Uskladite se s
NIS2 direktivom

NIS2 direktiva

U doba sve većih prijetnji po kibernetičku sigurnost organizacija, Europska unija donijela je NIS2 direktivu (Directive on security of network and information systems) kao nadogradnju na raniju legislativu. Predložena od strane Europske komisije tijekom 2020., NIS2 direktiva ušla je u primjenu 16. siječnja 2023.

Glavni cilj direktive jest osigurati snažnu sigurnosnu zaštitu mreža i informacijskih sustava tvrtki važnih za funkcioniranje društva i ekonomije, a u cilju smanjenja rizika od kibernetičkih prijetnji i povećanja razine kibernetičke otpornosti protiv kibernetičkih napada diljem Europe.

NIS2 direktiva uvodi strožu regulativu i obveze za pružatelje ključnih i važnih usluga te propisuje da države članice EU moraju napraviti popis ključnih i važnih subjekata.

Glavna misao vodilja direktive je povećati otpornost EU tvrtki na kibernetičke prijetnje, što namjerava postići definiranjem i propisivanjem obveze pridržavanja zahtjevima za sigurnost informacijskih sustava, obvezivanjem organizacija da prijave ozbiljne kibernetičke incidente te promoviranjem suradnje između država članica.

Promjene NIS2 u odnosu na NIS direktivu

Originalna NIS direktiva bila je samo okvir za kibernetičku zaštitu subjekata po kojem su se organizacije trebale voditi kada su kreirale svoje sigurnosne mjere. Imala je za cilj poboljšati kibernetičku zaštitu u Europskoj uniji no primjena ove direktive je bila vrlo izazovna jer su neke države članice uložile više resursa i bolje implementirale ovu direktivu od drugih. Zbog toga je stanje nakon primjene direktive bilo takvo da je kibernetička otpornost u pojedinim državama bila na visokoj razini dok je u drugima značajno zaostajala.

NIS2 korigira nedostatke originalne direktive tako što određuje strože zahtjeve za primjenu kibernetičke sigurnosti, propisuje osjetno veće kazne za prekršitelje te proširuje broj sektora na koje se odnosi.

NIS2 direktiva u RH

U skladu s obvezom preuzimanja odredbi EU direktive 2022/2555 o kibernetičkoj sigurnosti u nacionalne zakone, objavljen je novi Zakon o kibernetičkoj sigurnosti (NN 14/2024). Ovaj zakon predstavlja važan korak u jačanju zaštite informacijskih sustava unutar nacionalne infrastrukture.

U Zakonu o kibernetičkoj sigurnosti navodi se da organizacije moraju uzeti u obzir ranjivosti izravnih dobavljača i pružatelja usluga, njihovu opću kvalitetu proizvoda te sigurnosne prakse. Uz navedeno, moraju uzeti u obzir i rezultate procjene rizika ključnih lanaca opskrbe ICT uslugama, sustavima ili proizvodima, a koje je provela Skupina za suradnju zajedno s Europskom komisijom i ENISA-om.

Zahtjevi NIS2

Kako bi se postigla visoka razina kibernetičke obrane unutar EU, propisani su temeljni zahtjevi koje obuhvaćeni subjekti moraju zadovoljiti. Oni uključuju:

• Upravljanje rizicima
• Korporativnu odgovornost
• Obvezu izvještavanja
• Kontinuitet poslovanja

Ove zahtjeve je nužno zadovoljiti da bi se postigla minimalna razina kibernetičke sigurnosti zahtijevana NIS2 direktivom. Svaki od ovih zahtjeva ima točno određene mjere za usklađivanje.

Upravljanje rizicima

Organizacije moraju provoditi procjene rizika te razviti odgovarajuće sigurnosne politike i mjere, a u cilju identifikacije, procjene, tretiranja i u konačnici smanjenja cyber rizika.

Mjere koje pritom organizacija mora primijeniti su upravljanje incidentima, jača sigurnost lanca opskrbe, pojačana sigurnost mreže, bolja kontrola pristupa te enkripcija.

