Direktiva NIS2: Ali vodstvo podjetja osebno odgovarja za kibernetski vdor?

Zakaj NIS2 spreminja pravila igre za upravo, ne le za IT

Do zdaj je bila kibernetska varnost v večini slovenskih podjetij obravnavana kot tehnično vprašanje: proračunska postavka IT oddelka, požarni zid, protivirusna zaščita in varnostne kopije. Direktiva (EU) 2022/2555 – NIS2 – to logiko obrne. Kibernetska varnost postane element skrbnosti poslovodstva, primerljiv z varstvom pri delu ali finančnim poročanjem.

Bistvena novost ni v tem, da direktiva zahteva varnostne ukrepe. Novost je v tem, kdo za njih odgovarja. NIS2 izrecno določa, da poslovodni organi zavezancev:

• odobrijo ukrepe za obvladovanje kibernetskih tveganj,
• nadzorujejo njihovo izvajanje,
• se redno usposabljajo, da lahko prepoznajo tveganja in ocenijo ustreznost ukrepov,
• lahko odgovarjajo za kršitve teh dolžnosti.

V praksi to pomeni, da izgovor »za to skrbi zunanji IT partner« pri nadzoru ni več sprejemljiv. Če direktor ne zna pokazati zapisnika, s katerim je vodstvo obravnavalo in potrdilo oceno tveganj, je z vidika regulatorja ukrep neizveden – tudi če tehnično stanje ni slabo.

V Sloveniji direktivo v nacionalni pravni red prenaša nova ureditev informacijske varnosti, nadzorni organ pa je Urad Vlade RS za informacijsko varnost (URSIV). Veljavno besedilo predpisov je dostopno v Pravno-informacijskem sistemu RS (PISRS), pojasnila in smernice za zavezance pa objavlja Urad za informacijsko varnost.

Za vodstvo je posledica jasna: kibernetsko tveganje je postalo tveganje odgovornosti vodstva. In tveganje odgovornosti vodstva je zavarovalna tema, ne le IT tema.

Kdo je zavezanec: bistveni in pomembni subjekti

Prvotna direktiva NIS je zajemala ozek krog izvajalcev bistvenih storitev. NIS2 krog bistveno razširi in uvede dvotirno razvrstitev: bistveni subjekti (essential) in pomembni subjekti (important). Razlika ni v obsegu obveznosti – ukrepi so v jedru enaki – temveč v intenzivnosti nadzora in višini glob.

Pomembna past za slovenska podjetja: zavezanost se pogosto prenaša po dobavni verigi. Tudi če vaše podjetje po velikosti ali sektorju ni neposredni zavezanec, vas bo naročnik, ki zavezanec je, pogodbeno zavezal k enakim standardom – z varnostnimi klavzulami, pravico do revizije in odškodninsko odgovornostjo za incident, ki se je začel pri vas. Enak mehanizem prenosa tveganja v dobavni verigi opisujemo v članku o posredniškem obratovalnem zastoju.

Prvi korak za vsako podjetje je torej preprost: ugotoviti, ali ste zavezanec – neposredno ali pogodbeno. Šele nato ima smisel pogovor o polici.

Deset obveznih področij ukrepov (in kaj pomenijo v praksi)

NIS2 predpisuje minimalni nabor ukrepov, ki morajo temeljiti na pristopu vseh nevarnosti (all-hazards) in biti sorazmerni z izpostavljenostjo. V praksi jih je smiselno brati kot revizijsko listo, ki jo bo nadzornik po incidentu preverjal točko po točko:

