Sadržaj teksta12 odeljaka
NIS2 kao signal promene, ne samo evropska regulativa
NIS2 direktiva je evropski okvir koji je dodatno podigao očekivanja od organizacija koje zavise od digitalnih sistema. Za kompanije u Srbiji ona nije važna samo zato što utiče na evropsko tržište i lance snabdevanja. Važna je i zato što pokazuje smer u kome se kreće savremeno upravljanje sajber rizicima: bezbednost više nije samo tehnička tema, već odgovornost menadžmenta.
Menadžment ne mora da zna svaku tehničku kontrolu, ali mora da zna koje rizike kompanija preuzima, koje mere su odobrene, ko je odgovoran za njihovo sprovođenje i kako se proverava da li sistem funkcioniše. To je najveća lekcija NIS2 logike. Ne traži se savršenstvo, već odgovorno upravljanje rizikom.
Za Positive blog, ova tema je važna zato što povezuje sajber bezbednost, upravljanje podacima, kontinuitet poslovanja, procese i odgovornost rukovodstva. To je upravo prostor u kome se digitalna transformacija razlikuje od kupovine alata.
Direktan odgovor za rukovodioce
NIS2 direktiva pokazuje da sajber bezbednost postaje pitanje upravljanja, ne samo IT zaštite. Menadžment treba da odobrava mere upravljanja rizikom, razume ključne digitalne zavisnosti, obezbedi odgovornosti, prati sprovođenje i poveže bezbednost sa kontinuitetom poslovanja.
Šta menadžment stvarno mora da razume
Prva stvar je da rizik nije apstraktan. Rizik je prekid rada, curenje podataka, gubitak poverenja, zastoj proizvodnje, nemogućnost pružanja usluge, reputaciona šteta ili ugovorna posledica. Kada se rizik prevede u poslovni jezik, razgovor se menja. Tada bezbednost više nije trošak koji treba smanjiti, nego uslov da sistem može da nastavi da radi.
Druga stvar je da odgovornost ne može biti razvodnjena. Ako svi misle da je bezbednost posao nekog drugog, realno nije ničiji posao. Menadžment mora da zna ko je vlasnik rizika, ko je vlasnik sistema, ko odobrava pristupe, ko vodi incident, ko komunicira sa korisnicima i ko proverava da li se odluke sprovode.
Treća stvar je da dokumenti nisu dovoljni. Politike, procedure i planovi su potrebni, ali vrede tek kada se primenjuju. Ako zaposleni ne znaju kako da prijave sumnjiv mejl, ako rukovodioci ne znaju šta je kritičan sistem, ako backup nikada nije testiran, formalna usklađenost neće zaštititi poslovanje.
NIS2 kao dobra poslovna disciplina
NIS2 logika može biti korisna i za kompanije koje nisu direktno obuhvaćene regulativom. Ona menadžmentu daje okvir za zreliji razgovor: šta su ključni sistemi, koje su minimalne mere, kako se meri spremnost, kako se prijavljuju incidenti, kako se upravlja dobavljačima i kako se gradi kultura odgovornosti.
Ovo je posebno važno za kompanije koje rade sa većim klijentima, javnim sektorom, finansijskim institucijama, proizvodnim sistemima ili međunarodnim partnerima. Čak i kada zakon ne traži određeni nivo formalnosti, tržište ga može tražiti kroz ugovore, tendere, bezbednosne upitnike i audit procese.
Zato digitalna transformacija mora uključiti bezbednost od početka. Ako se bezbednost dodaje tek na kraju, projekti često postaju skuplji, sporiji i rizičniji.
Veza sa lancem dobavljača
Jedna od najvažnijih lekcija moderne regulative jeste da kompanija ne zavisi samo od svojih sistema. Zavisi i od dobavljača, cloud provajdera, softverskih partnera, eksternih konsultanta, integracija, podizvođača i korisnika koji pristupaju sistemima. Slaba karika u lancu može postati ulaz u ozbiljan problem.
Menadžment zato mora da uvede minimum discipline u izboru i nadzoru partnera. To ne znači da svaki dobavljač mora biti tretiran kao veliki korporativni audit. Znači da mora postojati razlika između dobavljača koji isporučuje niskorizičnu uslugu i partnera koji ima pristup podacima, sistemima, korisničkim nalozima ili poslovno kritičnim procesima.
U praksi, to znači jasnije ugovore, definisana prava pristupa, procedure za prestanak saradnje, proveru osnovnih bezbednosnih mera i evidenciju ko ima pristup čemu.
Kako početi bez paralize
Najlošiji odgovor na regulativu je panika. Drugi loš odgovor je ignorisanje. Pravi odgovor je strukturisana procena zrelosti. Kompanija prvo treba da popiše ključne sisteme, procese, podatke i partnere. Zatim da proceni rizike, postojeće mere, nedostatke i redosled rešavanja.
Ne mora sve da se uradi odjednom. Ali mora da postoji roadmap. Neki koraci su osnovni: višefaktorska autentifikacija gde je kritično, kontrola administratorskih prava, testiran backup, procedura za incidente, edukacija zaposlenih, evidencija pristupa i jasna odgovornost za bezbednosne odluke.
