Vodnik po dokazilih za ZInfV-1 (NIS 2)
Zakon o informacijski varnosti (ZInfV-1, Uradni list RS, št. 40/25) prenaša direktivo NIS 2 v slovensko pravo. Bistveni in pomembni subjekti morajo po 22. členu sprejeti ukrepe za obvladovanje tveganj; drugi odstavek jih našteva sedemnajst. Pristojni inšpektorji za informacijsko varnost lahko pri bistvenih subjektih opravljajo tudi naključne nadzore ter redne, ciljno usmerjene in izredne presoje (46. člen), pri pomembnih subjektih pa nadzor, ko prejmejo dokaze, indice ali informacije o neskladnosti (47. člen). Na pisno zahtevo morajo bistveni in pomembni subjekti v določenem roku predložiti podatke in informacije (26. člen). Bistveni subjekti vsaj vsaki dve leti opravijo oceno skladnosti, pomembni subjekti samooceno (25. člen). Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV). Ta stran za vsakega od sedemnajstih ukrepov prikaže, kaj k dostopu do vaših podatkovnih zbirk prispeva WKL Database Gateway Manager, s čim to dokažete in kaj ostane pri vas. Besedilo zakona: https://www.uradni-list.si/glasilo-uradni-list-rs/vsebina/2025-01-1571/zakon-o-informacijski-varnosti-zinfv-1.
Aplikacija nobenega od teh ukrepov ne izpolni sama. Je gradnik za dostop do podatkovnih zbirk prek podatkovnega prehoda WKL Database Gateway; k temu spadajo tudi strežniki, omrežje, podatkovne zbirke, druge aplikacije in vaša organizacija.
Sedemnajst ukrepov iz drugega odstavka 22. člena ZInfV-1
| Točka | Ukrep (skrajšano) | Kaj prispeva aplikacija | Dokaz | Kaj ostane pri vas |
|---|---|---|---|---|
| 1 | Podpora vodstva in vključitev informacijske in kibernetske varnosti v letni načrt | — | — | podpora vodstva, letni načrt |
| 2 | Integriteta kadrov pred zaposlitvijo, med njo in ob prenehanju | ob odhodu Person sperren … (Zakleni osebo …) prekliče vse ključe in konča vse seje | poročilo Austritte und Sperren (Odhodi in zaklepanja) | preverjanje kadrov, postopek ob zaposlitvi in odhodu |
| 3 | Osnovne prakse kibernetske higiene in usposabljanje | navodila za vsako nalogo v priročniku za skrbnike | Priročnik za skrbnike | usposabljanje skrbnikov in uporabnikov |
| 4 | Varnost človeških virov, preverjanje identitete uporabnikov, raven dostopnosti informacij in upravljanje pooblastil za dostop | pravila po osebi in objektu; pravice po omrežju in načinu prijave; ključi z datumom poteka in namenom po napravi; delovni seznami Ohne Regel (Brez pravila) in Ohne Zugang (Brez dostopa) | poročilo Rechteübersicht (Pregled pravic) | računi Windows, skupine in prijave SQL tam, kjer jih upravljate; pravice v podatkovnih zbirkah |
| 5 | Izvajanje in upravljanje varnostnih kopij podatkov | kartica Pflege (Vzdrževanje) na pregledu: varnostno kopiranje in preverjanje skrbniške shrambe | varnostne kopije v mapi prehoda | koncept varnostnega kopiranja, preizkusi obnove (Varnostno kopiranje in obnova, dokumentacija podatkovnega prehoda) |
| 6 | Zagotavljanje in ohranjanje dnevniških zapisov (24. člen) | dnevnik sprememb z izvajalcem in vrednostmi pred spremembo in po njej; revizijska sled vsakega dostopa; prijave z izvorom | zavihka Änderungsprotokoll (Dnevnik sprememb) in Audit (Revizijska sled); poročila za obdobje | hramba vsaj šest mesecev (24. člen), zaščita in sinhroniziran čas; glejte Meje dokazil |
| 7 | Upravljanje omrežnih in informacijskih sistemov z določitvijo odgovornosti za njihovo zaščito | pravica do upravljanja kot lastno pravilo z virom admin | poročilo Rechteübersicht (kdo ima admin) | odgovornosti za strežnik, omrežje in podatkovne zbirke |