1. Politika analize tveganj in varnosti informacijskih sistemov – dokumentirana, potrjena s strani vodstva, redno posodobljena.
2. Obvladovanje incidentov – opredeljen postopek zaznave, eskalacije, sanacije in poročanja.
3. Neprekinjeno poslovanje – varnostne kopije, obnovitev po nesreči, krizno upravljanje. To se neposredno navezuje na načrt neprekinjenega poslovanja.
4. Varnost dobavne verige – varnostne zahteve do dobaviteljev in ponudnikov IT storitev.
5. Varnost pri nabavi, razvoju in vzdrževanju sistemov – vključno z ravnanjem z ranljivostmi in popravki.
6. Ocenjevanje učinkovitosti ukrepov – merjenje, testiranje, penetracijski testi.
7. Kibernetska higiena in usposabljanje – redna izobraževanja zaposlenih, tudi vodstva.
8. Kriptografija in šifriranje – politika uporabe.
9. Varnost človeških virov, nadzor dostopa in upravljanje sredstev – načelo najmanjših pravic.
10. Večfaktorska avtentikacija in varne komunikacije – MFA je iz priporočila postala pričakovana praksa.

Poleg ukrepov velja stroga obveznost poročanja: zgodnje opozorilo nadzornemu organu praviloma v 24 urah od zaznave pomembnega incidenta, podrobnejše obvestilo v 72 urah in končno poročilo v enem mesecu.

Ta časovnica je za zavarovalno stroko ključna. Če polica zahteva prijavo škode šele »nemudoma« oziroma v nekaj dneh, se lahko zgodi, da podjetje najprej poroča regulatorju in šele nato zavarovalnici – ter s tem izgubi dostop do forenzične ekipe, ki bi jo zavarovalnica aktivirala v prvih urah. Dobra Cyber polica ima 24/7 klicni center za odziv na incident, ki teče vzporedno z regulativnim rokom.

Osebna odgovornost direktorja: kje se konča družba in začne posameznik

Vprašanje iz naslova ima natančen odgovor: globe po NIS2 se praviloma izrekajo pravni osebi, osebna izpostavljenost vodstva pa nastane po treh drugih poteh.

1. Regulativni ukrepi zoper posameznika. Za bistvene subjekte direktiva predvideva možnost začasne prepovedi opravljanja vodstvenih funkcij pri istem subjektu, dokler kršitve niso odpravljene. To je sankcija, ki zadene človeka, ne bilance.

2. Odškodninska odgovornost po korporacijskem pravu. Slovenska ureditev (Zakon o gospodarskih družbah) zahteva, da poslovodstvo ravna s skrbnostjo vestnega in poštenega gospodarstvenika. Če družba plača večmilijonsko globo, jo prizadene odškodninski zahtevek strank ali izgubi posle zaradi izpada, lahko družba sama – po sklepu skupščine, nadzornega sveta ali novega lastnika – zahteva povrnitev škode od direktorja, ki dokazljivo ni izvedel zahtevanih ukrepov. Mehanizem podrobno pojasnjujemo v članku o D&O zavarovanju in odgovornosti direktorjev.

3. Stroški obrambe. Tudi če se postopek konča brez sankcije, odvetniški, forenzični in svetovalni stroški v regulativnem postopku hitro dosežejo pet- ali šestmestni znesek. Te stroške nosi posameznik, dokler jih nekdo ne prevzame – bodisi družba (če to dopušča statut in če je solventna) bodisi D&O polica.

Najbolj nevaren scenarij je kombinacija: podjetje po hudem incidentu zaide v likvidnostne težave, novo vodstvo ali stečajni upravitelj pa vloži zahtevek zoper nekdanjega direktorja. Takrat družba obrambe ne financira – polica pa jo, če je pravilno sestavljena in če vsebuje ustrezno run-off kritje za obdobje po prenehanju funkcije.

Cyber ali D&O: kaj krije katera polica

V praksi se pogosto sliši vprašanje »ali imamo za NIS2 zavarovanje«. Enotne »NIS2 police« ni. Obstajata dve polici, ki skupaj pokrijeta finančne posledice regulativnega režima – in vsaka pokriva drug del škode.

Prenos tveganja je torej dvoslojen: Cyber ščiti bilanco podjetja, D&O ščiti osebno premoženje vodstva. Podjetje, ki ima le eno od obeh, ima pri regulatorju polovično rešitev.

Za razumevanje osnovne strukture kibernetske police priporočamo pregled članka Kibernetsko zavarovanje za podjetja, kjer so razdelani limiti, karence in tipične izključitve.

