NN 88/2026 (12.8.2026.), Pravilnik o metodologiji za izradu analize i procjene rizika kritične infrastrukture

MINISTARSTVO UNUTARNJIH POSLOVA

1106

Na temelju članka 14. stavka 2. Zakona o kritičnoj infrastrukturi (»Narodne novine«, br. 89/25.), ministar unutarnjih poslova donosi

PRAVILNIK

O METODOLOGIJI ZA IZRADU ANALIZE I PROCJENE RIZIKA KRITIČNE INFRASTRUKTURE

I. OPĆE ODREDBE

Članak 1.

(1) Ovim Pravilnikom utvrđuju se smjernice za izradu analize i procjene rizika u postupku utvrđivanja kritičnih subjekata.

(2) Smjernice za analizu rizika iz stavka 1. ovog članka sukladne su normama za upravljanje rizicima ISO 31000 i EN IEC 31010.

Članak 2.

(1) Pojedini izrazi, u smislu ovoga Pravilnika, imaju sljedeće značenje:

1. analiza kritičnosti je postupak identifikacije sustava, mreža i objekata od nacionalne važnosti čiji prekid djelovanja ili prekid isporuke ključnih usluga može imati ozbiljne posljedice za zdravlje i živote ljudi, imovinu i okoliš, sigurnost i gospodarsku stabilnost i neprekidno funkcioniranje vlasti

2. cilj kritične infrastrukture je nesmetano i kontinuirano pružanje ključnih usluga

3. čimbenici rizika su materijalna i nematerijalna imovina od presudne važnosti za neometano funkcioniranje kritične infrastrukture

4. identifikacija rizika je proces pronalaženja, prepoznavanja i opisivanja rizika

5. međuovisnost kritičnih infrastruktura je dvosmjerna ovisnost između dviju ili više kritičnih infrastruktura, pri čemu stanje jedne utječe ili je u korelaciji sa stanjem drugih kritičnih infrastruktura i obratno

6. kriterij prihvatljivosti rizika je uvjet prema kojem se određuje razina prihvatljivosti rizika, a određuje ga vlasnik rizika i temelji se na potencijalnom negativnom utjecaju na ciljeve kritične infrastrukture

7. posljedice su dugotrajniji negativni ishodi nekog događaja koji utječu na pružanje ključnih usluga i ostvarenje ciljeva kritične infrastrukture

8. prihvatljivi rizik je rizik čija je razina nakon provedene analize i/ili provedbe mjera otpornosti ocijenjena kao prihvatljiva s obzirom na utvrđene kriterije, ova razina rizika ne zahtijeva dodatne mjere ublažavanja, osim redovitog praćenja i periodične procjene

9. priroda i vrsta negativnih utjecaja su osnovne karakteristike i kategorije štetnih posljedica koje prijetnja ili incident mogu imati na ostvarenje ciljeva; priroda utjecaja odnosi se na temeljnu narav posljedica (fizičke, financijske, operativne, reputacijske i dr.), dok se vrsta utjecaja određuje prema načinu djelovanja (izravni/neizravni, kratkoročni/dugoročni)

10. razina rizika je mjera izražena indeksom rizika kritičnog subjekta (IRKS), dobivena kombinacijom izloženosti prijetnjama, stupnja otpornosti kritičnog subjekta te razine negativnog učinka (direktnog i indirektnog); IRKS se koristi za vrednovanje rizika i odlučivanje o potrebnim mjerama otpornosti

11. redundancija je dupliranje kritičnih komponenti ili funkcija sustava sa svrhom povećanja pouzdanosti, odnosno uvjet istovjetne funkcionalnosti koji u slučaju incidenta osigurava nesmetani rad infrastrukture

12. scenarij rizika je prikaz događaja jednog ili više vrsta rizika koji izazivaju štetne posljedice na kritičnoj infrastrukturi

13. učinci su izravni i neizravni utjecaji na cilj kritične infrastrukture, koji nastaju kao rezultat prekida rada ili značajnog narušavanja njenog rada, a mogu se očitovati u operativnom, tehničkom, organizacijskom, financijskom ili bilo kojem drugom segmentu djelovanja

14. vjerojatnost je stupanj mogućnosti pojave štetnog događaja, bilo da je događaj definiran, mjeren ili utvrđen objektivno ili subjektivno, kvalitativno ili kvantitativno

15. vrednovanje (evaluacija) rizika je postupak usporedbe rezultata analize rizika s kriterijima prihvatljivosti rizika.

