NIS2 i HRN EN ISO 27001: što certifikat pokriva, a što još nedostaje za usklađenost s KSC-om

U mnogim poduzećima rasprava o NIS2 počinje pitanjem o certifikatu HRN EN ISO 27001. To je razumljivo, ali iz perspektive uprave i vlasnika procesa nije dobra polazna točka. Najprije treba utvrditi podliježe li organizacija obvezama, na koje se usluge i resurse one odnose te tko je za njih odgovoran. Tek tada moguće je pouzdano procijeniti što postojeći sustav upravljanja informacijskom sigurnošću stvarno pokriva, a što još nedostaje za usklađenost s KSC-om. Upravo se na toj razini u praksi vidi razlika između uređenog sustava i skupe iluzije spremnosti.

Najskuplja pogreška: poistovjećivanje certifikata s usklađenošću

Najveća početna pogreška nije nedostatak certifikata HRN EN ISO 27001, nego pretpostavka da njegovo posjedovanje samo po sebi potvrđuje usklađenost s obvezama koje proizlaze iz NIS2 i nacionalnih propisa kojima se uređuje KSC. Za upravu pravo pitanje nije „imamo li HRN EN ISO 27001”, nego „podliježemo li obvezama, u kojem svojstvu te u odnosu na koje usluge, procese i resurse”. Tek nakon utvrđivanja statusa subjekta, opsega djelatnosti obuhvaćenih zahtjevima i odgovornosti uprave može se procijeniti u kojoj mjeri postojeći sustav stvarno podupire usklađenost, a gdje samo ostavlja dojam uređenosti.

Ta razlika izravno utječe na projekt, resurse i proračun. Certifikat potvrđuje sukladnost sustava upravljanja sa zahtjevima norme unutar definiranog certifikacijskog opsega, koji je u pravilu naveden na certifikatu i dodatno razjašnjen u Izjavi o primjenjivosti. Međutim, on ne zamjenjuje analizu zakonskih obveza, identifikaciju relevantnih usluga, procjenu ovisnosti o dobavljačima ni utvrđivanje formalnih radnji koje organizacija mora provesti kao regulirani subjekt. Uprava zato treba jasno razdvojiti tri područja koja se u praksi često preklapaju: sustav upravljanja, regulatornu usklađenost i operativnu sposobnost djelovanja pod pritiskom incidenta.

Najskuplji su projekti koji se vode obrnutim redoslijedom. Organizacija najprije uređuje dokumentaciju i kontrole radi certifikacijskog audita, a tek poslije utvrdi da su izvan opsega ostali kritični procesi, obveze prijavljivanja incidenata, zahtjevi za dobavljače, odgovornosti rukovodstva ili sektorski zahtjevi. Tada nije dovoljno dopuniti nekoliko postupaka. Potrebno je redefinirati opseg sustava, uloge u odlučivanju i način odgovora na incidente.

Iz operativne perspektive stoga nije dovoljno pratiti samo postojanje certifikata. Treba mjeriti tri elementa: podudarnost certifikacijskog opsega s kritičnim uslugama, rezultat samoprocjene obuhvaćenosti KSC-om te broj odstupanja između propisanog postupka i stvarne sposobnosti djelovanja. Prirodan prvi korak zato nije proširenje dokumentacije, nego utvrđivanje ulazi li organizacija u opseg obveza i koje formalne aktivnosti mora provesti. Taj redoslijed dobro pojašnjava i tema NIS2: samoprocjena i upis u registar KSC-a – što mora učiniti proizvodno poduzeće?, jer se upravo tu utvrđuje gradi li poduzeće sustav prema stvarnim obvezama ili prema praktičnoj, ali skupoj iluziji spremnosti.