Študija primera: proizvajalec komponent, ki je mislil, da ni zavezanec

Izhodišče. Srednje veliko slovensko podjetje, 140 zaposlenih, 28 mio EUR letnega prometa, proizvodnja elektronskih komponent za avtomobilsko in energetsko industrijo. Vodstvo je bilo prepričano, da NIS2 zanje ne velja, ker »niso energetika«. Po razvrstitvi so bili pomemben subjekt (proizvodnja), poleg tega jih je največji nemški kupec pogodbeno zavezal k enakim standardom.

Dogodek. Napadalci so prek ranljivosti na oddaljenem dostopu vstopili v omrežje, teden dni tiho spremljali promet, nato pa v petek zvečer šifrirali strežnike ERP in MES. Proizvodnja je stala 6 delovnih dni, odprema pa dodatnih 4 dni zaradi ročnega usklajevanja zalog.

Finančne posledice:

Kaj je polica pokrila. Podjetje je imelo Cyber polico z limitom 500.000 EUR, vendar s karenco 24 ur in podlimitom 50.000 EUR za obratovalni zastoj. Priznana škoda je znašala približno 180.000 EUR. Pogodbena kazen je bila izključena, stroški obrambe direktorja pa niso bili predmet Cyber police – D&O police podjetje ni imelo.

Kaj bi spremenila revizija police. Ob predhodnem pregledu bi posrednik predlagal: znižanje karence na 8 ur, dvig podlimita za obratovalni zastoj na polni limit, vključitev pogodbenih kazni zaradi zamude, povzročene s kibernetskim dogodkom, širitev kritja stroškov regulativnega postopka in sklenitev ločene D&O police z run-off obdobjem 3 leta. Ocenjeni dodatni letni strošek premije: nekaj tisoč evrov. Nekrita razlika v tem primeru: več kot 330.000 EUR.

Metodologijo pregleda opisujemo v članku Revizija zavarovalnih polic.

Kaj naj vodstvo stori v naslednjih 90 dneh

Priporočamo strukturiran pristop, ki hkrati zmanjša regulativno in zavarovalno izpostavljenost:

Dni 1–30: ugotovite status in stanje.

• Formalno določite, ali ste bistveni, pomembni ali pogodbeni zavezanec – in sklep zapišite v zapisnik uprave.
• Pridobite pregled ključnih sistemov, podatkov in odvisnosti od zunanjih ponudnikov.
• Preverite, ali imate veljavno Cyber in D&O polico ter kdaj sta bili nazadnje posodobljeni.

Dni 31–60: zaprite največje vrzeli.

• Uvedite večfaktorsko avtentikacijo za vse oddaljene dostope in administratorske račune.
• Preverite delovanje varnostnih kopij z dejansko obnovitvijo (ne le s poročilom o uspešnem izvozu).
• Sprejmite in potrdite politiko obvladovanja incidentov s časovnico poročanja 24/72 ur.

Dni 61–90: uskladite pogodbe in zavarovanje.

• Vključite varnostne klavzule v pogodbe z IT ponudniki in ključnimi dobavitelji.
• Opravite revizijo Cyber police: limit, karenca, podlimiti, kritje regulativnih stroškov, 24/7 odziv, pogodbene kazni.
• Sklenite ali uskladite D&O polico, vključno s kritjem regulativnih postopkov in run-off obdobjem.
• Dokumentirajte usposabljanje vodstva – to je izrecna zahteva direktive.

Vsak od teh korakov je hkrati dokaz skrbnosti. Če pride do incidenta, je razlika med »nismo imeli ukrepov« in »ukrepe smo sprejeli, dokumentirali in nadzorovali« odločilna – tako v nadzornem postopku kot v morebitnem odškodninskem sporu zoper direktorja.

Pri Trendsvetu kot neodvisni zavarovalni posrednik pregledamo obstoječe police, ugotovimo vrzeli glede na vašo razvrstitev po NIS2 in pridobimo primerljive ponudbe več zavarovalnic po enakih izhodiščih. Dogovorite se za pregled polic.