Categories
Business eDržava Ekonomija

Konfuzija oko eRačuna

Ako ste poduzetnik ili se bavite računovodstvom, tada ste u proteklih nekoliko mjeseci sigurno primjetili diskusiju oko toga što elektronički račun doista jest?

eRačuni su kod nas obavezni prilikom slanja javnim naručiteljima od 1. srpnja 2019. (iako ima niz izuzetaka), te se samo djelomično koriste u poslovanju između poduzetnika. Po aktualnim planovima porezne uprave, očekuje se da će vrlo uskoro u javnosti završiti zakonski i podzakonski prijedlozi o tzv. fiskalizaciji 2.0 koja će uključivati obveznu razmjenu računa između pravnih osoba putem sustava eRačuna. Dakle neosporno je da su eRačuni već sada dio poslovne prakse te će njihovo korištenje odjednom višestruko narasti. Nuspojava obveze razmjene računa između poslovnih subjekata je i to što će porezna uprava imati direktni uvid u sadržaje računa u realnom vremenu; to s jedne strane omogućuje daleko veći nadzor poduzetnika ali će u perspektivi omogućiti i smanjenje izvještajnog tereta nad samim poduzetnicima (čisto informacije radi, postoje europske države gdje ovakav sustav postoji već godinama). Nadam se da će fiskalizacija 2.0 biti posložena malo liberalnije od fiskalizacije za promete u gotovini jer obveza digitalnog potpisivanja kreira odgovarajući teret na infrastrukturu i zahtjeva organizacijske pripreme i vjerojatno promjene. Fiskalizacija 2.0 je moguće rješiva na način da smo šaljete račune, dok bi timestamp i digitalni potpis mogao odraditi posrednik prilikom preuzimanja a prije odašiljanja u pretinac primatelja.

Cijela problematika koja se dogodila, opisana je u mnogim tekstovima (poput ovoga), te je bila dio raznih javnih konverzacija, na jednoj od njih sam i ja bio pozvan sudjelovati.

Elektronički račun je u osnovi digitalno potpisani XML zapis koji je strukturiran po odgovarajućim standardima. Ideja elektroničkih računa je višestruka ali načelno riječ je o digitalnom dokumentu koji je namijenjen razmjeni između računalnih sustava, pa ako ste to ispravno posložili onda će vaš ERP sustav izdati fakturu i poslati je odgovarajućem kupcu koji će taj račun zaprimiti i “importirati” u svoj računalni sustav koji će potom automatski upariti to sa zapisom o vama kao dobavljaču, a ako je sve ispravno popunjeno onda će upariti i račun s odgovarajućim ugovorom ili narudžbom, a stavke računa ispravno povezati s odgovarajućim primkama/otpremnicama, osnovnim sredstvima ili troškovnim pozicijama (ako ste dobro sve skupa posložili kroz pravila knjiženja i povezivanja). Primarna prednost elektroničkih računa je to što su isporučeni gotovo instant i postoji jasna sljedivost kretanja računa, što nema prepisivanja podataka (dakle manje grešaka), te što stvaraju uštedu u razmjeni. Znam da mnogi protestiraju na troškovima eRačuna, no kada to stavite u perspektivu ispisa računa, kuvertiranja, odlaska na poštu, poštarine (skupa s vremenom koje se troši na otpremu, zaprimanje i obradu), tada o tome uopće ne bi trebali raspravljati osim ako mislite da je vaše vrijeme besplatno (u kojem slučaju vam očajno treba mali tečaj iz stvarnih troškova poslovanja).