Što HRN EN ISO 27001 stvarno pokriva, a ne samo deklarativno

Najveća praktična vrijednost norme HRN EN ISO 27001 nije u samom certifikatu, nego u tome što dobro implementiran sustav uređuje informacijsku sigurnost kao područje upravljanja. Najviše koristi donosi ondje gdje organizacija mora djelovati procesno: u procjeni i obradi rizika, uspostavljanju politika i pravila nadzora, dodjeli uloga i odgovornosti, identifikaciji informacijske imovine, odgovoru na incidente, kontinuitetu poslovanja te mehanizmima preispitivanja i poboljšavanja. Ako ti elementi stvarno funkcioniraju, a ne održavaju se samo za potrebe audita, poduzeće ima čvrstu osnovu za dokazivanje da sigurnost nije skup nepovezanih kontrola, nego upravljani sustav povezan s operativnim odlukama.

Uprava ipak ne bi trebala promatrati samo certifikat, već njegovu uporabnu vrijednost za usluge, procese i ovisnosti koje imaju regulatorno značenje. Isti certifikat može predstavljati zreo sustav koji obuhvaća kritične procese, redovita preispitivanja, korektivne radnje i stvaran nadzor vlasnika procesa, ali i usko postavljen sustav ograničen na jedan dio organizacije. Zato prije samoprocjene prema zahtjevima NIS2 i KSC-a treba provjeriti ne samo Izjavu o primjenjivosti nego i popis procesa obuhvaćenih procjenom rizika, rezultate internih audita, zaključke upravinih ocjena te utječu li odluke o rizicima na proračun, ugovore, arhitekturu usluga i način odgovora.

To je posebno vidljivo u poduzećima koja posluju u lancima opskrbe. HRN EN ISO 27001 u pravilu uređuje ugovorne zahtjeve, klasifikaciju informacija, pravila pristupa, odgovornosti dobavljača i način dokumentiranja odstupanja. To je korisna osnova, osobito kada kupci traže dokaz nadzora nad partnerima. Ipak, norma automatski ne rješava sva očekivanja pojedine industrije ni posebne sektorske kriterije. Slična se dvojba pojavljuje u temi HRN EN ISO 27001 ili TISAX – što odabrati kada kupac zahtijeva informacijsku sigurnost u lancu opskrbe? Certifikat u praksi uređuje odnose i odgovornosti, ali ne zamjenjuje provjeru obveza koje još treba ugraditi u ugovore, postupke eskalacije i nadzor nad vanjskim uslugama.

Zaključak je jasan: certifikat može znatno skratiti put do uređenog upravljanja sigurnošću, ali nije samostalan dokaz ispunjavanja obveza koje proizlaze iz KSC-a. Certifikacijski audit provjerava sukladnost sustava upravljanja sa zahtjevima norme unutar određenog opsega. To nije isto što i procjena zakonskih obveza i operativne spremnosti. Organizacija zato paralelno treba provjeriti obuhvaća li sustav relevantne procese, je li procjena rizika ažurirana prema stvarnim uslugama i ovisnostima te funkcioniraju li u praksi postupci odgovora na incidente, kontinuiteta poslovanja i nadzora dobavljača.

Gdje certifikat nije dovoljan

Prvi nedostatak odnosi se na samu regulatornu usklađenost. Sustav upravljanja informacijskom sigurnošću uređuje pravila, uloge i nadzor, ali sam po sebi ne odgovara na pitanja je li subjekt pravilno identificiran u kontekstu obveza KSC-a, tko je odgovoran za formalne prijave, tko održava odnos s nadležnim tijelom i kako se odluke eskaliraju upravi. To nije nedostatak jednog dokumenta, nego nedostatak u modelu odgovornosti. Ako ti elementi nisu ugrađeni u stvarni način rada društva, certifikat osigurava unutarnju uređenost, ali ne i regulatornu upravljivost.

Drugi nedostatak odnosi se na opseg. Mnoge organizacije imaju certifikaciju ograničenu na odabranu lokaciju, jedno društvo, određenu organizacijsku cjelinu ili dio pomoćnih usluga. Procjena spremnosti za KSC, međutim, mora polaziti od stvarne mape usluga, kritičnih procesa, resursa i ovisnosti, a ne od granica certifikacijskog audita. Ako se bitna ili važna usluga pruža kroz više društava u grupi, uz sudjelovanje vanjskog podatkovnog centra, zajedničkog tima za održavanje ili distribuiranog procesa obrade incidenata, formalno ispravan certifikat može pokrivati samo dio cjeline. U takvoj situaciji uprava ne odlučuje samo treba li proširiti certifikat, nego hoće li uspostaviti jedan integrirani program usklađenosti ili dva paralelna toka: certifikacijski i regulatorni.