| 8 | Politike in postopki za uporabo kriptografije in po potrebi šifriranja | ključi v skrbniški shrambi le kot zgoščena vrednost SHA-256; skrivnost drugega faktorja šifrirana; razred VBA ključe, gesla in prijavo Windows na drug računalnik pošilja le prek HTTPS | Varnost in varstvo podatkov | potrdilo in HTTPS podatkovnega prehoda, glavni ključ, šifriranje podatkovnih zbirk |
| 9 | Upravljanje prometa in komunikacij | — | — | omrežje, požarni zid, segmentacija |
| 10 | Varnost dobavne verige z minimalnimi zahtevami za neposredne dobavitelje | podatki proizvajalca, kontaktna točka za ranljivosti, obdobje podpore; kosovnice programske opreme, če jih dobava vsebuje | Informativni list o dobavitelju, MANUFACTURER.sl.md, SECURITY.sl.md | ocena dobavitelja in pogodbe |
| 11 | Fizično in tehnično varovanje prostorov | — | — | varovanje prostorov s strežniki in delovnimi postajami |
| 12 | Varnostni mehanizmi v aplikativni programski opremi, vključno z varnostjo pri pridobivanju, razvoju in vzdrževanju ter obravnavanjem in razkrivanjem ranljivosti | usklajeno razkritje ranljivosti; brezplačne popravne različice; nova različica pride le iz mape dobave, ki jo napolnite vi | SECURITY.sl.md; Uvedba nove različice | pravočasna uvedba novih različic |
| 13 | Upravljanje in preprečevanje izrab tehničnih ranljivosti | sporočila o varnosti proizvajalca s prizadetimi in popravljenimi različicami | SECURITY.sl.md | posodabljanje Accessa in Windows, uvedba popravnih različic |
| 14 | Zaščita pred zlonamerno kodo, zaznavanje poskusov vdorov | področje Anmeldungen (Prijave) z zavrnitvami in izvorom; kartica Abgewiesene Anfragen (Zavrnjene zahteve) na pregledu; Herkunft sperren … (Blokiraj izvor …) | področje Anmeldungen, zavihek Audit | protivirusna zaščita, zaznavanje vdorov v omrežju |
| 15 | Večfaktorska avtentikacija ali neprekinjena avtentikacija, kadar je potrebna zaradi obvladovanja tveganj | drugi faktor (TOTP) po osebi; pravilnik za prijavo ga zahteva npr. od zunaj; za pravico do upravljanja ga prehod zahteva vedno | poročilo MFA-Abdeckung (Pokritost z MFA) s pravili, ki zahtevajo kodo, in ključi brez drugega faktorja | odločitev, kje je koda potrebna |
| 16 | Varovane glasovne, video in besedilne komunikacije ter sistemi za komunikacije v sili | — | — | komunikacijski sistemi organizacije |
| 17 | Politike in postopki za uporabo oblačnih storitev | — | — | politika za oblačne storitve |
Vsa poročila so v področju Protokoll (Dnevnik) pod Weitere (Več) > Nachweisberichte (Dokazna poročila), vsako kot datoteka Excel in kot PDF z glavo (pripravljavec, čas v UTC, prehod, namestitev); glejte Priprava dokaznih poročil.
Pomembne incidente bistveni in pomembni subjekti prijavijo pristojni skupini CSIRT (29. člen): zgodnje sporočilo v 24 urah od zaznave, priglasitev incidenta v 72 urah, končno poročilo v enem mesecu po priglasitvi (30. člen). Za zavezance zunaj javne uprave je pristojen SI-CERT, za državno in lokalno javno upravo SIGOV-CERT. Pri tem pomagajo poročili Austritte und Sperren in Verwaltungsänderungen (Spremembe upravljanja) ter zavihek Audit.
Meje dokazil
- Hramba dnevniških zapisov. Podatkovni prehod revizijsko sled privzeto hrani 365 dni. ZInfV-1 v 24. členu zahteva hrambo vsaj šest mesecev; privzeta vrednost to izpolnjuje. Če hrambo skrajšate, je ne nastavite pod šest mesecev, sicer redno varnostno kopirajte dnevniško datoteko prehoda.
- Dnevnik sprememb ni zaščiten pred ponarejanjem: kdor sme na strežniku pisati v datoteko shrambe podatkovnega prehoda, ga lahko spremeni. Zato poročila hranite zunaj strežnika.
- Pregled pravic in pokritost z MFA prikazujeta le stanje ob pripravi. Preteklo stanje dokazujejo le poročila, ki ste jih pripravili takrat.
- Člani skupin Windows in pravice znotraj podatkovnih zbirk niso v nobenem poročilu.