Korporativna odgovornost

Svijest uprave društva o rizicima i mjerama zaštite mora biti vrlo visoka. Uprava društva mora preuzeti odgovornost za sigurnost informacijskih sustava kako bi se osiguralo da se pravilno nadgledaju, odobravaju i provode mjere kibernetičke zaštite.

Obveze izvještavanja

Direktivom se želi osigurati pojačana suradnja između država članica. Iz tog razloga se propisuje da ključni i važni subjekti moraju objavljivati informacije o sigurnosnim incidentima koji značajno utječu na opskrbu uslugama ili na primatelje usluga. Direktivom su stoga propisane smjernice, sadržaj i raspored izvještavanja čime je određen okvir za proces izvještavanja.

Brzo izvještavanje o sigurnosnim incidentima omogućuje organizacijama, kao i nadležnim tijelima, da se pripreme za cyber prijetnje i poduzmu potrebne mjere zaštite. Određeni su specifični rokovi za izvještavanje koji osiguravaju brzu reakciju i smanjuju potencijalnu štetu.

Kontinuitet poslovanja

Ključni i važni subjekti moraju planirati kontinuitet poslovanja kako bi važne usluge i  procesi nastavili raditi tijekom i nakon kibernetičkih incidenata. U planovima kontinuiteta poslovanja moraju se definirati timovi za odgovor na krizne situacije te razmatrati sigurnosne procedure i oporavak sustava nakon nastupanja incidenata.

10 sigurnosnih mjera

NIS2 propisuje kibernetičke mjere koje će pomoći u smanjenju razlika u kibernetičkoj otpornosti organizacija obuhvaćenih direktivom. Prema članku 21. Direktive (EU) 2022/2555 organizacije su dužne primijeniti operativne, tehničke i organizacijske mjere u koje spadaju:

• Politike analize rizika i informacijske sigurnosti.
• Kriptografija i enkripcija kao jedna od obaveznih mjera za koje moraju postojati politike i procedure.
• Organizacija je obvezna planirati aktivnosti i mjere koje će poduzeti nakon nastupanja incidenta, upravljati sigurnosnim kopijama te odrediti način upravljanja kriznim situacijama. U navedeno su uključene mjere poput određivanja vremena oporavka (RTO), točke oporavka (RPO), plana pristupa resursima i njihovim funkcijama itd. Ove aktivnosti mogu biti vrlo izazovne za OT tvrtke kao što su pružatelji električne energije, pitke vode i dr. jer mnoge od njih nemaju definirane postupke za upravljanje incidentima.
• Procesi i procedure za upravljanje incidentima koje će propisati kako otkriti, odgovoriti na i oporaviti se od sigurnosnih incidenata na učinkovit način.
• Kako su propisani zahtjevi za sigurnost lanca opskrbe, potrebno je utvrditi bitne dobavljače, koji rizici proizlaze iz odnosa s njima te koliki utjecaj imaju na poslovanje tvrtke.
• Definirati procedure za očuvanje kibernetičke higijene i edukacije u području cyber sigurnosti.
• Organizacije trebaju osigurati da su njihovi komunikacijski kanali osigurani protiv prisluškivanja ili presretanja. Potrebno je koristiti više faktorsku autentifikaciju ili kontinuirana autentifikacijska rješenja, sigurne glasovne, video i tekstualne komunikacije te sustava za sigurnu komunikaciju u hitnim slučajevima.
• Sigurnost ljudskih resursa, politike kontrole pristupa i upravljanje imovinom.
• Sigurnost u usvajanju, razvoju i održavanju informacijskih sustava uključujući rukovanje i objavljivanje ranjivosti.
• Politike i procedure za procjenu efektivnosti mjera upravljanja cyber rizikom.

Dodatne mjere Zakona o kibernetičkoj sigurnosti

U Zakonu o kibernetičkoj sigurnosti navedeno je da organizacije moraju uzeti u obzir ranjivosti izravnih dobavljača i pružatelja usluga te njihovu opću kvalitetu proizvoda i sigurnosne prakse. Uz navedeno, moraju uzeti u obzir i rezultate procjene rizika ključnih lanaca opskrbe ICT uslugama, sustavima ili proizvodima koje je provela Skupina za suradnju zajedno s Europskom komisijom i ENISA-om.