(2) Ostali izrazi koji se koriste u ovome Pravilniku imaju jednako značenje kao izrazi definirani Zakonom o kritičnoj infrastrukturi (»Narodne novine«, broj 89/25.).

Članak 3.

Izrazi koji se koriste u ovom Pravilniku, a imaju rodno značenje odnose se jednako na muški i ženski rod.

II. POSTUPCI UTVRĐIVANJA KRITIČNIH SUBJEKATA

Članak 4.

(1) Nadležna tijela, u postupku utvrđivanja kritičnih subjekata, sastavljaju popis subjekata koji pružaju ključne usluge te njihove infrastrukture, koji sadrži naziv, osnovne podatke o subjektu i infrastrukturi, lokaciju i vrstu aktivnosti.

(2) Podaci o mogućim ugroženim dijelovima infrastrukture, mogućim realnim prijetnjama, posljedicama, postojećim mjerama zaštite i redundanciji vode se u okviru analitičke dokumentacije koja se izrađuje za potrebe analize i procjene rizika te se ažuriraju sukladno promjenama okolnosti, prijetnji, ranjivosti i mjera otpornosti.

(3) Utvrđivanje kritičnih subjekata provodi se na temelju postupka identifikacije kritičnosti njihove infrastrukture koja se provodi za svaki sustav, sektor, mrežu i objekt, ili njihove pojedine dijelove koji služe za pružanje ključnih usluga u djelokrugu nadležnog tijela.

Članak 5.

(1) Kritičnost infrastrukture izražava se razinom rizika, koja ovisi o izloženosti prijetnjama, razini negativnih učinaka te stupnju otpornosti kritičnog subjekta.

(2) Posljedice se definiraju, u pravilu, u odnosu na utjecaj prestanka rada infrastrukture na:

− zdravlje, sigurnost i okoliš

− pružanje ključne usluge

− vrijeme potrebno za popravak, obnovu ili oporavak.

(3) Vjerojatnost prijetnje (štetnog događaja) definira se u odnosu na vrstu, karakter i namjenu infrastrukture, a uključuje i sljedeće pokazatelje:

− učestalost događaja u prošlosti

− pouzdanost u razdoblju prije nastanka kvara/prestanka rada

− način uporabe

− način održavanja

− normiranu uporabu

− uvjete pružanja usluga.

(4) Ako za određeni scenarij rizika ne postoje relevantni povijesni podaci ili usporedivi štetni događaji, vjerojatnost nastanka prijetnje ne smije se samo zbog toga ocijeniti najnižom razinom. U tom slučaju nositelj izrade procjene rizika vjerojatnost i izloženost procjenjuje na temelju drugih raspoloživih podataka, stručne prosudbe, sektorskih pokazatelja, podataka o stanju, konfiguraciji i radu sustava te drugih primjenjivih metoda, vodeći računa o karakteristikama i specifičnostima kritične infrastrukture, vrsti prijetnje i mogućim posljedicama za pružanje ključne usluge.

(5) Nositelj izrade procjene rizika može uključiti i druge pokazatelje za izračun razine rizika, u skladu s karakteristikama i specifičnostima infrastrukture.

Članak 6.

(1) U postupku utvrđivanja kritičnih subjekata, nadležna tijela dužna su primjenjivati međusektorska mjerila koja donosi Koordinativno tijelo te primijeniti sektorska mjerila u skladu sa specifičnostima sektora.

(2) Pri izradi sektorskih mjerila nadležna tijela primjenjuju minimalno sljedeće kriterije:

− život i zdravlje – utvrđuje se utjecaj poremećaja i/ili prekida rada na život i zdravlje stanovnika

− gospodarske posljedice – utvrđuju se gospodarski gubici i financijske štete uzrokovane poremećajem ili prekidom isporuke ključnih usluga

− utjecaj na javnost – utvrđuje se razina gubitka osnovnih javnih usluga i remećenje svakodnevnog života stanovnika

− broj korisnika – utvrđuje se broj stanovnika pogođenih izostankom ključne usluge

− geografski doseg incidenta – utvrđuje se prostorno područje na kojem incident ima učinke na pružanje ključnih usluga

− vremenski okvir – utvrđuje se u kojem će vremenu taj poremećaj/prekid imati posljedice na pružanje ključnih usluga (što je vrijeme duže, veća je kritičnost)

− zamjenjivost usluge – utvrđuje se u kojom roku i mjeri je moguće nadomjestiti pružanje ključne usluge

− utjecaj na funkcioniranje države i gospodarstva – utvrđuje se lokalni, nacionalni ili međunarodni utjecaj poremećaja i/ili prekida rada

− tržišni utjecaj – utvrđuje se postotak utjecaja tržišnog udjela subjekta na tržištu ključne usluge uslijed nemogućnosti isporuke roba ili usluga.