Osim ovih prednosti elektroničkih računa, jedan od parametara koje osobito morate imati na umu je pitanje vjerodostojnosti dokumentacije, a ona je definirana na mnogim mjestima ali za poduzetnike je to uglavnom Zakon o računovodstvu. Tricky part je u tome što elektronički račun da bi bio smatran vjerodostojnim mora biti sačuvan/arhiviran u njegovom izvornom obliku a to bi bila XML datoteka. Sasvim je svejedno gdje se ona nalazi ali mora biti u svom nepromijenjenom izvornom obliku koji nije nimalo čitljiv ljudima. Kako je 90+% svih poduzetnika kod nas u kategoriji obrta, mikro i malih, većina njih (myself included) funkcionira na način da koriste različite metode računovodstva koje opet uglavnom koriste ručne upise u različite knjigovodstvene softvere. I tu otprilike nailazimo na problem, jer su mnogi i već godinama elektroničke račune krenuli ispisati u tzv. vizualizaciju no to je samo vizualna reprezentacija XML dokumenta i tako ispisani dokument nije vjerodostojni dokument. To pak znači da ako vam dođe porezni ili drugi nadzor u kontrolu, i ako postavi takvo pitanje, da im morate ponuditi da pregledaju i originalne XML datoteke, jer ako takvih dokumenata nemate tada poreznici mogu te transakcije proglasiti nevažećima pa ste u mogućnosti izgubiti pravo na knjiženje troška, povrata PDV-a i tko zna što sve još.
Za razliku od papirnatog računa koji ima svoj jasni izvornik (a kojeg potom možete umnožavati u neograničenom broju kopija), u digitalnom svijetu je koncept “izvornika” malo kompliciraniji i u biti neprimjenjiv pojam budući da su sve kopije međusobno istovjetne. Svejedno, u slučaju eRačuna se točno zna što se može smatrati izvornikom tj. vjerodostojnim dokumentom. Ispis vizualizacije koja je nastala iz XML datoteke i potom arhiviranje takve vizualizacije u papirnatom ili čak digitalnom obliku nije prihvatljivo jer nema načina da se utvrdi da li je riječ o izvornom dokumentu ili je riječ o krivotvorini.

Poanta je dakle da morate paziti na svoju arhivu eRačuna te ih morate čuvati propisanih 11 godina. Ne moram objašnjavati da je 11 godina jako puno i pokušajte na svojim diskovima pronaći dokumente koje ste stvarali daleke 2014. godine? U međuvremenu ste promijenili nekoliko računala te se možda koje od njih i pokvarilo pa su neki podaci nestali, a backup ako imate pitanje je da li radi na ispravan način (kopiranje podataka na eksterni USB nije backup, imate puno dojam backupa ali su takvi diskovi i USB mediji jednostavno podložni kvarenju). Pravi backup uključuje 3-2-1 pravilo, što znači da imate najmanje tri kopije svojih podataka, na najmanje dva različita medija te je najmanje jedna od tih kopija pospremljena na udaljenoj lokaciji (kao zaštita od krađe ili neke nepogode poput npr. potresa, požara ili poplave). Malo tko ima podatke tako arhivirane, a ako i imate onda znate da takav sustav arhiviranja ima svoje jasne troškove u opremi, software-u, uloženom vremenu i održavanju (da ne kažemo da tijekom 11 godišnje obveze čuvanja arhive morate promijeniti opremu najmanje dvaput, potencijalno triput a da bi je održali u zoni sigurne upotrebe). Morate se dakle pouzdati da su podaci sigurno spremljeni kod vas, vašeg knjigovođe ili možete ugovoriti uslugu arhiviranje kod vašeg posrednika elektroničkih računa (gdje će trošak arhive uvijek biti manji nego da to sami odradite po “pravilima struke”).

