Ukratko: EU direktiva NIS2 znatno veći broj tvrtki nego prije obvezuje na mjere upravljanja rizicima i na prijavu značajnih sigurnosnih incidenata. U Njemačkoj se provodi zakonom NIS2UmsuCG (njemački zakon o provedbi NIS2 i jačanju kibernetičke sigurnosti); nadležno tijelo je BSI (njemački Savezni ured za informacijsku sigurnost). Za web-poslužitelje to prije svega znači: ažuriranja, upravljanje ranjivostima i postupanje s incidentima moraju biti organizirani i dokazivi. Ova stranica je opća informacija, a ne pravni savjet.
Nije pravni savjet: spada li Vaša tvrtka pod NIS2 i koje obveze pojedinačno vrijede, razjasnite na temelju podataka BSI-ja i uz pravno savjetovanje. Namjerno ne navodimo pragove ni rokove koji ovise o Vašem razvrstavanju.
Što je NIS2
NIS2 je druga EU direktiva o sigurnosti mrežnih i informacijskih sustava. U odnosu na raniji propis znatno proširuje krug obveznika i razlikuje osobito važne i važne subjekte. Koje su djelatnosti i veličine obuhvaćene, određuje zakon.
U Njemačkoj NIS2UmsuCG provodi direktivu i u tu svrhu, među ostalim, iznova uređuje zakon o BSI-ju. BSI je kontakt za registraciju, prijave i nadzor te na svojoj web-stranici daje informacije i pomoć pri razvrstavanju. Pouzdane, aktualne podatke o rokovima i postupcima naći ćete tamo, a ne u općim sažecima.
NIS2 obveze za tvrtke ukratko
Za obuhvaćene tvrtke obveze se okvirno mogu svesti na tri područja:
Upravljanje rizicima. Tvrtke moraju poduzeti prikladne i razmjerne tehničke i organizacijske mjere. Tu tipično spadaju koncepti analize rizika i informacijske sigurnosti, postupanje sa sigurnosnim incidentima, održavanje poslovanja sigurnosnim kopijama i upravljanjem krizama, sigurnost opskrbnog lanca, sigurnost pri nabavi, razvoju i održavanju uključujući postupanje s ranjivostima, kontrola pristupa i kriptografija.
Prijave. Značajni sigurnosni incidenti prijavljuju se BSI-ju. Direktiva za to predviđa postupak u više faza, od rane prve prijave do završnog izvješća. Točne rokove i putove prijave za Njemačku preuzmite iz podataka BSI-ja.
Odgovornost uprave. Poslovodstvo mora odobriti mjere, nadzirati njihovu provedbu i dati se educirati o pitanjima kibernetičke sigurnosti. Više o tome u članku Odgovornost uprave.
Što to znači za web-poslužitelje
Web-poslužitelji su često najotvoreniji sustav tvrtke. PHP2Shell pokazuje kako brzo ranjivost u temeljnoj komponenti može pogoditi sve aplikacije koje na njoj rade. Dvije ranjivosti CVE-2026-109618 i CVE-2026-109619 omogućuju izvršavanje koda bez prijave; BSI je proglasio razinu upozorenja 3 (narančasta) i preporučio trenutačno ažuriranje.
Za tvrtku obveznika NIS2 iz toga proizlaze praktična pitanja: znamo li koji poslužitelji koriste PHP i u kojoj verziji? Tko prati sigurnosne obavijesti i odlučuje o hitnim ažuriranjima? Možemo li prepoznati napad i tko procjenjuje je li incident značajan i time podliježe prijavi? Je li uređeno što preuzimaju pružatelj hostinga i davatelji usluga?
Zakrpa ne uklanja zlonamjerni softver koji je ubačen prije i ne dokazuje da se ništa nije dogodilo. I to spada u procjenu incidenta.
