Zaupanje in skladnost za regulirane organizacije

Direktiva NIS 2, Direktiva (EU) 2022/2555, od bistvenih in pomembnih subjektov zahteva, da obvladujejo kibernetska tveganja za svoja omrežja in informacijske sisteme. Varnost dobavne verige je eden od minimalnih ukrepov iz člena 21(2), člen 21(3) pa od subjektov zahteva, da upoštevajo varnostne prakse svojih neposrednih dobaviteljev in ponudnikov storitev. V Sloveniji direktivo prenaša Zakon o informacijski varnosti (ZInfV-1), ki velja od 19. junija 2025; pristojni nacionalni organ in enotna kontaktna točka je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV).

Kot vaš dobavitelj vam olajšamo dokazovanje tega dela vaše obveznosti. Varnostne določbe, kanale za incidente in obravnavo ranljivosti dogovorimo v vsaki pogodbi, kontrole, ki veljajo za vaš projekt, pa dokumentiramo, da jih lahko ocenite v svojem postopku za tveganja dobaviteljev. Ali in kako ZInfV-1 velja za vašo organizacijo, ostaja vaša presoja.

Uredba (EU) 2022/2554 o digitalni operativni odpornosti za finančni sektor (DORA) se uporablja od 17. januarja 2025. Banke, zavarovalnice, investicijska podjetja, plačilne institucije in drugi finančni subjekti morajo tveganje tretjih ponudnikov storitev IKT obvladovati v okviru upravljanja tveganj IKT, voditi register informacij o vseh pogodbenih dogovorih o storitvah IKT (člen 28) in v te pogodbe vključiti ključne pogodbene določbe (člen 30). V Sloveniji so po vladni uredbi iz aprila 2025 pristojni organi Banka Slovenije, Agencija za trg vrednostnih papirjev in Agencija za zavarovalni nadzor, vsak za svoje subjekte.

Kadar finančnemu subjektu zagotavljamo storitve IKT, dogovorimo določbe, ki jih našteva člen 30: popoln opis storitev, lokacije, kjer se storitve izvajajo in podatki obdelujejo, pomoč ob incidentu, povezanem z IKT, sodelovanje z vašimi pristojnimi organi in pravice do odpovedi. Pri storitvah, ki podpirajo kritične ali pomembne funkcije, pogodba zajema tudi izhodne strategije in naše sodelovanje pri vašem testiranju odpornosti.

Zagotovimo podatke, ki jih potrebuje vaš register informacij, izhodne načrte pa dokumentiramo od začetka, da zamenjava ponudnika ostane realna možnost.

Akt o umetni inteligenci, Uredba (EU) 2024/1689, se uporablja postopoma. Prepovedane prakse in pismenost na področju UI veljajo od februarja 2025, obveznosti preglednosti iz člena 50 pa od avgusta 2026. Po spremembi z Uredbo (EU) 2026/1744 iz leta 2026 se pravila za visokotvegane sisteme iz Priloge III uporabljajo od 2. decembra 2027.

Za visokotvegane sisteme akt zahteva tehnično dokumentacijo (člen 11), samodejno beleženje dogodkov (člen 12) in zasnovo, ki jo ljudje lahko učinkovito nadzorujejo (člen 14), uvajalci pa morajo ta nadzor dodeliti osebam s potrebno usposobljenostjo in pooblastili (člen 26). Za to gradimo od prve izdaje: koraki odobritve in možnost, da človek odločitev sistema ovrže, so tam, kjer odločitve vplivajo na ljudi, dokumentacija pa nastaja sproti s kodo.

Ali vaša organizacija nastopa kot ponudnik ali uvajalec, je odvisno od tega, kako je sistem dan v uporabo. To vprašanje je del pravne presoje, ki ostaja pri vašem pravnem svetovalcu; mi zagotovimo tehnična dejstva, ki jih potrebuje. Slovenija je organe za nadzor trga določila z zakonom (ZIUDHPUI), z Agencijo za komunikacijska omrežja in storitve Republike Slovenije (AKOS) kot enotno kontaktno točko.

Ekipe za javna naročila, varnost in pravne zadeve potrebujejo dokazila, preden je pogodba podpisana. Zahtevate lahko naš certifikat ISO/IEC 27001 z obsegom, odgovore na vaš vprašalnik o varnosti dobavitelja in pogoje obdelave osebnih podatkov, ki bi veljali za vaš projekt.

Zahtevo pošljite na strani Kontakt in navedite okvir, po katerem ocenjujete dobavitelje, na primer ZInfV-1, DORA ali vaša notranja varnostna merila. Odzvali se bodo pravi ljudje.