ZInfV-1 in upravljanje varnosti v dobavni verigi

V petek, 23. maja 2025, je Državni zbor RS potrdil novi Zakon o informacijski varnosti (ZInfV-1), ki v slovenski pravni red prenaša evropsko direktivo NIS2. Zakon bo začel veljati petnajsti dan po objavi v Uradnem listu, nato pa imajo bistveni in pomembni subjekti šest mesecev časa za samoregistracijo (60. člen) ter praviloma 18 mesecev časa za sprejetje ustreznih ukrepov za obvladovanje tveganj za informacijsko in kibernetsko varnost (62. člen). Samoregistracija bo potekala pri Uradu RS za informacijsko varnost, mehanizem zanjo pa je Urad dolžan vzpostaviti v štirih mesecih od uveljavitve ZInfV-1.

Od dneva uveljavitve zakona bodo torej zavezanci imeli približno dve leti časa, da upravljanje informacijske varnosti v svoji organizaciji uskladijo z zahtevami zakona. Ker je Slovenija že s prvim Zakonom o informacijski varnosti strožje opredelila upravljanje z informacijsko varnostjo, kot je predvidevala direktiva NIS, ima veliko organizacij dobršen del zahtev novega zakona že vpeljanih. Z nekaterimi zahtevami pa se bodo prvič srečali tako obstoječi kot novi zavezanci.

Upravljanje varnosti dobavne verige z vpeljavo ukrepov in testiranjem varnosti

Največja novost je zagotovo upravljanje varnosti v dobavni verigi, ki ga je uvedla tudi uredba DORA in stremi k reševanju problematike vedno večje površine napada zaradi medsebojnega povezovanja organizacij v digitalne dobavne verige.

V današnjem času se zdi povsem logično, da se obiskovalci v poslovnih prostorih organizacije ne smejo zadrževati brez nadzora, tudi če gre za redne goste. Osebo sprejmemo na recepciji in ji zagotovimo spremstvo. Ko gre za dostop do digitalnih sistemov, pa se še vedno dogaja, da imajo dobavitelji vzpostavljeno povezavo VPN, tudi ko je ne potrebujejo. S tem ostajajo vrata v notranje omrežje pogosto na stežaj odprta, zlasti v organizacijah – in teh po naših izkušnjah ni malo – kjer nimajo ustrezno urejene segmentacije notranjega omrežja.

Ko govorimo o upravljanju varnosti v dobavni verigi, moramo upoštevati dva vidika:

• zagotavljanje ustreznih varnostnih politik pri dodeljevanju in upravljanju dostopnih pravic dobaviteljem in vključevanju dobaviteljevih rešitev v interni informacijski sistem;
• spremljanje varnostne drže ključnih dobaviteljev in ustrezno odzivanje, če se njihova varnostna drža spremeni.

Kaj o upravljanju varnosti dobavne verige pravi ZInfV-1?

Kot določa 22. člen ZInfV-1, morajo zavezanci v ukrepih za varnost dobavne verige poskrbeti za določitev »ustreznih minimalnih zahtev, povezanih z informacijsko in kibernetsko varnostjo, za ključne dobavitelje ali ponudnike storitev, pri čemer se zahteve nanašajo na odnose med posameznim subjektom in njegovimi neposrednimi dobavitelji ali ponudniki storitev.« … »Bistveni in pomembni subjekti morajo pri presoji in izvedbi ustreznih varnostnih ukrepov za varnost dobavne verige upoštevati ranljivosti, ki so specifične za posameznega neposrednega dobavitelja in ponudnika storitev, ter splošno kakovost proizvodov in praks svojih dobaviteljev in ponudnikov storitev na področju kibernetske varnosti, vključno z njihovimi varnimi razvojnimi postopki. Ugotavljati morajo, kateri varnostni ukrepi so ustrezni in primerni za zagotovitev varnosti dobavne verige, poleg tega lahko preverjajo njihovo izvajanje pri dobaviteljih in ponudnikih storitev. …«

ZInfV-1 torej bistvenim in pomembnim subjektom nalaga obveznost vodenja seznama dobaviteljev, vpeljave varnostnih zahtev in ukrepov, povezanih s sodelovanjem z dobavitelji ter spremljanje njihove varnostne drže, kar vključuje:

• ocenjevanje tveganj za sodelovanje s posameznim dobaviteljem,
• pogodbeno opredelitev obveznosti za področje informacijske in kibernetske varnost ter
• nadzor izvajanja varnostnih ukrepov dobavitelja.