U tom smislu, poslovni konsalting i tehnička ekspertiza moraju raditi zajedno. Regulatorni zahtev bez tehničkog razumevanja ostaje papir. Tehnička mera bez poslovnog prioriteta ostaje izolovana aktivnost.
Najvažnija odluka je da bezbednost dobije vlasnika
NIS2 je korisno posmatrati kao podsetnik da digitalni rizik mora imati vlasnika u organizaciji. Taj vlasnik ne mora sve da radi sam, ali mora da vodi temu, okuplja prave ljude, prati mere i redovno izveštava menadžment.
Kompanije koje ovu lekciju usvoje ranije biće spremnije za regulativu, audit, zahtevnije klijente i stvarne incidente. One koje čekaju da ih pritisne zakon ili napad, najčešće plaćaju skuplju cenu: hitne projekte, loše odluke, stres i gubitak poverenja.
Ovaj tekst nije pravni savet. Za konkretne obaveze potrebno je proveriti važeće propise i konsultovati pravnog savetnika. Ali poslovna lekcija je jasna: bezbednost više nije tema koju menadžment može ostaviti po strani.
Šta se može naučiti i bez formalne obaveze
Čak i kompanije koje nisu direktno obuhvaćene određenom regulativom mogu mnogo da nauče iz NIS2 pristupa. Prva lekcija je da bezbednost mora biti proporcionalna riziku. Nije svaka kompanija ista, niti svaki sistem ima isti značaj. Ali svaka kompanija mora da zna šta je kritično i šta bi se desilo ako taj deo prestane da radi.
Druga lekcija je da se rizik ne rešava samo alatom. Alati su važni, ali jednako su važne odgovornosti, procedure, obuke, ugovori sa dobavljačima, evidencija incidenata i način izveštavanja. Ako jedan od ovih delova nedostaje, sistem ostaje slab.
Treća lekcija je da menadžment mora imati redovan uvid. Nije dovoljno čuti jednom godišnje da je “sve u redu”. Menadžment treba da zna šta se promenilo, koji rizici rastu, gde su otvorene slabosti i koje odluke čekaju odobrenje.
Kako ovu temu pretvoriti u akcioni plan
Praktičan plan može početi sa četiri pitanja. Koji sistemi su neophodni za rad? Koji podaci su najosetljiviji? Ko ima pristup tim sistemima i podacima? Šta radimo ako se desi incident? Ova pitanja deluju jednostavno, ali u mnogim kompanijama ne postoje jasni odgovori.
Nakon toga treba definisati prioritetne mere. Neke mere su tehničke, kao višefaktorska autentifikacija, backup, monitoring i segmentacija pristupa. Druge su organizacione, kao imenovanje vlasnika rizika, procedura eskalacije, obuka zaposlenih i redovno izveštavanje.
Najvažnije je da plan ne ostane u fazi namere. Svaka mera treba da ima vlasnika, rok, način provere i jasan razlog. Bez toga se regulativa pretvara u spisak lepih želja, a ne u stvarnu promenu načina rada.
Greške koje menadžment najčešće pravi
Prva greška je da se tema delegira bez kontrole. Menadžment kaže da je bezbednost važna, ali ne traži izveštaje, ne donosi odluke i ne obezbeđuje budžet za prioritetne mere. Tada IT tim ostaje formalno odgovoran za nešto za šta nema dovoljno organizacionog autoriteta.
Druga greška je da se bezbednost posmatra samo kroz incidente koji su se već desili. Ako kompanija nema poznat problem, zaključuje se da nema ni rizik. To je opasna logika, jer mnogi rizici postoje pre nego što postanu vidljivi.
Treća greška je da se usklađenost svodi na ček listu. Ček lista može pomoći, ali ne sme zameniti razumevanje poslovnog sistema. Ako kompanija samo označi stavke bez promene načina rada, suštinski rizik ostaje.
Pitanja koja klijenti najčešće postavljaju
Da li se NIS2 direktno primenjuje na kompanije u Srbiji?
NIS2 je direktiva Evropske unije. Njena direktna primena zavisi od jurisdikcije, ali utiče na standarde, partnere, ugovore i lokalno usklađivanje propisa. Za konkretan slučaj treba proveriti pravni status kompanije.
Zašto menadžment treba da prati NIS2 ako nije tehnički tim?
Zato što se rizik meri kroz poslovne posledice: prekid rada, poverenje klijenata, ugovore, reputaciju i troškove oporavka.
Šta je prvi praktični korak?
Procena digitalne i bezbednosne zrelosti: kritični sistemi, podaci, pristupi, dobavljači, postojeće mere i najveće rupe.
Da li je compliance isto što i bezbednost?
Nije. Compliance dokazuje da su određeni zahtevi ispunjeni. Bezbednost znači da sistem zaista smanjuje rizik u praksi.
Ko treba da bude vlasnik teme?
Zavisi od strukture kompanije, ali mora postojati imenovan vlasnik koji povezuje menadžment, IT, pravne poslove i operativne sektore.
Sledeći korak za kompanije koje žele uređeniji sistem
Ako želite da pretvorite regulativne zahteve u jasan plan rada, zakažite konsultacije i proverite odakle ima najviše smisla krenuti.