Posrednici za razmjenu elektroničkih računa su zanimljivi koncept i najbolja analogija koju mogu smisliti je da su oni poput telekoma s kojima imate ugovor o pružanju usluga. Oni osiguravaju infrastrukturu koja je nužna da bi elektronički račun stigao do vas. Zanimljiva razlika kod elektroničkih računa je u tome da možete imati više od jednog dobavljača tih usluga te da ne postoji jedno mjesto gdje završavaju svi eRačuni nego ih može biti više – što može kreirati konfuziju. Zamislite da imate dva mobilna telefona, jedan je npr. 091 a drugi 099. U normalnoj upotrebi, svi pozivi prema 091 će završiti na 091 telefonu i obrnuto; no u slučaju distribucije elektroničkih računa, ako netko s 091 (posrednikom) pokuša poslati na 099 (posrednika), ako imate otvoren račun kod 091 posrednika, račun će završiti u 091 pretincu (i potencijalno “pogrešnom” posredniku što vam može proizvesti različite organizacijske probleme).

I malo konkretnih situacija. Kako sam se i sam krenuo baviti problematikom arhive elektroničkih računa, jedna od odluka je bila i da konsolidiram svoje pružatelje usluga (jer sam ih iz različitih razloga koristio više). Prvi servis kojeg sam krenuo gasiti je FINA eRačun kojeg sam koristio isključivo za slanje računa, ali su neki dobavljači unatoč mojim pokušajima da ih preusmjerim na drugi servis svejedno isporučivali svoje račune u FINAu. Problem koji imate prilikom pokušaja arhiviranja eRačuna s FINAe je u tome što je kod njih nemoguće odabrati sve ulazne račune i potom ih samo downloadati, pa je nužno ići po redosljedu i potom skidati jedan po jedan (malo XML-a, malo vizualizacije, malo priloga) pa proces jednostavno traje i podložan je greškama i propustima. Specijalni je problem što ako pogledate svoje ulazne eRačune, nećete biti u mogućnosti downloadati originalne XML dokumente koji su stariji od 1. siječnja 2023. godine – dakle već sada su vam nedostupni (to je naravno pokopano negdje u općim uvjetima i koliko razumijem da bi došli do tih podataka morate prvo ugovoriti arhivu pa vam oni “otključaju” taj dio priče).

Kod mog drugog posrednika je moguće odabrati arbitrarni broj ulaznih računa (dakle select ALL je moguć) ali, zasada, ta arhiva neće sadržavati XML nego samo vizualizaciju i eventualne priloge. Dakle brže ali ne i idealno, iako je XMLove moguće vrlo brzo poklikati jer je korisničko sučelje daleko bolje posloženo nego ono od FINA-e.

Malo sam frustriran što sam morao odraditi sve ovo jer normalni servisi koje koristite po vani svi redom imaju takeout opciju (dakle specifični dio usluge koji omogućava da vam sve vaše podatke pripremi i zapakira u jednu arhivu koju potom jednostavno downloadate). Razumijem ja da pružatelji usluga žele maksimalno otežati odlazak i učiniti ga teškim, no to je jednostavno primitivna i loša poslovna praksa i na tome bi trebali raditi (dakle, poruka pružateljima usluga, svih ne samo posrednicima, budite dostojanstveni gubitnici).

Potrošio sam dakle nekoliko sati da bih downloadao sve stare eRačune i napravio backup kod sebe (koji jest 3-2-1). Ali, uočio sam jednu iznimno zanimljivu situaciju o kojoj također vrijedi razmišljati. Naime skidajući tu silnu arhivu (u mom slučaju nije osobito velika, par stotina računa u nekoliko godina), uočio sam da uvjerljiva većina dobavljača u biti kreira klasične račune (u PDFu) koje potom radi obveze isporuke transformiraju u eRačune, te se cijeli sustav razmjene elektroničkih računa u svojoj osnovi uopće ne koristi kao sustav elektroničkih računa nego kao sustav sigurne razmjene i isporuke računa. Dakle neovisno o tome što ste račun zaprimili od npr. svojeg telekoma, izvorni račun u PDF-u (a mogli bi argumentirati i da je onda upravo taj PDF vjerodostojni dokument), dok je XML samo modalitet transporta računa (ne očekujem da se složite s time ali i letimični pogled kaže da je tako). To će se sve promijeniti dolaskom fiskalizacije i tada ćete morati biti spremni izdavati i zaprimati eRačune, ali imati i riješeno pitanje arhiviranja na dugačke i zakonom propisane rokove.