Treći je nedostatak dokazne prirode i obično postaje vidljiv tek tijekom incidenta, vježbe ili nadzora. Organizacija ima postupke za odgovor na incidente, kontinuitet poslovanja i nadzor dobavljača, ali ne može dokazati da ti mehanizmi operativno funkcioniraju. Nedostaju registar incidenata, trag odluka uprave, rezultati vježbi, analize nakon događaja, pokazatelji učinkovitosti i dokumentirane korektivne radnje. U takvom je stanju sustav opisan, ali nije dokazan. Upravo se tu pojavljuju najskuplje korekcije jer treba mijenjati ne samo sadržaj postupaka nego i način izvještavanja uprave, ritam preispitivanja te odgovornost vlasnika procesa. Isti je obrazac vidljiv i u drugim sustavima upravljanja, među ostalim u temi IATF 16949 – koji zahtjevi doista stvaraju poteškoće u svakodnevnom upravljanju kvalitetom i kako njima upravljati bez privida sukladnosti.

Četvrti se nedostatak odnosi na lanac opskrbe i vanjske ovisnosti. Norma pomaže urediti zahtjeve za dobavljače, ali usklađenost s KSC-om može zahtijevati detaljnije mapiranje: koje vanjske usluge podržavaju pružanje kritične usluge, gdje postoje pojedinačne točke otkaza, koji su scenariji poremećaja te u kojoj je mjeri moguće zamijeniti dobavljača, osoblje ili lokaciju. U praksi ne treba mjeriti samo postoje li ugovori i ocjene dobavljača, nego i podudarnost certifikacijskog opsega sa stvarnom mapom kritičnih usluga, potpunost registra incidenata i vježbi te ažurnost pregleda dobavljača i ovisnosti. Tek takva usporedba pokazuje ima li organizacija uređen sustav ili samo njegov formalni prikaz.

Program usklađivanja treba graditi od usluga, a ne od dokumenata

Najčešća početna pogreška nastaje kada organizacija projekt otvara pregledom politika, postupaka i zapisa prema HRN EN ISO 27001, umjesto pitanjem koje se usluge stvarno moraju održati i koje su regulatorne obveze s njima povezane. Ispravan je redoslijed obrnut: najprije se identificiraju usluge, procesi, resursi i ovisnosti koji su kritični za kontinuitet poslovanja i odgovornosti prema KSC-u, a tek potom im se pridružuju zahtjevi sustava i potrebni dokazi. Samo takav pristup omogućuje razlikovanje potrebne dokumentacije od dokumentacije bez stvarne uporabne vrijednosti.

Za upravu to znači donošenje odluke o izradi mape kritičnih usluga, ovisnosti o dobavljačima i sustavima te popisa postojećih postupaka koji se mogu iskoristiti bez udvostručavanja mehanizama. Tek se na toj osnovi može utvrditi obuhvaća li postojeći sustav ono što je doista važno za održavanje usluge i usklađenost ili samo ono što je povijesno uključeno u certifikacijski opseg.

Drugi se korak odnosi na model odgovornosti. Ako je informacijska sigurnost raspodijeljena između IT-a, kvalitete, usklađenosti, održavanja i nabave bez jasne podjele uloga, projekt se brzo pretvara u skup lokalnih inicijativa. Zato treba utvrditi tko je vlasnik rizika, tko vodi obradu incidenata, tko nadzire odnose s dobavljačima, tko donosi upravljačke odluke i tko održava dokaze usklađenosti. U praksi dobro funkcioniraju jednostavna matrica uloga i odgovornosti te jedinstven ritam upravinih preispitivanja umjesto nekoliko paralelnih linija izvještavanja. To je ujedno trenutak za odluku hoće li se osnovati zajednički upravljački odbor za usklađenost i sigurnost te uključiti operativna tehnologija u isti model upravljanja rizicima.