Uz prethodno navedene zahtjeve i mjere iz NIS2 direktive Zakon o kibernetičkoj sigurnosti propisuje i dodatne posebne zahtjeve za upravljanje podatcima o registraciji naziva domena. Ovim zahtjevima određuju se obveze registrara i registra naziva vršne nacionalne internetske domene.

Jeste li obuhvaćeni?

NIS2 direktivom su propisani kriteriji za određivanje važnih i ključnih subjekata koji pružaju usluge neophodne za funkcioniranje društva. Direktiva prepušta određivanje kriterija za kategorizaciju subjekata nacionalnim zakonodavstvima članica EU, pa su tako u Zakonu o kibernetičkoj sigurnosti određeni ključni i važni subjekti prema kriteriju veličine poduzeća i sektorima u kojima djeluju.

Ključni subjekti

Ključni subjekti su u pravilu svi oni koji imaju više od 250 zaposlenih s godišnjim prometom većim od 50 milijuna eura te bilancom većom od 43 milijuna eura.

Ovi kriteriji mogu varirati ovisno o sektoru u kojem subjekt posluje stoga je potrebno provjeriti uvjete za specifičan sektor u kojem vaša tvrtka djeluje. Primjerice, subjekti čiji prekid usluga može ugroziti zdravlje i sigurnost, spadaju u ključne subjekte neovisno o gore navedenim kriterijima.

Sektori ključnih subjekata

Prema NIS2 direktivi tvrtka je ključni subjekt ako djeluje u sektorima kao što su:

• Energetika – nafta, prirodni plin, vodik, opskrba električnom energijom, centralizirano grijanje i hlađenje itd.
• Promet – zračni, željeznički, cestovni, pomorski
• Bankarstvo (osim središnjih banaka)
• Infrastruktura financijskog tržišta
• Zdravstvo- uključujući proizvodnju farmaceutskih proizvoda i cjepiva
• Svemir
• Opskrba vodom (pitka i otpadne)
• Digitalna infrastruktura – pružatelji naziva domena (DNS), registri vršnih domenskih imena (TLD), internetske točke umrežavanja (IXP), pružatelji podatkovnih centara, računarstva u oblaku, mreže za prijenos sadržaja, javne elektroničke komunikacijske mreže, elektroničke komunikacijske usluge itd.
• Upravljanje uslugama ICT-a
• Središnje i regionalne javne uprave, i ako se članica EU odlučila za to, lokalne vlasti.

Važni subjekti

Važni subjekti također imaju varirajuće kriterije ovisno o sektoru u kojem se nalaze. U njih spadaju svi subjekti koji imaju 50 do 250 zaposlenih, godišnji promet manji ili jednak 50 milijuna eura i bilancu manju ili jednaku 43 milijuna eura, koji nisu kategorizirani kao ključni, ali djeluju u ključnim sektorima.

Također, važni subjekti su sve tvrtke s 50 ili više zaposlenih i godišnjim prometom i aktivom većom od 10 milijuna eura, a bave se važnim uslugama.

Sektori važnih subjekata

U važne subjekte uključeni su i pružatelji usluga povjerenja i javnih elektroničkih komunikacijski mreža ili javno dostupnih elektroničkih komunikacijskih usluga koji nisu navedeni kao ključni subjekti.

Subjekti koji spadaju u kategoriju važnih bave uslugama kao što su:

• Poštanske i kurirske usluge
• Upravljanje otpadom
• Kemikalije – proizvodnja i distribucija
• Prehrana – proizvodnja, prerada i distribucija
• Proizvodnja medicinskih uređaja (može postati ključna usluga u slučaju događaja koji ugrožavaju javno zdravlje)
• Proizvodnja računala, elektroničkih i optičkih proizvoda, električna oprema, oprema i strojevi, motorna i druga transportna vozila
• Pružatelji digitalnih usluga – internetskih tržišta, internetskih tražilica te pružatelji platformi za društvene mreže
• Obrazovanje – privatni i javni subjekti
• Istraživanje

VAŽNO: Kriteriji veličine organizacije nije isključiv te subjekt može biti obuhvaćen direktivom ako zadovoljava posebne kriterije obuhvaćene ZKS-om, primjerice, ako je jedini pružatelj kritične ili važne usluge.

