Ta stran je namenjena direktorjem varnosti, vodjem informatike in upravljavcem projektov v velike gradbenih podjetjih, ki morajo do konca 2026 vzpostaviti polne ukrepe za upravljanje tveganj in varnost BIM platform ter IoT sistemov na gradbiščih.
Velika gradbena podjetja in konstruktorske firme v Sloveniji, ki upravljajo sisteme za upravljanje projektov, BIM platforme ali pametne gradbiščne sisteme, ki so povezane s projektiranjem ali nadzujem kritične infrastrukture. Zakon o informacijski varnosti (ZInfV-1) velja za vse večje gradbene subjekte, ki imajo dostop do občutljivih podatkov o kritični infrastrukturi ali digitalne storitve za projektne sisteme.
Gradbena podjetja morajo zagotoviti, da so BIM platforme in projektni sistemi, ki vsebujejo načrte kritične infrastrukture, zaščiteni s kriptografijo, kontrolo dostopa in rednimi varnostnimi pregledi. Dostop podizvajalcev mora biti omejeni in spremljani, vsi korisniki pa morajo imeti enoličnu avtentifikacijo z večfaktorskim preverjanjem.
Pred dodeljenjem dostopa do BIM sistemov ali projektnih podatkov morajo biti vsi podizvajalci in dobavitelji IT sistemov deležni formalnega varnostnega preverjanja. To vključuje presojo njihovih varnostnih politik, usposabljanja zaposlenih in obvladovanja tveganj, saj lahko njihove šibkosti ogrozijo vašo kritično infrastrukturo.
IoT naprave na gradbiščih (nadzor dostopa, nadzorna kamera, senzorji) ne smejo biti v ravni omrežni arhitekturi brez segmentacije. Vzpostaviti je treba ločena omrežja za operacijske naprave, redne posodobitve vdelane programske opreme in nadzor dostopa do podatkov senzorjev, zlasti če so povezane s kritično infrastrukturo.
V primeru varnostnega incidenta, ki vpliva na dostopnost ali celovitost BIM platforme, projektnih podatkov ali sistemov kritične infrastrukture, mora gradbeno podjetje izdati zgodnje opozorilo SI-CERT-u v 24 urah in popolno obvestilo v 72 urah. Vsak incident mora biti dokumentiran z osebom za stik in tehnični opis vpliva.
Do konca 2026 mora biti vzpostavljena celovita politika upravljanja tveganj, ki vključuje letne varnostne ocene, penetracijske teste BIM in projektnih sistemov ter preizkuse neprekinjenega poslovanja. Gradbena podjetja morajo tudi voditi dnevnik varnostnih izvidov in vzpostaviti ekipo za odzivanje na incidente.
Kot pomembni subjekt se šteje gradbeno podjetje, ki upravljala digitalne storitve za projekt ali upravljanja, BIM platforme ali pametne gradbiščne sisteme, ki so kritične za poslovanje ali načrtovanje objektov kritične infrastrukture. Podrobni kriteriji se navedejo v Prilogami II Uredbe, Slovenija pa jih je prenesla v ZInfV-1. Če boste v dvomih, se obrnite na URSIV.
Za pomembne subjekte so kazni za nespoštovanje do 7 milijonov evrov ali 1,4 % letnega prometa, kar je slučajno višje. Kazen je lahko namenjena tudi posameznim direktorjem ali vodjem IT. Zato je nujno, da do konca 2026 izvedete vse ukrepe za upravljanje tveganj in vzpostavite sistem za poročanje incidentov.
V primeru varnostnega incidenta morate vydati zgodnje opozorilo SI-CERT-u v 24 urah in popolno obvestilo v 72 urah. Obvestilo mora vključevati opis incidenta, izvora in številko kontakta za odzivanje. Počasno ali nepopolno obvestilo lahko privede do kazni.