U proizvodnim organizacijama i sustavima s više lokacija ta je logika posebno važna. Incident se ondje ne završava gubitkom povjerljivosti podataka, nego može prouzročiti zaustavljanje proizvodne linije, poremećaj planiranja, gubitak sljedivosti serije ili smanjenje sposobnosti pružanja usluge. Informacijsku sigurnost zato treba povezati s operativnim kontinuitetom, održavanjem i okruženjima operativne tehnologije. Ako sustav upravljanja obuhvaća samo uredsku infrastrukturu, a izostavlja upravljačke sustave, udaljeni servis, ovisnost o integratorima ili postupke za izvanredne situacije u pogonu, prikaz rizika bit će formalno uređen, ali operativno nepotpun. Ista projektna disciplina vidljiva je i u drugim područjima s visokim zahtjevima nadzora, uključujući teme poput ASME, NQA-1 i ISO 19443 — tri kratice koje mora poznavati dobavljač za nuklearni sektor.

Tek na toj osnovi postojeći HRN EN ISO 27001 treba iskoristiti kao temeljni sloj i provesti zasebnu analizu nedostataka prema KSC-u. Njezina svrha nije dovoditi certifikat u pitanje, nego provjeriti gdje postoji stvarna pokrivenost, a gdje su potrebni dodatni postupci, registri, putovi eskalacije ili dokazi provedbe. Takav pristup ograničava prekomjernu dokumentaciju i bolje održava usklađenost mehanizama nego odvojeni projekti koji međusobno konkuriraju.

Kako provjeriti stvarno stanje prije audita ili nadzora

Prije audita, samoprocjene ili nadzora ne treba pitati ima li organizacija „HRN EN ISO 27001”, nego može li dokazati stvarnu spremnost za djelovanje i sljedivost odluka. Tu spremnost treba procijeniti kroz četiri sloja: najprije utvrditi opseg i status obveza, zatim provjeriti dizajn sustava upravljanja, potom učinkovitost procesa te na kraju potpunost dokaza. Samo se tako može razlikovati dokumentacijska uređenost od operativne sposobnosti.

Najkorisnija pitanja zato nisu: imamo li postupak, nego: znamo li kada ga aktivirati, tko donosi odluku, koji su pragovi eskalacije, kako ćemo to dokazati i jesmo li uvježbali taj scenarij. Ako obrada incidenta ovisi o znanju jedne osobe, ako odnosi s dobavljačima ne uključuju definirane sigurnosne kriterije i ako uprava dobiva samo opća izvješća bez odluka i rokova, sustav može formalno odgovarati vlastitom opisu, ali i dalje neće biti spreman za djelovanje pod pritiskom.

Pregled spremnosti zato treba obuhvatiti sučelja između uprave, operacija, IT-a, održavanja i dobavljača jer se upravo ondje najčešće otkrivaju nedostaci koji nisu vidljivi u samim postupcima. U praksi najbolje rezultate daje analiza nedostataka provedena na način sličan operativnom auditu. Tada se ne ocjenjuje samo sadržaj dokumenata nego i tijek odlučivanja, putovi eskalacije, zapisi o incidentima, rezultati testova i vježbi, registar nesukladnosti i opažanja te korektivne radnje.

Dobar je test jednostavan scenarij: kod ključnog dobavljača nastane incident ili dođe do poremećaja u proizvodnom okruženju, pa treba utvrditi tko klasificira događaj, tko pokreće komunikaciju, tko procjenjuje utjecaj na uslugu i koji će dokazi ostati nakon donesene odluke. Ako su odgovori raspršeni, a organizacija se poziva na „praksu” koju nitko ne može rekonstruirati iz zapisa, spremnost je prividna čak i kada se sustav upravljanja formalno pravilno održava.