(3) Nadležno tijelo može koristiti i druge kriterije za izradu sektorskih mjerila i odlučiti koliko će kriterija primijeniti te koju će klasifikaciju koristiti unutar utvrđenih mjerila.

III. POSTUPCI PROCJENE RIZIKA

Članak 7.

1. IDENTIFIKACIJA RIZIKA

(1) Rizik je određen prijetnjama koje se mogu pojaviti i svojim djelovanjem ugrožavati cjelovitost, raspoloživost i povjerljivost imovine subjekta kritične infrastrukture, što može imati negativan utjecaj na pružanje ključnih usluga.

(2) Objedinjavanjem relevantnih podataka o prijetnjama i ranjivostima određene kritične infrastrukture, identificiraju se ukupni rizici za pojedine čimbenike rizika, sustave i podsustave te procese i pod-procese.

Članak 8.

Čimbenici rizika obuhvaćaju:

− ljude – osoblje i druge osobe u kontekstu održavanja funkcionalnosti infrastrukture i/ili pojedinih dijelova infrastrukture

− zemljište – vanjski prostor koji uključuje područja od važnosti za rad i operativnost infrastrukture, putove, skladišta, parkirne površine, zelene površine i slično

− podzemne i nadzemne građevine (proizvodne hale, skladišta, administrativne građevine, garaže i slično)

− postrojenja i opremu – uključivo izvore napajanja električnom energijom, plinom, vodom, grijanje, informacijsku i komunikacijsku tehnologiju, transport

− podatke i datoteke potrebne za održavanje procesa i sustava koji se čuvaju u pisanom i/ili digitalnom obliku.

Članak 9.

Kriteriji rizika su:

− priroda i vrsta negativnih učinaka koje mogu utjecati na ciljeve

− način definiranja i mjerenja posljedica (opis učinaka na ciljeve, sustave i procese s kvalitativnim ili kvantitativnim mjerenjem) te vjerojatnosti

− vremenski čimbenici (trajanje događaja ili prekida, vrijeme oporavka, učestalost, vrijeme nastanka događaja)

− dosljednost u korištenju planiranih mjera otpornosti

− uzimanje u obzir jednostrukih i višestrukih rizika.

Članak 10.

Pragovi za utvrđivanje značaja negativnog učinka utvrđuju se na sljedeći način:

− Zanemarivi učinak – ograničen i kratkotrajan utjecaj na rad infrastrukture, bez značajnih posljedica po ključne usluge; <100 korisnika pogođenih incidentom; bez utjecaja na zdravlje i sigurnost stanovnika; <5 % tržišta ključne usluge, vrlo mali geografski doseg (pogođena samo jedna lokacija/objekt); vrlo kratko vrijeme opravka na incident (<24 h); bez elementa međuovisnosti; alternativna usluga dostupna odmah i bez značajnih troškova,

− Mali učinak – učinak postoji, ali s kratkotrajnim posljedicama, manji prekidi u pružanju usluge ograničenom broju korisnika (100 – 1.000); manji utjecaj na zdravlje i sigurnost stanovnika (manje ozlijede i manji sigurnosni događaji); mali gospodarski gubitci, bez šireg utjecaja (5 – 15 % tržišta ključne usluge; ograničen geografski doseg (razina lokalne samouprave); relativno kratko vrijeme opravka na incident (1 – 7 dana); manja razina međuovisnosti (jedan sektor može biti djelomično pogođen); alternativna usluga dostupna uz manje troškove ili kašnjenje isporuke,

− Umjereni učinak – značajan, ali privremeni poremećaj u pružanju ključne usluge; >1.000 – 10.000 korisnika pogođenih incidentom, mogući utjecaj na zdravlje i sigurnost stanovništva (teže ozljede, pojedinačna smrtnost); mogući gospodarski gubici i utjecaj na funkcioniranje dijela gospodarstva (>15 – 30 % tržišta ključne usluge); regionalni geografski doseg; vrijeme oporavka srednje dugo (do 30 dana); srednja razina međuovisnosti (više sektora pogođeno djelomično), alternativna usluga ograničena, zahtijeva prilagodbu poslovanja,

