KIBERNETIČKA SIGURNOST · VAŽNI SUBJEKTI

Samoprocjena kibernetičke sigurnosti.

Važni subjekti iz Zakona o kibernetičkoj sigurnosti provode samoprocjenu najmanje jednom u dvije godine. Provodimo je prema smjernicama Zavoda za sigurnost informacijskih sustava (ZSIS). Pripremamo izjavu o sukladnosti ili plan otklanjanja nedostataka, koji šaljete nadležnom tijelu u osam dana.

Zatražite besplatnu konzultaciju
Savjetnik s klijentima pregledava dokumentaciju
300+ PROJEKATA U REGULIRANIM SEKTORIMA
  • PBZ
  • Fortenova
  • Roche
  • Inditex
  • Končar
  • Plodine
  • Cromaris
ZAKON O KIBERNETIČKOJ SIGURNOSTI

Tko mora provesti samoprocjenu i kada

Samoprocjena je obveza važnih subjekata. Prema pregledu NCSC-HR-a za treće tromjesečje 2026. u Hrvatskoj je kategorizirano 637 važnih subjekata. Ključni subjekti prolaze reviziju kod certificiranog revizora, a samoprocjenu mogu provesti kao pripremu za reviziju ili stručni nadzor.

VAŽNI SUBJEKTI

Samoprocjena svake dvije godine

Prva samoprocjena slijedi u trećoj godini od obavijesti o kategorizaciji. Nakon toga ponavlja se najmanje jednom u dvije godine.

KLJUČNI SUBJEKTI

Priprema za reviziju i nadzor

Reviziju provodi samo revizor s certifikatom ZSIS-a. Samoprocjena po istim kontrolama otkriva nedostatke prije revizora.

ISHOD

Izjava o sukladnosti ili plan

Ako mjere dosežu propisanu razinu, sastavlja se izjava o sukladnosti. Ako ne dosežu, sastavlja se plan otklanjanja nedostataka s rokom ponovne samoprocjene.

ROKOVI OD OBAVIJESTI O KATEGORIZACIJI
Provedba mjera1. godinaMjere iz Uredbe za razinu navedenu u obavijesti: osnovnu, srednju ili naprednu.
Lokalna procjena rizika2. godinaMjere se unapređuju prema vlastitoj procjeni rizika.
Prva samoprocjena3. godinaVažni subjekti provode samoprocjenu, a ključni prolaze reviziju.
Dostava nadležnom tijelu8 danaIzjava o sukladnosti ili plan daljnjeg postupanja, od dana sastavljanja (čl. 35. Zakona).
Iduća samoprocjena2 godineNajdulji razmak između dvije samoprocjene.
Čuvanje dokumentacije10 godinaIzjava i sva dokumentacija nastala u samoprocjeni (čl. 55. Uredbe).
KAKO SE OCJENJUJE
Kontrole137Katalog kontrola ZSIS-a ima 14 skupina, od sigurnosnih politika i edukacije do nadzora sustava, imovine i rizika.
Ocjena1 do 5Svaka kontrola dobiva dvije ocjene: za dokumentaciju i za provedbu u praksi.
Pragpo raziniSvaka kontrola mora doseći svoj prag, a prosjek podskupa mjera ukupni prag za vašu razinu.
Trend2. samoprocjenaBodovi za dobrovoljne mjere i višu razinu računaju se tek od druge samoprocjene.
AlatkalkulatorOcjene se unose u službeni kalkulator ZSIS-a. Drugi alati i okviri za službenu samoprocjenu se ne preporučuju.
SURADNJA

Načini suradnje

NAJTRAŽENIJE

Samoprocjena po smjernicama ZSIS-a

Za važne subjekte kojima dolazi rok. Vodimo cijeli postupak, od razine mjera do izjave koju potpisuje uprava.

  • Razina mjera i podskupovi koji se ocjenjuju
  • Pregled dokumentacije i dokaza za svaku kontrolu
  • Razgovori s osobama koje provode mjere
  • Ocjene u kalkulatoru ZSIS-a
  • Izjava o sukladnosti ili plan daljnjeg postupanja
Zatražite prijedlog →
PRIJE ROKA

Probna samoprocjena

Za važne subjekte prije prve samoprocjene i za ključne subjekte prije revizije. Ocjenjujemo po istim kontrolama i pokazujemo što nedostaje.

  • Ocjena po katalogu kontrola ZSIS-a
  • Popis nedostataka po prioritetu
  • Dokumenti i dokazi koje treba pripremiti
  • Preporuka kada ući u službenu samoprocjenu
Zatražite prijedlog →
NAKON SAMOPROCJENE

Otklanjanje nedostataka

Za subjekte s planom daljnjeg postupanja. Provodimo plan i pripremamo ponovnu samoprocjenu u zadanom roku.