Koga naj organizacija vključi na seznam dobaviteljev?

Organizacije naj v evidenco dobaviteljev vključijo predvsem tiste dobavitelje, ki:

• zagotavljajo kritične IKT storitve, kot so npr. varnostna programska oprema, storitve v oblaku, upravljane storitve;
• imajo dostop do sistemov in podatkov;
• lahko s svojo napako ali pomanjkljivo varnostjo povzročijo motnjo v storitvah in delovanju organizacije.

V evidenci dobaviteljev naj bo jasno razvidna kritičnost posameznega dobavitelja (kako pomemben je za poslovanje) in ocena tveganja, opravljena na podlagi vprašalnikov, ki vključujejo:

• prakse upravljanja z informacijsko varnostjo,
• izjavo o vpeljanih področnih certifikatih, kot je npr. ISO 27001,
• izjavo o opravljenih revizijah informacijskega sistema.

Kako lahko varnost dobavne verige v skladu z ZInfV-1 zagotavljamo v praksi?

V velikih organizacijah z razpršeno dobavno verigo lahko obvladovanje tovrstnih tveganj pomeni veliko obremenitev za notranjo ekipo. Zato je smotrno razmisliti o delitvi del:

• Notranja ekipa naj poskrbi, da bodo razmerja z dobavitelji jasno opredeljena v varnostnih politikah, spoštovanje in zagotavljanje ustrezne ravni informacijske in kibernetske varnosti določeno v pogodbah in dostopne poti med organizacijo in dobaviteljem ustrezno zavarovane.

• Z dobavitelji, ki vam zagotavljajo poslovno kritične sisteme ali rešitve, se dogovorite za vdorni test, ki ga po vašem naročilu izvedejo specialisti za testiranje kibernetske varnosti.

Takšen pristop ne poskrbi le za »kljukico« s stališča skladnosti z zakonom, temveč dejansko prispeva k izboljšanju varnostne drže vaše organizacije.

Tudi manjšim organizacijam priporočamo, da poskrbijo vsaj za prvi dve točki: v pogodbah in politikah opredeljeno zagotavljanje ustrezne ravni informacijske in kibernetske varnosti, ustrezno varovane povezave z dobavitelji in redno spremljanje varnostne drže dobaviteljev. Morda se boste kot manjša organizacija težje uskladili z dobaviteljem za test njihove rešitve. Vsekakor izpostavite, da testiranje varnosti prinaša prednost tudi za njih kot dobavitelje, saj s tem pridobijo priložnost za izboljšave in večjo konkurenčno prednost.

Kdaj sprejeti tveganje v dobavni verigi?

Lahko se zgodi, da poslovna vrednost uporabe določene rešitve ali storitve pretehta tveganje, ki ga prinaša sodelovanje z njenim dobaviteljem. Ali pa za nišne potrebe obstaja le ena ustrezna rešitev. V tem primeru se boste kot organizacija verjetno vseeno odločili zanjo. Pomembno je, da se zavedate, kakšna tveganja sodelovanje z dobaviteljem prinaša in jih temu ustrezno obravnavate: strožje omejite dostope, dobavitelja pogosteje varnostno preverjate ali rešitev v največji možni meri izolirate od drugih sistemov oz. postavite v svoj segment omrežja.

Ocena varnosti dobavitelja, ki jo dobite bodisi iz rešitve za spremljanje varnosti dobaviteljev bodisi iz usmerjenega varnostnega pregleda dobaviteljeve rešitve, naj vam služi kot orientacija pri sprejemanju odločitev. To informacijo postavite v kontekst vaše organizacije in notranjih varnostnih ukrepov. Za (ne)vpeljavo se odločite na podlagi ocene tveganja in vpliva na poslovanje (BIA), ki sta tudi merodajna dokumenta s stališča zakonodaje in inšpekcijskega pregleda.

Za več informacij o možnih načinih upravljanja varnosti v dobavni verigi smo vam z veseljem na voljo – pišite nam ali nas pokličite.

• Vdorno testiranje
• SecurityScorecard – rešitev za spremljanje varnosti dobaviteljev
• Varnostno svetovanje