Okruženje prije uvođenja NIS2

Digitalna transformacija poslovanja potaknuta Covid19 pandemijom dovela je do značajnog porasta kibernetičkih prijetnji. Sustavi koji prije nisu bili umreženi, digitalizacijom su postali ovisni o ICT tehnologiji što ih je učinilo metama za na napade iz raznih izvora unutar i izvan EU. Uspješni kibernetički napada mogu uzrokovati njihov prekid rada te posljedično velike štete za organizacije i društvo u cjelini.

Nedostatci NIS direktive

Iako je okvir za implementaciju kibernetičke sigurnosti bio definiran NIS direktivom, uočene promjene u cyber okruženju dovele su do potrebe za izmjenom iste.

Prethodna verzija NIS direktive bila je u konstantnom procesu revizije. U jednoj od tih revizija uočeno je da ju države članice različito implementiraju zbog čega su tvrtke u nekim državama imale dobru zaštitu od kibernetičkih prijetnji dok druge nisu.

Uočeno je da tvrtke u određenim državama nisu imale dovoljnu kibernetičku otpornost na moguće napade te nisu mogle održati normalno odvijanje svojih procesa nakon i tijekom incidenata. Ovi incidenti su dovodili do katastrofalnih šteta jer nije postojao proces za upravljanje incidentima i krizama.

Situaciju je dodatno pogoršavala činjenica da nije postojalo adekvatno razumijevanje o trenutnim prijetnjama i izazovima jer nije postojala razmjena informacija između članica. Zbog toga je uočena potreba uvođenja NIS2 direktive.

NIS2 kao nasljednik NIS direktive

NIS2 je uvedena kako bi se riješili nedostaci NIS direktive i postigla viša zajednička razina kibernetičke sigurnosti u zemljama EU. Cilj je bio osigurati da tvrtke imaju jaku kibernetičku otpornost protiv mogućih napada te da zadrže odvijanje svojih procesa čak i u slučaju napada na njihove procese i infrastrukturu.

Ovom direktivom pokrenuta je još žešća borba protiv kibernetičkog kriminala. Deseterostruko je povećan broj obuhvaćenih ključnih i važnih subjekata te su se postrožili zahtjevi koje moraju zadovoljiti.

Rokovi za NIS2

NIS2 direktiva ušla je u primjenu u siječnju 2023. Države članice EU imaju rok do 17. listopada 2024. da uvedu njene odredbe u svoje nacionalne zakone i odrede kriterije za kategorizaciju subjekata.

Nakon objave kriterija za kategorizaciju, članice su dužne stvoriti popis svih subjekata koje obuhvaća direktiva te će ih o tome pravovremeno obavijestiti. Po primanju obavijesti o kategorizaciji, ključni ili važni subjekti će u roku određenom u nacionalnim zakonima morati implementirati sve zahtjeve.

Za proces usklađenja s NIS2 direktive predviđeno je prosječnih 12 mjeseci, što u prijevodu znači da je vremena vrlo malo. Zbog toga je vrlo bitno planiranje organizacijskih, tehničkih i financijskih aktivnosti radi pravovremene pripreme za NIS2 direktivu.

Rokovi za ZKS

Hrvatski sabor uveo je zahtjeve Direktive (EU) 2022/2555 o mjerama za visoku zajedničku razinu kibernetičke sigurnosti u Zakon o kibernetičkoj sigurnosti (NN 14/2024) koji je objavljen 7. veljače 2024. godine u Narodnim novinama, a na snazi je od 15. veljače 2024.