Ako organizacija već provodi interne audite prema HRN EN ISO 27001, treba ih iskoristiti kao instrument takve provjere, ali kriterije audita treba proširiti regulatornim obvezama i dokazima koji se očekuju iz perspektive KSC-a. Auditorske su kompetencije pritom vrlo korisne, kao i znanja koja razvijaju osobe koje se pripremaju za ulogu vodećeg ili internog auditora. Prirodna referenca može biti i materijal Vodeći auditor HRN EN ISO 27001: cjelovit vodič kroz certifikaciju i zahtjeve norme. Ipak, treba zadržati pravilan redoslijed: auditorska kompetencija pomaže provjeriti sustav, ali ne zamjenjuje analizu pravnih i organizacijskih obveza koje se stvarno primjenjuju na konkretnu organizaciju.

Odluka uprave: certifikat kao osnova, a ne kao opravdanje

Najracionalniji pristup jest koristiti HRN EN ISO 27001 kao temelj upravljačke uređenosti, a ne kao samostalan dokaz ispunjavanja svih obveza koje proizlaze iz NIS2 i KSC-a. Certifikat uređuje odgovornosti, procjenu rizika, nadzor incidenata, auditiranje i poboljšavanje, ali ne oslobađa organizaciju od utvrđivanja konkretnih obveza, njihova opsega i dokaza potrebnih za potvrđivanje učinkovitosti.

Iz perspektive uprave najveća opasnost nije nedostatak dokumentacije, nego iluzija spremnosti: uvjerenje da je certificirana organizacija automatski spremna i za zahtjeve nacionalnog pravnog okvira. Odluka se zato ne smije svesti samo na pitanje treba li održati ili proširiti certifikaciju. Najprije treba razriješiti tri upravljačka pitanja:

• potvrditi status organizacije i opseg obveza,
• provesti analizu nedostataka između postojećeg sustava i zahtjeva KSC-a,
• odrediti model nadzora nad provedbom aktivnosti i dokazima učinkovitosti.

Tek se na toj osnovi može razumno odlučiti treba li poduzeće proširiti certifikacijski opseg ili je dovoljno iskoristiti postojeći sustav HRN EN ISO 27001 bez promjene opsega te uspostaviti nedostajuće organizacijske, pravne i operativne mehanizme. U praksi pomažu tri jednostavna upravljačka alata: aktualni certifikacijski opseg uspoređen s mapom kritičnih procesa, popis nedostataka s procjenom utjecaja na rizik i usklađenost te akcijski plan s vlasnicima aktivnosti, rokovima i kriterijima zatvaranja.

Ako organizacija tek odabire pristup, redoslijed aktivnosti nije univerzalan. Ondje gdje postoji snažan pritisak kupaca ili zahtjevi u postupcima nabave, izgradnja sustava radi certifikacije može biti opravdan prvi korak, pod uvjetom da se istodobno ne odgađa analiza regulatornih obveza. U poduzećima s visokim operativnim rizikom ili raspršenim odgovornostima često je razumnije prvo zatvoriti regulatorne nedostatke, a tek potom urediti certifikacijski opseg. To nije pitanje redoslijeda formalnosti, nego redoslijeda smanjenja rizika. U tom kontekstu i temu ISO certifikat: koristi i postupak implementacije treba promatrati kao dio šire odluke o načinu upravljanja usklađenošću, a ne odvojeno od poslovnog modela organizacije.

Najbolji se rezultati postižu jedinstvenim programom u kojem se informacijskom sigurnošću, kontinuitetom poslovanja, nadzorom dobavljača i regulatornim obvezama upravlja kao sastavnim dijelovima operativnog modela poduzeća, a ne kao odvojenim inicijativama različitih funkcija. U poljskom kontekstu upravo razdvojene odgovornosti često umanjuju sposobnost provedbe i dokazivanja. Završni je zaključak jednostavan: certifikat pomaže i može znatno skratiti put do uređenog sustava, ali usklađenost i dalje treba projektirati, provesti i potkrijepiti dokazima u uvjetima koji su relevantni za NIS2 i KSC.