− Veliki učinak – dugotrajan i ozbiljan prekid pružanja ključne usluge; >10.000 – 100.000 korisnika pogođenih incidentom; značajan negativan utjecaj na zdravlje i sigurnost (više smrtnih slučajeva, ozbiljno ugrožavanje javne sigurnosti); gospodarski gubitci i štete širokih razmjera (>30 – 50 % tržišta ključne usluge); nacionalni ili više-regionalni geografski doseg; višemjesečno vrijeme opravka na incident (1 – 6 mjeseci); visoka međuovisnost (više sektora značajno pogođeno), vrlo otežana dostupnost alternativne usluge,

− Katastrofalan učinak – potpuni prekid ključne usluge s dalekosežnim posljedicama; >100.000 korisnika pogođenih incidentom; teške i masovne posljedice na zdravlje i živote ljudi (masovne žrtve i trajna nesigurnost stanovništva); nemjerljivi gospodarski gubici s trajnim posljedicama na gospodarstvo; tržišni udio subjekta je >50 % tržišta ključne usluge; međunarodni ili nacionalni s prekograničnim posljedicama geografski doseg; vrlo dugo vrijeme opravka (>6 mjeseci ili višegodišnje); kritična međuovisnost (širi kaskadni učinak kroz više sektora istovremeno koji dovodi do sustavnog poremećaja ključnih usluga); nema alternative/potpuna ovisnost o uslugama kritičnog subjekta.

Članak 11.

2. ANALIZA PRIJETNJI

Analiza prijetnji je proces identificiranja i procjenjivanja potencijalnih prijetnji koje mogu ugroziti kritičnu infrastrukturu, a provodi se na temelju definiranih scenarija, radi utvrđivanja njihove vjerojatnosti, potencijalnih posljedica i povezanih ranjivosti.

Članak 12.

(1) Scenarij rizika sadrži opis mogućih događaja koji mogu imati neizvjestan, ali potencijalno negativan utjecaj na postizanje ciljeva kritične infrastrukture, uključujući opis uzroka, tijeka događaja i mogućih posljedica na pružanje ključnih usluga.

(2) Scenarij rizika može se razviti koristeći dva različita mehanizma:

− odozgo prema dolje pristup, pri čemu se polazi od ukupnih ciljeva kritične infrastrukture i provodi analiza najrealnijih scenarija rizika koji mogu utjecati na ciljeve

− odozdo prema gore pristup, pri čemu se koristi generički popis scenarija pojedinačnih rizika na temelju čega se definira skup više relevantnih scenarija u okviru jednog prilagođenog scenarija, primijenjen na pojedinačne situacije u kojima se može naći kritična infrastruktura.

(3) Pristupi iz stavka 2. ovoga članka su komplementarni i mogu se koristiti istovremeno.

(4) Scenariji rizika moraju biti relevantni (utemeljeni povijesnim podacima, specifičnim uvjetima rada kritične infrastrukture, analizi konteksta i dr.) i povezani sa stvarnim/ostvarivim rizicima kritične infrastrukture koji mogu uzrokovati značajne negativne posljedice po pružanje ključnih usluga.

(5) U izradi scenarija u obzir se uzimaju rizici koji mogu imati utjecaj na ciljeve i zahtjeve ostvarenja ciljeva svake kritične infrastrukture.

(6) Generički popis scenarija prilagođava se specifičnoj situaciji svake kritične infrastrukture.

Članak 13.

Analiza prijetnje i razvoj scenarija obuhvaćaju sljedeće postupke:

− izradu popisa prijetnji – opisuju se opće karakteristike prijetnje, njihov intenzitet, trajanje i mogući učinci

− procjenu očekivane izloženosti – utvrđuje se koji objekti, sustavi/podsustavi i procesi/pod-procesi mogu biti pogođeni

− procjenu očekivanog intenziteta prijetnje

− procjenu očekivanog trajanja prijetnje

− rano upozoravanje – utvrđuje se koje je očekivano vrijeme između upozorenja i štetnog događaja

− utvrđivanje sekundarnih učinaka (psihološki učinci događaja, utjecaj na javnost i dr.)