I posljednje, sustav eRačuna je u svojoj biti dizajniran za razmjenu poruka između računalnih sustava, dakle da vaš računovodstveni ili ERP sustav automatski putem API sučelja šalje ili prima račune. No u praksi, kako većina nas spada u grupu malih i mikro poduzetnika, to najčešće nije slučaj. Zasada dok dobijamo sporadične eRačune (u mom slučaju komunalije, telekom i HAC) to je podnošljivo, no kada svi budemo prisiljeni prebaciti se na fiskalizaciju 2.0, tada će situacija odjednom biti daleko kompliciranija i teža za upravljati i trebate razmisliti o tome koje rješenje ćete koristiti za razmjenu eRačuna od 1. siječnja 2026. od kada se očekuje početak nove sheme.

Misao dana:
Bureaucracy is like a fungus that contaminates everything.

Categories
eDržava Internet Priroda i društvo

Zaustavimo štetni eIDAS 2.0

eIDAS (electronic IDentification, Authentication and trust Services) je europska regulativa koja je nastala 2014. godine i koja u svojoj biti pokušava upravljati elektronskom identifikacijom i servisima povjerenja u elektronskim transakcijama. Ovih dana, nakon dovršetka procesa trialoga, u proceduru ulazi i reforma eIDAS sustava koja se popularno naziva eIDAS 2.0.

Pojednostavljeno, eIDAS koji na današnji dan defacto slabo ili nikako funkcionira, regulira pitanja elektroničkog identiteta (dakle kako se neko računalo predstavlja) u europskom internet prostoru, te kome se u tom prostoru može vjerovati ili ne (usluge povjerenja).

Na ovom linku možete pročitati trenutno dostupni tekst eIDAS 2.0 regulative (ovo nije finalna verzija, ako nađete/naiđete na UPDATE: našao sam finalnu verziju svakako je linkajte u komentaru). Problem s eIDAS direktivom u formi u kojoj se trenutno nalazi je članak 45. Taj članak teksta omogućava državama da drastično prošire opseg nadzor nad svojim građanima kroz kreiranje mehanizma za presretanje internet prometa.

Konkretnije, i da pokušam objasniti malo slikovitije, promet internetom je danas gotovo u cijelosti enkriptiran (šifriran) a kako bi se spriječilo da neka treća strana kroz čiju opremu taj promet prolazi (ili je promet snimljen, ili preusmjeren) bude u mogućnosti čitati koji je bio sadržaj poruke (tekst, audio, video ili uostalom bilo koji drugi sadržaj kojeg poželite poslati putem interneta). To se postiže korištenjem digitalnih certifikata, a što je digitalni dokument koji sadrži odgovarajuće enkripcijske ključeve temeljem kojih se sadržaj “šifrira” na putu prema i od krajnjeg korisnika. Autentičnost certifikata pružaju CA (Certificate Authority) serveri koji svojim digitalnim potpisom “jamče” da kada npr. utipkate u svojem browseru whatsapp.com da doista i razmjenjujete podatke s whatsapp.com. CA potpisni ključevi su tvornički ugrađeni u operativne sustave i browsere koje koristimo i oni su objektivno “ahilova peta” sigurnosnog sustava na kojem počiva današnji internet, jer kompromitacijom nekog od ključeva odjednom možemo “potpisivati” štogod želimo.

Članak 45. eIDAS 2.0 regulative eksplicitno govori o tome kako svaka EU država (i odobrene treće zemlje) mogu doslovno propisati kriptografske ključeve za koje je povjerenje obavezno u koje nije moguće proglasiti kompromitiranim bez eksplicitnog dopuštenja države (koja je taj CA potpis izdala). I ne samo to, nego se eksplicitno zabranjuje provjeravati sigurnost izdanih certifikata u EU osim ako je to eksplicitno dopušteno.

