Zakon o kibernetičkoj sigurnosti (NN 14/2024) i NIS2: što znači za hosting i vaše pružatelje usluga

Kratak odgovor

1. 1Zakon o kibernetičkoj sigurnosti (NN 14/2024) u hrvatsko pravo prenosi NIS2 i razvrstava subjekte u ključne i važne; prema čl. 116. stupio je na snagu osmoga dana od objave u Narodnim novinama.
2. 2Obveznik je vaša organizacija ako spada u sektore iz priloga I. ili II. i ispunjava kriterije veličine, a ne vaš hosting pružatelj: mjere, obavijesti i odgovornost uprave ostaju na vama.
3. 3Za provedbu mjera upravljanja kibernetičkim sigurnosnim rizicima odgovorni su članovi upravljačkih tijela (čl. 29. st. 1.), pa se sigurnost ne može samo prepustiti IT-u.
4. 4Značajne incidente prijavljujete nadležnom CSIRT-u (čl. 37. st. 1.) i obavještavate primatelje svojih usluga (čl. 38.), pa od hostinga trebate zapise, sigurnosne kopije i ljude koji pomažu u incidentu.
5. 5Pružatelji oblaka, podatkovnih centara i upravljanih usluga posebno su navedeni u zakonu (čl. 22.), ali je 4hosting sa sjedištem u Rumunjskoj i ne potvrđuje vašu usklađenost.

Što kaže zakon: ključni i važni subjekti

Zakon o kibernetičkoj sigurnosti objavljen je u Narodnim novinama 14/2024. Subjekte iz priloga I. (sektori visoke kritičnosti) i priloga II. (drugi kritični sektori) razvrstava u dvije kategorije. U ključne subjekte spadaju, među ostalim, subjekti iz priloga I. koji prelaze gornje granice za srednje subjekte maloga gospodarstva (čl. 9.), a važni su, među ostalim, subjekti iz priloga II. koji ispunjavaju kriterije veličine (čl. 10.). Čl. 11. dopušta razvrstavanje i neovisno o veličini, primjerice kada je subjekt jedini pružatelj ključne usluge.

Zakon razlikuje i obveze: reviziju kibernetičke sigurnosti ključni subjekti provode najmanje jednom u dvije godine (čl. 34. st. 1.), a samoprocjenu važni subjekti najmanje jednom u dvije godine (čl. 35. st. 1.). Odgovornost za mjere snose članovi upravljačkih tijela (čl. 29. st. 1.).

Izvor: Narodne novine, NN 14/2024. Zakon ne traži da hosting pružatelj ispunjava vaše obveze, ali vi morate znati što vam dobavljač može dokazati.

Što zakon kaže o pružateljima hostinga i oblaka

Čl. 22. predviđa poseban registar koji vodi središnje državno tijelo za kibernetičku sigurnost, među ostalim za pružatelje usluga računalstva u oblaku, pružatelje usluga podatkovnog centra i pružatelje upravljanih usluga. Prema čl. 14. st. 3. takvi pružatelji podliježu zakonu ako u Hrvatskoj imaju glavni poslovni nastan ili im je predstavnik osnovan u Hrvatskoj.

4hosting posluje iz Rumunjske, a poslužitelji su u Frankfurtu. Je li neki pružatelj obuhvaćen hrvatskim zakonom, procjenjuje se na temelju tih kriterija, pa to provjerite s pravnikom. Za vas je važnije da kao korisnik sami odgovarate za svoje mjere i obavijesti.

Obavijesti o incidentima

Ključni i važni subjekti obavještavaju nadležni CSIRT o svakom incidentu koji ima znatan učinak na dostupnost, cjelovitost, povjerljivost i autentičnost podataka ili na kontinuitet usluga (čl. 37. st. 1.) te obavještavaju primatelje svojih usluga (čl. 38.). Prema čl. 37. st. 4. s dostavom obavijesti počinje se u roku od 30 dana od dana dostave obavijesti iz čl. 19. st. 1. Točan postupak i rokove za svoj slučaj provjerite u tekstu zakona i kod nadležnog tijela.

Što tražiti od hostinga

• Centralizirane zapise s brzim pristupom, osnovu za procjenu incidenta i obavijesti.
• Dnevne sigurnosne kopije i ispitan povrat podataka.
• Zaštitu od DDoS napada na mrežnoj razini i mogućnost WAF-a na razini aplikacije.
• Ugovor o obradi podataka prema čl. 28. GDPR-a i jasnu lokaciju podataka u EU.
• Ljude koji pomažu tijekom incidenta i pri pripremi obavijesti.

Tri tipične hrvatske situacije

• Zagrebačka softverska tvrtka koja nudi SaaS klijentima iz regulirenih sektora: klijenti će tražiti dokaze o sigurnosnim kopijama i upravljanju pristupom kao dio lanca nabave.
• Privatna klinika u Splitu s portalom za pacijente: uprava mora razumjeti i odobriti mjere, ne samo ih delegirati vanjskom administratoru.
• Web-trgovina iz Rijeke: treba moći uočiti napad preko vikenda i imati zapise za procjenu što se dogodilo.

Česte pogreške

• Pretpostavka da „certificirani hosting“ ispunjava zakon umjesto vas. Usklađenost je vaša obveza, dobavljač daje alate i podatke.
• Nepostojanje centraliziranih zapisa (logova): bez njih je teško utvrditi je li incident znatan i što je zahvatio.
• Sigurnosne kopije iz kojih se nikad nije radio povrat. Neprovjerena kopija nije mjera.
• Sigurnost prepuštena samo IT-u, iako čl. 29. st. 1. odgovornost veže uz upravljačka tijela.
• Neprovjeren status: ne znate jeste li ključni ili važni subjekt, pa ne znate ni koje se obveze (revizija ili samoprocjena) odnose na vas.

Kako pomaže 4hosting

4hosting je „hosting s uključenim DevOpsom“: od paketa cPanel Advanced naviše te kod VPS, dedicated i GPU poslužitelja u paket su uključeni mjesečni sati DevOpsa, kibernetičke sigurnosti i programiranja koje zatražite iz korisničkog panela. S njima možemo postaviti centralizirane zapise (Grafana, Prometheus, Loki), alarmiranje, WAF s OWASP pravilima, hardening poslužitelja i kontejnera te sigurnosne kopije otporne na ransomware.

Zaštita od DDoS napada na razini L3/L4 uključena je. Poslužitelji su u EU, u Frankfurtu, a ne u Hrvatskoj. Radimo u skladu s GDPR-om uz ugovor o obradi podataka i držimo se načela ISO 27001 (usklađenost, ne certifikat).

Važno: 4hosting nema NIS2 ni ISO 27001 certifikaciju, nije certifikacijsko tijelo i ne potvrđuje vašu usklađenost sa zakonom. Obveznik i odgovornost za obavijesti ostajete vi.

Pitanja i odgovori

Vidi i

• GDPR i Zakon o provedbi (NN 42/2018): hosting osobnih podataka u EU →
• Politika privatnosti 4hosting →
• DevOps, programiranje i kibernetička sigurnost →