NIS2 i e-pošta bez prodaje straha: što zakon stvarno traži

Otkako je NIS2 stupio na snagu, u optjecaju je i val ponuda koje počinju rečenicom da je nešto „sada zakonska obveza“. Najčešće nije — barem ne onako kako se tvrdi. Pogledajmo što zakon doista kaže, bez tumačenja u ničiju korist.

Tko je uopće obveznik

Zakon ne obuhvaća sve tvrtke. Obvezuje ključne i važne subjekte iz propisanih sektora — energetika, promet, zdravstvo, financije, vodoopskrba, digitalna infrastruktura, javna uprava, a kod važnih subjekata i pošta, gospodarenje otpadom, proizvodnja i drugi. Kategorizaciju provodi nacionalni centar za kibernetičku sigurnost, i to je prvo što treba razjasniti — prije bilo kakve nabave.

Što zakon traži — i gdje je tu e-pošta

Zakon traži sposobnosti, ne određene proizvode: upravljanje rizicima, kontrolu pristupa, sigurnost komunikacija, kontinuitet poslovanja i prijavu incidenata. E-pošta dodiruje nekoliko tih obveza izravno, jer je istovremeno najčešći ulazni kanal napada i najizloženiji vanjski identitet tvrtke.

• Upravljanje rizicima: rizik zloupotrebe domene mora se procijeniti i tretirati kao svaki drugi.
• Sigurnost komunikacija: autentikacija pošiljatelja i šifriran prijenos temeljne su tehničke mjere tog područja.
• Prijava incidenata: rokovi su 24 sata, 72 sata i mjesec dana — a zloupotrebu domene bez izvještaja nećete ni primijetiti.
• Odgovornost uprave: direktiva izrijekom obvezuje upravu, mjere se ne delegiraju IT-u nego se odobravaju i nadziru s vrha.

Zašto DMARC nije — i ne smije se zvati — zakonska obveza

Ovo je važno reći jasno: ni NIS2, ni Zakon o kibernetičkoj sigurnosti, ni Uredba koja ga provodi nigdje ne spominju DMARC, SPF ni DKIM. Propisi opisuju cilj — sigurnu komunikaciju i upravljanje rizikom — a ne konkretnu tehnologiju. Tko Vam kaže da je DMARC „zakonska obveza“, ili ne zna ili Vam prodaje strah.

Istina je nijansiranija i za Vas povoljnija: autentikacija domene jedan je od najbržih i najmjerljivijih načina da se pokaže dužna pažnja za kanal kojim posluje cijela tvrtka. Ona doprinosi usklađenosti — ostavlja pisani trag koji se pokaže revizoru — ali se usklađenost ne kupuje kao proizvod, ni od nas ni od bilo koga.

Što napraviti, redom

• Utvrdite jeste li uopće obveznik — kategorizacija ide preko nacionalnog centra, ne preko dobavljača.
• Napravite procjenu rizika u kojoj e-pošta ima svoje mjesto, jer je ulazni kanal i vanjski identitet.
• Uredite ono što je najbrže i najmjerljivije prvo — autentikaciju domene — i sačuvajte pisani trag.
• Ne kupujte „usklađenost u kutiji“. Kupujete sposobnosti i dokaze; papir o usklađenosti nastaje iz njih, ne obrnuto.

Poanta: zakon je ozbiljan, ali se ozbiljnosti ne pristupa strahom. Kad se skine sloj marketinga, ostaje razuman popis sposobnosti — a uredna e-pošta je na njemu jedna od rijetkih stavki koju možete zatvoriti brzo, jeftino i dokazivo.