To otprilike znači da će svaka EU zemlja imati zakonsko pravo u browsere koje koristite “ubaciti” potpisne ključeve čija se sigurnost uopće ne smije preispitivati, a koji će omogućiti da bilo koja od tih zemalja kreira SSL/TLS certifikate s nazivom bilo koje domene, a koji će zbog “ugrađenog državnog” CA certifikata biti proglašeni ispravnim te vaše računalo neće generirati bilo kakvo upozorenje.

Ukratko, institucionalizirati ćemo “man in the middle” napad. Prevedeno i krajnje pojednostavljeno, to znači da će država biti u stanju kreirati certifikat kojim će oni svoj server predstaviti prema vama kao npr. gmail.com, i dok vi mislite da komunicirate s gmailom, u biti ćete komunicirati preko nekog državnog računala (proxya) koje će pojedinačno ili masovno pratiti i bilježiti promet koji se tim putem događa (još malo dodajte i AI-ja koji odlučuje što je bitno a što nije i odjednom smo usred Orwellove 1984.). To nije nikakva tehnologija koju tek treba izmisliti, to su komercijalno dostupna rješenja koja je potrebno samo konfigurirati. I naravno, ovdje ne govorim samo o vašem kontaktu s web servisima poput gmaila, nego i svim drugim servisima koji koriste SSL/TLS rješenja što uključuje WhatsApp, Signal, Telegram i u biti bilo koji browser ili aplikaciju koju koristite (uključivo, ali ne i ograničeno na npr. internet bankarstvo).

Pitanje povjerenja u CA (Certificate Authority) je ogromno tehničko pitanje i na njemu počiva sigurnost interneta. Ako se prebacimo na nama lokalne primjere, postoje odlični razlozi zašto recimo domaći CA (a imamo dva, AKD i FINA) nisu priznati. Po kriterijima sigurnosti i povjerenja, oni jednostavno ne udovoljavaju temeljne uvjete da bi im se vjerovalo i da bi “tvornički” stigli zapakirani u vašoj windows, linux ili MacOS instalaciji, upravo zato kada pokrećete npr. novu osobnu, jedna od operacija koju radite je i instalacija AKD CA root certifikata budući da mu vaši windowsi (s dobrim razlogom) ne vjeruju.

Nije to samo pitanje nepovjerenja u državu koja je sklona prekomjernom nadzoru svojih građana, zloupotrebama sustava (i podkapacitirane organizacije kojima je ovaj posao povjeren), nego i u tome što postoji cijeli povijesni niz kompromitacije certificate autohoritya i kada se tako nešto dogodi, ne samo da ćemo teško od državnih uhljeba dobiti priznanje da su kompromitirani (a jesu), nego će EU regulativa priječiti uklanjanje takvog kompromitiranog CA potpisa a automatizmom će biti onemogućeni mehanizmi za rješavanje takvih situacija.

Sažeto, implementacija eIDAS 2.0 u postojećoj formi i prijedlogu će drastično umanjiti sigurnost internet korisnika na području EU-a, te će posljedično umanjiti i sigurnost interneta širom svijeta. Nije zato nikakvo čudo što je više stotina znanstvenika i stručnjaka iz 39 zemalja širom svijeta nedavno napisalo otvoreno pismo u kojem upozoravaju na sistemske prijetnje internetu a koje proizlaze iz ovog prijedloga regulacije, jer prihvaćanje ovog prijedloga će unazaditi sigurnost na internetu na točku u kojoj smo bili prije 10-15 godina.

Misao dana:
For me, I will take freedom over security and I will take security over convenience, and I will do so because I know that a world without failure is a world without freedom. A world without the possibility of sin is a world without the possibility of righteousness. A world without the possibility of crime is a world where you cannot prove you are not a criminal. A technology that can give you everything you want is a technology that can take away everything that you have. At some point, in the near future, one of us security geeks will have to say that there comes a point at which safety is not safe.

