji rokovi moraju ostaviti dovoljno vremena za odobrenje i rješavanje poteškoća pri slanju te se ne smiju podudarati s krajnjim zakonskim rokom.

Za prvu fazu, unutar 24 sata, potreban je minimalni paket potvrđenih informacija: identifikacija subjekta, vrijeme otkrivanja, pogođena usluga, uočene posljedice, poznati opseg i poduzete mjere. Nesigurne informacije treba označiti kao preliminarne, uz navođenje izvora i načina provjere. Nepoznat uzrok, puni opseg ili vrijeme završetka događaja ne smiju dovesti do stvaranja privida potpunosti niti automatski zaustaviti obavještavanje. Postupak mora odrediti tko odobrava prijavu, tko ga zamjenjuje i kako se naknadno ažuriraju dostavljene informacije.

Kada pogon izgubi pristup sustavu koji upravlja realizacijom naloga, koordinator bilježi alarm, vrijeme otkrivanja i izjave korisnika, dok tehnički tim istodobno osigurava zapise događaja i ograničava posljedice. Vlasnik usluge procjenjuje učinak na proizvodnju, logistiku i kupce, a donositelj odluke na temelju raspoloživih podataka utvrđuje postoji li obveza prijave. Ako incident još traje, sustav za evidenciju nije dostupan ili događaj potječe od dobavljača, treba upotrijebiti pripremljeni zamjenski kanal bez čekanja završnog izvješća. U grupi s više društava potrebno je zasebno utvrditi pogođene usluge, nadležnost za svaki subjekt i ovlaštenje za djelovanje u ime pojedinog društva.

Do faze od 72 sata organizacija dopunjuje procjenu prirode i ozbiljnosti incidenta, njegova učinka, raspoloživih pokazatelja kompromitacije te mjera za ograničavanje posljedica — u opsegu koji proizlazi iz važećih propisa i obrazaca. Ako naknadni nalazi promijene razmjer, uzrok ili klasifikaciju događaja, ranije informacije treba ispraviti kontrolirano, uz očuvanje revizijskog traga, a ne jednostavno zamijeniti. Prije uvođenja postupka zato treba provjeriti tijelo ili tim za odgovor nadležan za konkretnu kategoriju subjekta, kanal prijave, pravila računanja rokova te zahtjeve za ažuriranje i daljnje izvješćivanje. Područje primjene detaljnije je opisano u materijalu NIS2 za proizvodna poduzeća: na koga se primjenjuje, koje obveze uvodi i kako pripremiti organizaciju bez svođenja teme isključivo na IT.

Temelj toka informacija treba biti jedinstveni registar incidenta koji sadrži vremenski slijed, uzastopne verzije utvrđenih činjenica, izvore podataka, odluke s obrazloženjima, sadržaj obavijesti i potvrde o slanju. Elektronička pošta i komunikacijski alati mogu služiti za upozoravanje, ali ne smiju stvarati paralelne verzije opisa događaja. Pripravnost procesa treba mjeriti vremenom od signala do evidentiranja, eskalacije, odluke i slanja, udjelom zapisa s navedenim izvorom te mogućnošću rekonstrukcije tko je i na kojoj osnovi promijenio procjenu incidenta.

Uloge, zamjene i prag za donošenje odluke

Proces prijave zahtijeva jasno razdvajanje aktivnosti, odgovornosti i ovlasti. Osoba koja otkrije događaj evidentira ga i pokreće eskalaciju. Koordinator incidenta vodi vremenski slijed i tok informacija, a tehnički stručnjak procjenjuje prirodu događaja i osigurava podatke. Vlasnik usluge ili procesa utvrđuje operativni učinak, osoba s odgovarajućim pravnim kompetencijama procjenjuje obvezu obavještavanja, odobravatelj donosi odluku o prijavi, a ovlašteni zaposlenik šalje prijavu i čuva dokaz o slanju. Jedna osoba može obavljati više uloga ako time ovlast za odlučivanje ostaje jasna i ne nastaje jedinstvena točka ovisnosti.