Nakon što je zakon stupio na snagu biti će doneseni i popratni podzakonski propisi koji će se vezati na Zakon o kibernetičkoj sigurnosti te će detaljnije propisivati mjere kibernetičke sigurnosti koje subjekti moraju primjenjivati. Ti propisi i njihovi rokovi su:

• Nacionalni program upravljanja kibernetičkim krizama koji će biti objavljen 3 mjeseca nakon ZKS-a te će određivati upravljanje incidentima velikih razmjera.
• Provedbeni propis Vlade RH o kategorizaciji subjekata, vođenju popisa ključnih i važnih subjekata i posebnog registra subjekata koji će biti objavljen 9 mjeseci nakon stupanja na snagu ZKS-a.
• Plan provedbe vježbi kibernetičke sigurnosti 12 mjeseci nakon ZKS-a.
• Srednjoročni akt strateškog planiranja 2 godine nakon ZKS-a.

Za tvrtke je najvažniji provedbeni propis Vlade RH o kategorizaciji subjekata. Po objavi propisa nadležna tijela će do 15. veljače 2025. obavijestiti obuhvaćene subjekte o pripadajućoj kategorizaciji. U periodu od narednih godinu dana, kategorizirani subjekti moraju implementirati mjere definirane u ZKS-u.

Prema članku 37. Zakona o kibernetičkoj sigurnosti nakon što su dobili obavijest nadležnog tijela o kategorizaciji, ključni i važni subjekti koji se nalaze na popisu kategoriziranih subjekata, moraju u roku od 30 dana početi obavještavati nadležni CSIRT (Computer Incident Response Team) o sigurnosnim incidentima.

Subjekti već sada moraju planirati kako će se uskladiti s Zakonom i njegovim podzakonskim propisima. Sat za usklađivanje već kuca te svaki dan bez akcije predstavlja rizik za subjekte koji nisu počeli s priprema za primjenu odredbi Zakona. Brza reakcija je ključna kako bi se izbjegle sankcije i osigurala stabilnost poslovanja. Rokovi ne čekaju nikoga, stoga je nužno uskladiti se odmah.

Što ako se ne uskladimo?

Prema NIS2 direktivi (Directive (EU) 2022/2555), prekršitelji mogu biti suočeni sa znatnim kaznama koje su proporcionalne težini prekršaja. Hrvatski ZKS prepisuje ove kazne iz NIS2 direktive, a one mogu biti:

• Korektivne mjere
• Novčane kazne
• Sankcije za upravu

Korektivne mjere

Svaka država članica ima svoje središnje tijelo nadležno za sektor kojim se subjekt bavi koje može propisati nenovčane kazne među kojima su:

• Upozorenja o povredama zakona.
• Obvezujuće upute ili nalozi kojima se zahtijeva da se otklone utvrđeni nedostatci ili povrede Zakona.
• Izdavanje naloga za provedbu sigurnosnih revizija primijenjenih kibernetičkih mjera.
• Objava aspekta povrede kibernetičke sigurnosti.

Zakon o kibernetičkoj sigurnosti dodaje još dvije korektivne mjere koje se mogu propisati:

• Nalog nadležnog tijela da se prestane s postupcima kojima se krši Zakon.
• Nalog da se provedu preporuke iz izvješća o provedenoj reviziji kibernetičke sigurnosti ili analize sigurnosti.

Novčane kazne

Direktiva predviđa i novčane kazne značajnih iznosa. Prema novoj direktivi, države članice EU samostalno određuju visine iznosa ovih kazni uz uvjet da se pridržavaju kriterija donjih granica maksimalnih kazni određenih NIS2 direktivom.

U skladu s time, maksimalne kazne za ključne subjekte moraju biti najmanje 10 milijuna eura ili 2 % globalnog godišnjeg prihoda ovisno o tome koji je veći.

Za važne subjekte maksimalna kazna mora biti barem 7 milijuna eura ili 1,4 % globalnog godišnjeg prihoda ovisno o tome koji je veći.

Sankcije za upravu društva

Prema članku 20. Direktive (EU) 2022/2555 uprave važnih i ključnih subjekata moraju odobriti mjere upravljanja rizicima kibernetičke sigurnosti, nadzirati njihovu provedbu te redovito prolaziti obuku kako bi stekla potrebna znanja i vještine za procjenu i upravljanje rizicima. Ukoliko organizacija ne poštuje ove obveze, članovi uprave mogu biti osobno odgovorni, što uključuje mogućnost privremene zabrane obavljanja upravljačkih funkcija​.