Categories
Business eDržava Internet

Zakon o kibernetičkoj sigurnosti (moje primjedbe njima)

Kako sam i napisao prije nekoliko dana, doradio sam i malo preciznije formulirao moje primjedbe i prijedloge na tekst zakona o kibernetičkoj sigurnosti i sve je svedeno na nekoliko točaka, a sve zajedno možete pronaći i na stranicama eSavjetovanja (skupa s mojim prijedlozima promjena):

Opći komentar

NIS2 direktiva u svojoj preambuli (točka 15), upozorava na potrebi „osiguranja pravedne ravnoteže između zahtjeva i obveza utemeljenih na procjeni rizika s jedne strane te administrativnog opterećenja koje proizlazi iz nadzora usklađenosti s druge strane“. Nacrt zakona kakav je ovdje prezentiran ne predviđa, niti govori o osiguranju ravnoteže nego na istovjetni način kreira zahtjeve i obveze usklađenosti za sve subjekte, neovisno o njihovoj relativnoj veličini i/ili riziku – što će rezultirati nerazmjernim opterećenjem za niz subjekata, uključivo i za središnje državno tijelo koje će istim mjerilima morati promatrati sve zahvaćene subjekte.

Nadalje, iako u se u NIS2 direktivi na više mjesta spominje potreba koordinacije različitih javnih tijela, u nacrtu zakona kakvog vidimo ovdje cjelokupna regulacija je svedena na središnje državno tijelo za kibernetičku sigurnost koje je smješteno u Sigurnosnu obavještajnu agenciju.

Za razliku od ostalih sastavnica (nacionalne) sigurnosti koje često zahtijevaju različite razine tajnosti ili opskurnosti, kibernetička sigurnost je, po svojoj prirodi, osobito zbog svoje sveobuhvatnosti u cijelosti u javnoj sferi. Stoga smatram da je za središnje tijelo za kibernetičku sigurnost nužno imenovati ured ili agenciju koja je, poput Europske ENISA-e, u cijelosti civilna organizacija.

Kao i drugi sudionici savjetovanja, upozorio bi i na nelogičnost Ministarstva hrvatskih branitelja kao predlagača (u smislu da ne posjeduje kadrove koji su kompetentni za izradu ovakvog nacrta zakona, kao i činjenicu da je ovaj zakon sasvim očigledno izvan djelokruga djelovanja ministarstva kako je ono definirano u Zakonu o ustrojstvu i djelokrugu tijela državne uprave, članak 19.), te činjenice da je predlagač prekšio Zakon o pravu na pristup informacijama članak 11. stavak 2. samom činjenicom da nije objavio sastav radne skupine odnosno autore nacrta prijedloga zakonskog teksta.

Članak 24.

Članak 24. vrlo široko i bez jasnih kriterija opisuje kako Vlada donosi mjerila za razvrstavanje ključnih odnosno važnih subjekata i to isključivo na prijedlog središnjeg državnog tijela za kibernetičku sigurnost.  Ovom definicijom se odluka o tome koji će subjekt biti obveznik zakona svodi na diskrecijsku odluku tijela koje po svojoj prirodi nije transparentno.

Ovaj članak je u značajnom raskoraku s NIS2 direktivom, koja u svojem članku 13. stavak 5. predviđa da sva nadležna tijela (kako su definirana u članku 13. stavak 4.) redovno surađuju i razmjenjuju informacije kako bi identificirali kritične subjekte, prijetnje i dr., što znači da bi kao donji minimum u zakonski tekst trebalo uvrstiti obvezu suradnje s nadležnim tijelima (sektorskim, regulatornim) poput HAKOM, HERA, HNB, HANFA, Ministarstvo financija, Ministarstvo gospodarstva i održivog razvoja, Ministarstvo mora, prometa i infrastrukture (i druge po potrebi).