Matrica odgovornosti korisna je tek kada, osim naziva radnog mjesta, određuje opseg zadatka, zahtijevano vrijeme odziva, ovlast za odlučivanje, zamjenika i očekivani dokaz izvršenja. Treba definirati i tko može donijeti odluku na temelju nepotpunih podataka te kako se rješava sukob između kontinuiteta proizvodnje, sigurnosti i obveze obavještavanja. Rukovodstvo odobrava model odgovora, pragove eskalacije i raspoložive resurse. Ne može cjelokupni rizik odlučivanja prenijeti na administratora sustava ili predstavnika za kvalitetu, koji u pravilu nemaju mandat za procjenu poslovnih i pravnih posljedica.

Svaku prijavu ne mora odobriti član uprave ako unutarnji model ovlasti predviđa odgovarajuću punomoć ili ovlaštenje, usklađeno sa zahtjevima koji vrijede za predmetni subjekt i kanal prijave. Zamjena zahtijeva imenovanje sljedeće osobe, dostupne kontaktne podatke za rad izvan redovnog vremena te pravilo preuzimanja predmeta nakon bezuspješnog isteka unaprijed određenog vremena. Zamjenik mora imati stvarni pristup registru, obrascu, poštanskom sandučiću, potrebnim elektroničkim potpisima i zamjenskom kanalu. Sam navod u postupku, bez dodijeljenih prava pristupa i ovlasti, ne osigurava kontinuitet.

Ako se incident dogodi noću, koordinator ne bi smio neograničeno čekati osobu koja odobrava prijavu. Nakon isteka unutarnjeg roka kontaktira njezina zamjenika, a zatim osobu ovlaštenu za odluku u izvanrednim okolnostima. Unutarnje rokove treba postaviti znatno kraće od vanjskih, uz rezervu za provjeru podataka, pravnu procjenu, odobrenje, tehničke poteškoće i dokumentiranje slanja. Tijekom vježbi treba mjeriti vrijeme od otkrivanja do eskalacije, odluke i predaje prijave.

Takav model zahtijeva financiranje dežurstava, pristupa, osposobljavanja i alata, pa ga treba uključiti u planiranje opisano u materijalu Koliko košta provedba NIS2 i uKSC – kako planirati proračun za audit, dokumentaciju, osposobljavanje i sigurnosne mjere bez skupih pogrešaka. Oslanjanje na samo jednog donositelja odluke ili jednu osobu s potrebnim ovlastima prividna je ušteda: tijekom incidenta organizacijska nedostupnost postaje izravnim uzrokom formalnog kašnjenja.

Vježba koja pokazuje stvarnu pripravnost

Pripravnost za prijavu incidenta ne potvrđuje poznavanje postupka, nego sposobnost njegove provedbe pod vremenskim pritiskom i uz nepotpune podatke. Scenarij vježbe treba se temeljiti na postupnom otkrivanju informacija. Početni signal može biti nejasan, dio sustava i dokumentacije nedostupan, odgovor dobavljača može kasniti, a operativni učinak rasti sa svakom novom informacijom. Takva struktura pokazuje može li organizacija pokrenuti eskalaciju bez čekanja potpune tehničke analize.

Vježbu treba provoditi prema realističnoj vremenskoj crti, uz bilježenje trenutka zaprimanja i evidentiranja signala, prosljeđivanja koordinatoru, okupljanja tima, početne procjene, pripreme sadržaja, njegova odobrenja i pokušaja slanja. Test ne bi smio rezultirati stvarnom prijavom, osim ako su prethodno dogovoreni sigurno testno okruženje i način označavanja podataka. Sudjelovanje vanjskih strana zahtijeva zasebnu odluku. Dobavljača treba uključiti kada su njegove informacije, pristup ili postupanje nužni za procjenu incidenta. Uprava bi trebala sudjelovati barem u varijanti koja zahtijeva poslovnu odluku, prihvaćanje rizika ili aktiviranje zamjene.