Prema direktivi, uprave društva mogu biti osobno odgovorne za svaki incident koji se dogodi u organizaciji. Iz tog razloga moraju posvetiti veliku pažnju da svi osjetljivi dijelovi organizacije imaju visoku kibernetičku otpornost.

U slučaju da se ogluše na zahtjeve NIS2 direktive uvedene u ZKS, članovi uprave društava mogu dobiti zabranu obavljanja dužnosti u svojoj industriji, ili se od njih može zahtijevati da objave informaciju da su prekršili direktivu te popis odgovornih osoba.

ISA/IEC 62443 je međunarodni standard koji postavlja okvir za sigurnost industrijskih automatiziranih i kontrolnih sustava (IACS). Razvijen je kako bi zaštitio ključnu infrastrukturu i industrijske procese od kibernetičkih prijetnji, uključujući proizvodne pogone, energetske sustave i druge ključne sektore. Standard definira najbolje prakse za dizajn, implementaciju i održavanje sigurnih industrijskih sustava, čime se osigurava zaštita od kibernetičkih napada i smanjuje rizik od prekida operacija.

Jedna od glavnih prednosti implementacije ISA/IEC 62443 standarda jest njegova sposobnost smanjenja rizika u industrijskim sustavima kroz jasne sigurnosne smjernice i tehničke zahtjeve. Standard potiče segmentaciju mreže, upravljanje rizicima i suradnju između operatera, integratora i proizvođača, čime se osigurava cjelovita sigurnosna zaštita. Korištenjem ovog standarda organizacije mogu poboljšati operativnu otpornost, smanjiti financijske gubitke i osigurati kontinuitet poslovanja.

Kibernetički stručnjaci mogu se certificirati prema ISA/IEC 62443 na nekoliko razina, koje doprinose razumijevanju i primjeni standarda:

• ISA/IEC 62443 Cybersecurity Fundamentals Specialist (CSTF) – Osnovna razina koja pokriva temeljne principe kibernetičke sigurnosti.
• ISA/IEC 62443 Cybersecurity Risk Assessment Specialist (CSPR) – Certifikacija usmjerena na procjenu rizika u industrijskim sustavima.
• ISA/IEC 62443 Cybersecurity Design Specialist (CSDP) – Certifikat za dizajn sigurnih sustava prema standardu.
• ISA/IEC 62443 Cybersecurity Maintenance Specialist (CSMC) – Fokus na održavanje sigurnosti IACS-a kroz cijeli životni ciklus.
• ISA/IEC 62443 Expert Certification – Najviša razina koja potvrđuje naprednu stručnost u upravljanju sigurnosnim projektima.

Ove certifikacije osposobljavaju kibernetičke stručnjake da učinkovito primijene sigurnosne prakse, poboljšaju dizajn i operativno upravljanje projektima temeljenim na ISA/IEC 62443. To doprinosi uspješnoj realizaciji projekata kroz bolju zaštitu od prijetnji, smanjenje rizika i jačanje otpornosti na kibernetičke napade.

ISO 27001 je međunarodno prepoznati standard za upravljanje informacijskom sigurnošću, kojeg je razvila Međunarodna organizacija za standardizaciju (ISO). Ovaj standard pruža okvir za uspostavu, implementaciju, održavanje i kontinuirano poboljšanje sustava upravljanja informacijskom sigurnošću (ISMS). Cilj ISO 27001 je zaštititi povjerljive informacije, smanjiti rizik od sigurnosnih incidenata te osigurati integritet i dostupnost podataka kroz niz tehničkih, organizacijskih i administrativnih mjera.