Konkretne mjere za web-infrastrukturu
Sljedeće točke nisu konačan popis, ali pokrivaju najčešće praznine:
| Mjera | Odnos |
|---|---|
| Popis svih web-poslužitelja, PHP verzija i aplikacija | analiza rizika |
| Čvrst postupak za sigurnosna ažuriranja uključujući ponovno pokretanje i dokaz | upravljanje ranjivostima |
| Nadzor i čuvanje zapisnika | postupanje s incidentima |
| Testirane sigurnosne kopije i plan ponovne uspostave | kontinuitet poslovanja |
| Podjela zadaća s pružateljem hostinga i agencijama pisanim putem | opskrbni lanac |
| Višefaktorska prijava za administratorske pristupe | kontrola pristupa |
| Pripremljeni putovi prijave i odgovornosti | obveze prijave |
Kao metodološki okvir prikladan je IT-Grundschutz BSI-ja (njemački temeljni standard IT sigurnosti). IT plan za hitne slučajeve za web-poslužitelje povezuje tehniku, odgovornosti i putove prijave.
Zajedno promatrajte NIS2 i zaštitu podataka
Napad na web-poslužitelj može istodobno biti NIS2 incident i povreda zaštite podataka. Tada se paralelno odvijaju dva postupka, s različitim tijelima i zahtjevima. Prijava nadzornom tijelu za zaštitu podataka prema čl. 33. GDPR-a opisana je u članku Obveza prijave prema GDPR-u: 72 sata. Oba puta planirajte unaprijed kako u kriznom slučaju nitko ne bi morao improvizirati.
Još jedna točka tiče se pružatelja usluga. Mnoge tvrtke prepuštaju agencijama održavanje web-stranica, a pružateljima hostinga rad poslužitelja. Obveza uzimanja u obzir rizika opskrbnog lanca u praksi znači: ugovorom urediti tko instalira sigurnosna ažuriranja, koliko brzo se obrađuju kritične ranjivosti, kako ćete biti obaviješteni o incidentima i koje dokaze dobivate. Situacija oko PHP2Shella dobar je test postoje li već takve odredbe i jesu li u kriznom slučaju funkcionirale. Ako odgovor nedostaje, to je točka za Vaše upravljanje rizicima.
Kako PHP SOS konkretno pomaže?
- Popisujemo Vašu web-infrastrukturu i procjenjujemo rizike i praznine u obliku koji možete koristiti za svoje upravljanje rizicima.
- Uspostavljamo dokaziv postupak za sigurnosna ažuriranja i na zahtjev ga preuzimamo putem ugovora o sigurnosnom održavanju.
- Uz sigurnosni nadzor i čuvanje zapisnika stvaramo temelj za prepoznavanje i procjenu incidenata.
- U slučaju incidenta isporučujemo tehničke činjenice za Vašu prijavu BSI-ju; pravno razvrstavanje ostaje na Vama i Vašem pravnom savjetniku.
Česta pitanja
Pogađa li NIS2 moju tvrtku?
To ovisi, među ostalim, o djelatnosti i veličini tvrtke. Točni kriteriji proizlaze iz njemačkog provedbenog zakona. BSI (njemački Savezni ured za informacijsku sigurnost) na svojoj web-stranici daje informacije o obuhvaćenosti; u slučaju sumnje pitanje razjasnite pravnim savjetovanjem.
Što NIS2 znači za web-stranicu tvrtke?
Web-poslužitelji, portali za klijente i shopovi spadaju u sustave čijim rizicima obuhvaćena tvrtka mora upravljati. Tu spadaju ažuriranja, upravljanje ranjivostima, kontrola pristupa i sposobnost prepoznavanja i prijave incidenata.
Koji rokovi prijave vrijede prema NIS2?
Direktiva predviđa postupak prijave u više faza za značajne sigurnosne incidente. Obvezujuće rokove, putove i obrasce za Njemačku preuzmite iz podataka BSI-ja i teksta zakona. Rokove ovdje namjerno ne navodimo bez veze s Vašom situacijom.
Vrijedi li NIS2 i za dobavljače?
NIS2 od obuhvaćenih subjekata zahtijeva da uzmu u obzir i sigurnost svog opskrbnog lanca. Zato mnogi klijenti pitaju svoje pružatelje usluga i dobavljače za sigurnosne mjere, čak i ako oni sami ne spadaju izravno pod zakon.