  • Politike i postupci koji nedostaju
  • Provedba mjera iz plana
  • Ponovna samoprocjena
  • Priprema za stručni nadzor
Zatražite prijedlog →
OPSEG RADA

Što radimo u samoprocjeni

01 / 04

Priprema

02 / 04

Ocjenjivanje

  • Ocjena dokumentacije i provedbe za svaku kontrolu
  • Dokazi: politike, zapisnici, izvještaji i postavke sustava
  • Razgovori s odgovornim osobama
  • Kalkulator ZSIS-a s obrazloženjem svake ocjene
03 / 04

Izjava i plan

  • Izjava o sukladnosti na obrascu iz Priloga IV. Uredbe
  • Plan otklanjanja nedostataka s rokovima
  • Dokumentacija za čuvanje deset godina
  • Dostava nadležnom tijelu u osam dana
04 / 04

Nakon samoprocjene

PITANJA

Česta pitanja o samoprocjeni kibernetičke sigurnosti

Tko mora provesti samoprocjenu kibernetičke sigurnosti?

Važni subjekti iz Zakona o kibernetičkoj sigurnosti, najmanje jednom u dvije godine. Ključni subjekti umjesto toga prolaze reviziju, a samoprocjenu mogu provesti kao pripremu. Vaš status piše u obavijesti o kategorizaciji. Ako niste sigurni jeste li obveznik, krenite od NIS2 provjere.

Kada je rok za prvu samoprocjenu?

U trećoj godini od zaprimanja obavijesti o kategorizaciji, prema uputama NCSC-HR-a. Prve godine provodite mjere iz Uredbe, a druge ih unapređujete kroz lokalnu procjenu rizika.

Smije li samoprocjenu provesti vanjski savjetnik?

Smije. Zakon dopušta vanjskog davatelja usluge. Osoba koja provodi samoprocjenu, zaposlenik ili vanjski suradnik, mora imati znanje o primjeni međunarodnih normi informacijske sigurnosti, potvrdu o edukaciji za internog revizora i godinu dana iskustva u internim revizijama iz tog područja.

Kako se boduje samoprocjena?

Svaka kontrola iz kataloga ZSIS-a dobiva ocjenu od 1 do 5 za dokumentaciju i za provedbu. Kontrola mora doseći svoj prag, a prosjek podskupa mjera ukupni prag za vašu razinu. Konačni rezultat izračunava kalkulator ZSIS-a.

Što ako ne dosegnemo propisanu razinu?

Umjesto izjave o sukladnosti sastavljate plan daljnjeg postupanja. U njemu su nedostaci, rokovi za njihovo otklanjanje i rok ponovne samoprocjene. Plan šaljete nadležnom tijelu u osam dana, kao i izjavu.

Kome se šalje izjava o sukladnosti?

Nadležnom tijelu koje vas je kategoriziralo. Šalje se samo obrazac izjave iz Priloga IV. Uredbe. Ostalu dokumentaciju samoprocjene čuvate deset godina.

Možemo li koristiti ISO 27001?

Službena samoprocjena radi se po smjernicama i katalogu kontrola ZSIS-a, koji su za važne subjekte obvezni. Postojeću ISO 27001 dokumentaciju ipak koristite kao dokaz, uz mapiranje na mjere iz Uredbe. To preporučuje i NCSC-HR.

Koja je kazna ako ne provedemo samoprocjenu?

Za važni subjekt od 5.000 do 7.000.000 eura ili od 0,2 do 1,4 % ukupnog godišnjeg prometa, ovisno o tome koji je iznos veći. Odgovorna osoba u upravi plaća od 500 do 3.000 eura. Ista kazna vrijedi ako izjava ili plan ne stignu u roku.

Tko potpisuje izjavu o sukladnosti?

Osoba koja je provela samoprocjenu i član uprave odgovoran za mjere kibernetičke sigurnosti. Izjava sadrži razinu mjera, rezultate bodovanja i popis dokumentacije.

Je li iduća samoprocjena jednostavnija?

Jest. Prema NCSC-HR-u svaka iduća samoprocjena ažurira dokumentaciju iz prethodne prema stvarnom stanju. Od druge samoprocjene računa se i trend podizanja zrelosti.

POVEZANO

Vodiči i povezane usluge

KONTAKT

Zatražite besplatnu konzultaciju

Pošaljite nam razinu mjera i datum obavijesti o kategorizaciji. Javit ćemo se s prijedlogom opsega i rokova za samoprocjenu.

  • ODGOVOR U 1 RADNOM DANU
  • UGOVOR O POVJERLJIVOSTI NA ZAHTJEV
  • BEZ OBVEZE
Zatražite besplatnu konzultaciju