Napominjem također, da se ovaj članak zakona bavi posebnim kriterijima, te se razlikuje od obveze definirane člankom 17. prijedloga iako za to nema argumenta.

Članak 28.

U stavku 1. taksativno se navode „najnovija tehnička dostignuća“ koja se koriste u okviru „najbolje sigurnosne prakse u području kibernetičke sigurnosti“. Obzirom da za sukladnost s člankom 28. zakona postoje prekršajne odredbe (članak 101. prijedloga), postavlja se pitanje kako nadzirani subjekt može nedvosmisleno znati da se nalazi u prekršaju uz subjektivno postavljeni cilj sukladnosti, a što je suprotno temeljnom načelu da bilo koji prekršaj mora jasno utvrđen da bi bio kažnjiv.

Nadalje, ovaj članak je u raskoraku s NIS2 direktivom i to na način da je u stavku 2. dodana formulacija „ili nacionalnih shema kibernetičke sigurnosne certifikacije“, a koja ne postoji u članku 24. NIS2 direktive.

Nadalje, taj dodatak je u direktnoj suprotnosti s EU uredbom o kibernetičkoj sigurnosti (EU2019/881), koji u članku 57. stavak 2. eksplicitno naređuje kako „članice EU neće uvoditi nove nacionalne kibernetičke certifikacijske sheme za ICT proizvode, ICT servise i ICT procese koji su već pokriveni Europskom kibernetičkom certifikacijskom shemom koja je na snazi“.

Također, potrebno je detaljno razraditi što se događa sa subjektom u kojem je zatečena oprema, servisi ili procesi a za koje je propisana EU certifikacija, ali oprema, servisi ili procesi je ne posjeduju. Nužno je propisati prijelazne rokove tj. rokove zamjene (npr. do kraja amortizacijskog roka, ili vremenskog roka npr. 5 godina), te u slučaju da postoji utemeljeni razlog za žurnu zamjenu, tko će podmiriti nastalu štetu (trošak zamjene opreme, servisa ili procesa, odnosno trošak nabavke i implementacije nove opreme, servisa ili procesa). Ovo je nužno razraditi i zbog primjene prekršajnih odredbi članka 101. i 102. nacrta.

Predlaže se brisanje dijela koji glasi „ili nacionalnih shema kibernetičke sigurnosne certifikacije“ obzirom da nepotrebno izlazi iz prostora NIS2 direktive, te je u direktnoj suprotnosti s obvezama koje proizlaze iz EU uredbe o kibernetičkoj sigurnosti.

Članak 51.

Ovim člankom se propisuje kako će subjekt, a koji je diskrecijskom odlukom definiranom u članku 24. ovog prijedloga morati pristupiti „nacionalnom sustavu za otkrivanje kibernetičkih prijetnji i zaštitu kibernetičkog prostora“.

Sustav SK@UT koji predstavlja nacionalni „kibernetički kišobran“ (gore spomenuti nacionalni sustav) sastoji se od nekoliko komponenti (alata), od kojih su neki invazivne prirode na način da podrazumijevaju pristup lokalnoj mreži/komunikaciji nadziranog subjekta. Obzirom da je sukladno zakonu, nadležni CSIRT obavještajna agencija, postavlja se pitanje prekomjernosti dosega obavještajne agencije prema podacima kojima subjekt raspolaže (osobnim podacima, poslovnim tajnama i sl.) pod krinkom zakonske obveze.

NIS2 direktiva (točka 44. preambule), precizno navodi kako bi CSIRT-ovi trebali imati „mogućnost na zahtjev ključnog ili važnog subjekta pratiti imovinu subjekta s internetskim sučeljem“. Nadalje, u NIS2 direktivi nema naznake da bi CSIRT (sa svojim alatima) mogao ili smio imati pristup lokalnim resursima subjekta koji je kategoriziran kao ključni ili važni.