Primjer scenarija može započeti prijavom usporenog rada proizvodnog sustava. Voditelj vježbe zatim otkriva da nije moguće pristupiti zapisima događaja, da osoba ovlaštena za odobrenje nije dostupna, da postoje proturječni podaci o broju pogođenih procesa te da dobavljač ne odgovara. Promatrači ne daju upute timu, nego bilježe stvarna vremena i dokaze. Procjenjuju vrijeme potrebno da signal stigne do koordinatora, dostupnost zamjena, broj nejasnih odgovornosti, potpunost vremenskog slijeda, odstupanja među izvorima i mogućnost uporabe zamjenskog kanala. Bilježe i uloge bez zamjenika, nedostajuće ovlasti i neažurne kontaktne podatke.

Procjena se ne smije svesti na pitanje je li probna prijava pripremljena prije unutarnjeg roka. Treba provjeriti jesu li sudionici:

• razlikovali potvrđene činjenice od pretpostavki,
• navodili izvore informacija,
• dokumentirali osnovu za klasifikaciju,
• označavali podatke koje treba naknadno dopuniti,
• aktivirali zamjene u skladu s utvrđenim pravilima,
• mogli upotrijebiti zamjenski kanal za prijavu.

Važan rezultat vježbe jest i način postupanja u uvjetima neizvjesnosti. Tim ne bi trebao automatski klasificirati svaki poremećaj kao incident koji podliježe prijavi, ali ni odgađati eskalaciju do završetka potpune tehničke analize.

Vježba završava planom korektivnih radnji, a ne samo zapisnikom. Svaki utvrđeni nedostatak zahtijeva vlasnika, rok za otklanjanje, mjerljiv kriterij učinkovitosti i naznaku elementa koji treba ponovno testirati. Treba pratiti udio aktivnosti zatvorenih i učinkovito provjerenih unutar roka koji je odredila organizacija. Učestalost sljedećih vježbi i promjena scenarija određuju se prema riziku, rezultatima prethodne vježbe i organizacijskim promjenama. Dodatnu vježbu posebno opravdavaju nove uloge, dobavljači, sustavi, kanali prijave ili značajni utvrđeni nedostaci. Ti nalazi trebaju biti usklađeni s rasporedom opisanim u materijalu Provedba NIS2 nakon upisa u evidenciju KSC – plan aktivnosti do 3. travnja 2027..

Minimalni standard upravljačke pripravnosti

Uprava može smatrati proces prijave incidenata funkcionalnim tek nakon što odobri njegov cjelovit organizacijski okvir. On obuhvaća postupak, kriterije eskalacije, ažuran popis kontakata, dodijeljene uloge i zamjene, pristup osnovnom i zamjenskom kanalu za prijavu, predloške obavijesti, jedinstveni registar incidenta, pravila osiguravanja i čuvanja dokaza te provedenu vježbu. Nedostatak bilo kojeg od tih elemenata treba ocijeniti kao operativni rizik, a ne kao urednički nedostatak dokumentacije.

Dokaz pripravnosti nije broj odobrenih dokumenata, nego dosljedan revizijski trag: od otkrivanja događaja, preko procjene i odluke, do pripreme i slanja prijave. Taj trag treba prikazivati vremena, izvore informacija, osobe koje su donosile odluke, osnovu za klasifikaciju i sadržaj dostavljen nadležnom subjektu. Organizacija također mora moći dokazati da može djelovati tijekom odsutnosti ključnih osoba, nedostupnosti osnovnih sustava i ograničenog pristupa podacima.

Nakon vježbe potreban je upravljački pregled koji utvrđene nalaze pretvara u odluke prije audita ili nadzora. Vlasnik procesa može, u okviru svojih ovlasti, unaprijediti uputu, registar ili popis kontakata. Uprava treba odlučiti o nedostacima koji zahtijevaju prihvaćanje preostalog rizika, financiranje promjena, dodatne resurse ili promjenu odgovornosti. Svaka aktivnost mora imati vlasnika, rok i datum ponovne provjere učinkovitosti.

Prijavu incidenata treba uključiti u širi plan provedbe, uz redovitu provjeru važećih rokova i zahtjeva. Pri procjeni zrelosti korisno je uzeti u obzir i temu NIS2 i HRN EN ISO 27001: što certifikat osigurava, a što još nedostaje za usklađenost s KSC-om. Organizacija je spremna tek kada u ograničenom vremenu i na temelju nepotpunih informacija može donijeti odgovarajuću odluku, provesti je i dokazati njezinu provedbu.