Implementacija ISO 27001 donosi brojne prednosti za tvrtke. Prvo, osigurava sustavni pristup zaštiti povjerljivih podataka, smanjujući rizik od kibernetičkih napada, gubitka podataka ili neovlaštenog pristupa. Drugo, pridržavanje ovog standarda pomaže u usklađivanju s regulatornim zahtjevima i zakonodavstvom, čime tvrtke izbjegavaju pravne posljedice i moguće kazne. Treće, posjedovanje ISO 27001 certifikata povećava povjerenje klijenata i poslovnih partnera, budući da im daje jamstvo da tvrtka primjenjuje visoke standarde sigurnosti podataka. Također, ISO 27001 pomaže u identificiranju i procjeni sigurnosnih rizika, omogućujući tvrtkama da proaktivno odgovore na prijetnje i smanje štetu od eventualnih incidenata.

ISO 27001 Lead Implementator je ključni stručnjak koji vodi proces implementacije ISO 27001 unutar organizacije. Certificirani Lead Implementator ima sveobuhvatno znanje o zahtjevima standarda i odgovoran je za osmišljavanje, implementaciju i upravljanje sustavom upravljanja informacijskom sigurnošću. Njegova stručnost osigurava da se standard pravilno primjenjuje, pomažući organizacijama u postizanju certifikacije.

Lead Implementator igra vodeću ulogu u svakom koraku procesa implementacije ISO 27001. Njegova zadaća počinje procjenom trenutnog stanja sigurnosti informacija u organizaciji, identifikacijom rizika i ranjivosti te postavljanjem strategije za smanjenje rizika. On zatim definira sigurnosne politike i procedure koje će organizacija primjenjivati kako bi se zaštitili podaci. Također, vodi timove kroz faze provedbe i osigurava da se svi procesi odvijaju u skladu s ISO 27001 zahtjevima.

ISO 27001 je međunarodno prepoznati standard za upravljanje informacijskom sigurnošću, kojeg je razvila Međunarodna organizacija za standardizaciju (ISO). Ovaj standard pruža okvir za uspostavu, implementaciju, održavanje i kontinuirano poboljšanje sustava upravljanja informacijskom sigurnošću (ISMS). Cilj ISO 27001 je zaštititi povjerljive informacije, smanjiti rizik od sigurnosnih incidenata te osigurati integritet i dostupnost podataka kroz niz tehničkih, organizacijskih i administrativnih mjera.

Implementacija ISO 27001 donosi brojne prednosti za tvrtke. Prvo, osigurava sustavni pristup zaštiti povjerljivih podataka, smanjujući rizik od kibernetičkih napada, gubitka podataka ili neovlaštenog pristupa. Drugo, pridržavanje ovog standarda pomaže u usklađivanju s regulatornim zahtjevima i zakonodavstvom, čime tvrtke izbjegavaju pravne posljedice i moguće kazne. Treće, posjedovanje ISO 27001 certifikata povećava povjerenje klijenata i poslovnih partnera, budući da im daje jamstvo da tvrtka primjenjuje visoke standarde sigurnosti podataka. Također, ISO 27001 pomaže u identificiranju i procjeni sigurnosnih rizika, omogućujući tvrtkama da proaktivno odgovore na prijetnje i smanje štetu od eventualnih incidenata.

ISO 27001 Lead Auditor je stručnjak certificiran za provođenje vanjskih i internih audita usklađenosti sa standardom ISO 27001. Lead Auditor ima zadatak ocijeniti je li sustav upravljanja informacijskom sigurnošću unutar organizacije pravilno uspostavljen i djeluje li u skladu sa zahtjevima standarda. Auditori detaljno analiziraju procese, politike i kontrole te identificiraju područja za poboljšanje, što pomaže organizacijama da osiguraju kontinuiranu usklađenost.

ISO 27001 Lead Auditori pomažu tvrtkama u održavanju visokih standarda informacijske sigurnosti. Lead Auditor pruža neovisnu ocjenu sigurnosnih praksi, osiguravajući da tvrtka dosljedno primjenjuje kontrole i politike definirane standardom. Njegova stručnost pomaže tvrtkama identificirati slabosti i implementirati potrebna poboljšanja prije nego dođe do većih incidenata ili regulatornih problema. Time tvrtke ne samo da osiguravaju usklađenost, već i poboljšavaju svoju sigurnosnu poziciju, smanjujući operativne rizike i povećavajući povjerenje tržišta i klijenata.