Predlaže se da se članak 51. preformulira na način da se precizno navede kako je primjena dopuštena na zahtjev ključnog ili važnog subjekta isključivo pratiti imovinu subjekta s internetskim sučeljem, a kako bi se spriječile buduće zlouporabe obavještajnog sustava.

Članak 61.

Mandat SOA-e (članak 23. Zakona o sigurnosno obavještajnom sustavu RH) eksplicitno definira kako SOA brine o neovlaštenom ulasku u zaštićene informacijske i komunikacijske sustave državnih tijela. Definiranjem SOA-e kao središnjeg državnog tijela za kibernetičku sigurnost izlazi se iz zakonom definiranog djelokruga rada SOA-e.

Nadalje, SOA je kao obavještajna agencija u svojem radu zaštićena tajnom, izuzeta je iz zakona o javnoj nabavi, te ne podliježe većini demokratskih mehanizama za nadzor svojeg poslovanja, nema gotovo nikakve obveze za transparentnim djelovanjem. Istovremeno, u smislu NIS2 direktive biti će zadužena za redovitu komunikaciju, te postaje regulatorno tijelo za vrlo veliki broj pravnih subjekata (državnih, javnih i privatnih) što je suprotno samoj prirodi funkcioniranja obavještajne agencije. Osim toga, u okviru koordinacije i izvještavanja koje proizlaze iz primjene NIS2 direktive, SOA će komunicirati s drugim EU tijelima, a koja su redom civilna.

Istovremeno, Zavod za sigurnost informacijskih sustava (ZSIS) u svojem mandatu (članak 14. Zakona o sigurnosno obavještajnom sustavu RH) eksplicitno navodi kako ZSIS obavlja poslove u područjima sigurnosti informacijskih sustava. Stoga je sasvim jasno i logično kako je ZSIS tijelo koje je trebalo biti imenovano središnjim državnim tijelom za kibernetičku sigurnost.

Širina obuhvata NIS2 direktive će posljedično u redovima veličine proširiti prostor na kojem SOA djeluje, a značajno izvan zakonskog okvira koji je za SOA-u definiran, ali i definicije koja je sadržana u NIS2 direktivi.

Predlaže se stoga da se središnjim državnim tijelom za kibernetičku sigurnost proglasi ZSIS, te da se ZSIS izdvoji iz obavještajnog sustava RH i pretvori u Vladin ured ili Agenciju, a koji u cijelosti djeluje kao civilni subjekt. Alternativno, moguće je (neovisno o nepopularnosti takve odluke), osnovati sasvim novi ured ili agenciju koja će se baviti ovim iznimno značajnim aspektom funkcioniranja društva.

I svakako treba spomenuti i problem financiranja, SOA za svoje cjelokupno djelovanje ima 55mil EUR, a ZSIS nešto manje od 3mil EUR godišnje; istovremeno i usporedbe radi, HAKOM kao regulator telekomunikacijskog sektora ima 15mil EUR proračuna.

Članak 101. i Članak 102.

Ovaj članak navodi niz prekršajnih kazni za subjekte, no nigdje nije definirano što se događa sa subjektom u kojem je zatečena oprema, servisi ili procesi a za koje je propisana EU certifikacija, ali oprema, servisi ili procesi je ne posjeduju.

Nužno je propisati prijelazne rokove tj. rokove zamjene (npr. do kraja amortizacijskog roka, ili vremenskog roka npr. 5 godina), te u slučaju da postoji utemeljeni razlog za žurnu zamjenu, tko će podmiriti nastalu štetu (trošak zamjene opreme, servisa ili procesa, odnosno trošak nabavke i implementacije nove opreme, servisa ili procesa).

Misao dana:
My main problem with cops is that they do what they’re told. They say ‘Sorry mate, I’m just doing my job’ all the fucking time.