Predlog v postopku
CER
CER je NIS2 za fizični svet: isti bistveni sektorji, ki morajo delovati tudi ob sabotaži, vdoru dronov, poplavi in notranjem storilcu, ki že ima izkaznico. Slovenija bi ga morala prenesti do 17. oktobra 2024 in tega še ni storila.
Koga zavezuje
Seznam sektorjev je namenoma enak seznamu visoke kritičnosti iz NIS2, zato naj organizacija, ki je bistveni subjekt po ZInfV-1, računa, da bo tudi kritični subjekt po CER. Razlika je v tem, kaj se varuje. NIS2 sprašuje, ali vaše omrežje preživi napadalca; CER sprašuje, ali storitev sploh preživi — ali razdelilna postaja še napaja, ali bolnišnica še sprejema, ali voda še teče — ne glede na vzrok motnje.
Kaj CER doda in česa NIS2 ne pokriva
- Fizično varovanje lokacij, perimetrov in nadzornih sob
- Preverjanje osebja z dostopom do kritičnih funkcij
- Scenariji notranje grožnje in sabotaže, preizkušeni in ne predpostavljeni
- Brezpilotna letala nad lokacijo in v njeni bližini
- Naravne nesreče in odvisnost od enega dobavitelja ali ene poti
- Odpornost storitve in ne le sistemov za njo
DATUMI
Kje to stoji danes
-
Direktiva CER začne veljati
-
Rok za prenos — v Sloveniji zamujen
-
Države članice sprejmejo strategijo odpornosti kritičnih subjektov
-
Države članice določijo svoje kritične subjekte
Kaj storiti, preden začne veljati
- Predpostavite, da ste zavezanec, če vas ZInfV-1 že šteje med bistvene subjekte
- Pripravite eno oceno tveganj odpornosti, ki skupaj zajame kibernetsko in fizično, ne dveh dokumentov
- Preizkusite načrt neprekinjenosti na scenariju, ki ni kibernetski napad
- Poglejte svoj zračni prostor — protidronska zaščita je stičišče CER in akcijskega načrta Komisije iz leta 2026
- Hranite dokazila: karkoli bo slovenski zakon zahteval, bo zahteval tudi dokaz
Koliko stane, če ni urejeno
Globe bo določil slovenski izvedbeni zakon, ki še ne obstaja, zato vam nihče ne more pošteno navesti zneska. Že zdaj pa je jasna smer: iste organizacije, ista odgovornost vodstva in obveznost, da se odpornost dokaže in ne zgolj zatrjuje. Delo, ki ga zdaj opravite za NIS2, šteje dvakrat, saj sta ocena tveganj in načrt neprekinjenosti ista dva dokumenta.
KAJ NAREDIMO
Storitve, ki to vrzel zaprejo
Ne cel katalog — to so tiste, ki se ujemajo z zgornjimi obveznostmi. Če je kaj od tega že pokrito interno, povejte in obseg prilagodimo.
Vodja informacijske varnosti
Vodja varnosti na naročnino: politike, register tveganj, poročanje upravi in dokazila, ki jih zahteva presojevalec — brez zaposlitve za šestmestno vsoto.
Več IoT / OTVarnost IoT in OT
Kamere, krmilniki in stroji, ki so bili dobavljeni brez varnosti in jih ni mogoče krpati. Ločimo jih v segmente, jih nadzorujemo in jim preprečimo klice v svet.
Več IROdziv na incidente
Zajezitev, odstranitev in obnova, po potrebi na lokaciji. Zakonskih 24 ur začne teči takrat, ko incident opazite, ne takrat, ko pokličete.
VečNiste prepričani, ali CER velja za vas?
Povejte nam panogo, število zaposlenih in kaj prodajate. Povemo vam, kateri režimi vas zavezujejo in katere so prve tri stvari, ki jih je treba storiti — pisno in brezplačno, saj se pri polovici tistih, ki vprašajo, izkaže, da niso zavezanci, in to raje povemo.