− utvrđivanje podataka o štetnim događajima – utvrđuje se koji se usporedivi štetni događaji mogu razmotriti za dobivanje detaljnijih podataka, uključujući povijesne podatke, sektorska iskustva, stručne analize, podatke o novim ili nastajućim prijetnjama te druge dostupne izvore relevantne za procjenu rizika

− utvrđivanje vjerojatnosti štetnog događaja – utvrđuje se koja se vjerojatnost nastanka štetnog događaja može očekivati ili identificirati.

Članak 14.

(1) U scenarije se uključuju elementi ovisnosti i međuovisnosti kritičnih infrastruktura koji mogu povećati učinke i posljedice štetnih događaja.

(2) Broj scenarija koji se razvijaju ovisan je o broju identificiranih prijetnji i karakteristikama sektora, odnosno kritičnih infrastruktura, a izrađuju se za svaki pojedini relevantni događaj posebno.

(3) Scenariji se obavezno testiraju, aktualiziraju i nadopunjuju najmanje jednom godišnje, a po potrebi i češće.

Članak 15.

3. ANALIZA RIZIKA

(1) Analizom rizika utvrđuju se učinci i posljedice prekida rada ili značajnog narušavanja rada kritičnih infrastruktura koji mogu nastati kao posljedica prirodne prijetnje, tehničko-tehnološke prijetnje, prijetnje koja je nastala ljudskom nenamjernom i zlonamjernom djelatnošću (antropogena prijetnja) ili višestruke prijetnje.

(2) Analiza rizika uključuje:

− prikupljanje i analizu relevantnih podataka potrebnih za procjenu rizika, osobito podataka o kritičnoj infrastrukturi, ključnim uslugama, procesima i podprocesima, lokaciji, tehničkim i organizacijskim značajkama, postojećim zaštitnim i sigurnosnim mjerama, raspoloživim kapacitetima za nastavak rada i oporavak te prethodnim štetnim događajima i poremećajima u pružanju ključnih usluga

− identifikaciju i utvrđivanje karakteristika kritičnih infrastruktura

− identifikaciju mogućih prijetnji i procjenu izloženosti kritične infrastrukture tim prijetnjama

− identifikaciju čimbenika rizika

− analizu kritičnosti

− analizu ranjivosti i otpornosti kritičnih infrastruktura na pojedine opasnosti

− utvrđivanje učinaka i posljedica neželjenih događaja na kritične infrastrukture ili dijelove kritičnih infrastruktura te na ključne usluge

− izradu scenarija mogućih događaja i rizika (najgori slučaj i najvjerojatniji slučaj)

− odabir i implementaciju metoda za izračun rizika

− uspoređivanje i vrednovanje rizika

− utvrđivanje prihvatljivosti rizika

− analizu ovisnosti i međuovisnosti kritičnih infrastruktura

− analiza jednostrukog i višestrukog rizika.

Članak 16.

4. ANALIZA RANJIVOSTI

(1) Analiza ranjivosti je sustavni postupak utvrđivanja slabosti kritične infrastrukture, njezinih dijelova ili čimbenika rizika, s ciljem procjene u kojoj bi mjeri te slabosti mogle povećati posljedice štetnog događaja na pružanje ključnih usluga.

(2) Mjerila i kriteriji za identifikaciju ranjivosti su:

− ovisnost infrastrukture o čimbenicima rizika – ako proces ili sustav ovisi o čimbenicima rizika kako bi ispunio svoje zadaće, potencijalni manjak ili zamjena tih čimbenika čini proces ili sustav ranjivim

− ovisnost čimbenika rizika o drugim infrastrukturama – ako čimbenik rizika ovisi o drugoj infrastrukturi kako bi ispunio svoje zadaće i funkciju, potencijalni nedostatak i/ili zamjena te infrastrukture čini čimbenik ranjivim

− otpornost – otpornost čimbenika rizika na fizička oštećenja (građevina, opreme, postrojenja)

− razina tjelesne i tehničke zaštite – organizacijske i tehničke mjere kojima se osigurava odgovarajuća razina zaštite

− zalihe i zamjene – broj i razina zalihe sirovina i rezervnih/zamjenskih dijelova koji mogu izvršavati iste funkcije

− obnova – financijska sredstva, stručni kadar te uloženo vrijeme potrebni za provedbu obnove

− prilagodljivost – sustavi i procesi su ranjivi ako se ne mogu jednostavno prilagoditi

− sposobnost ublažavanja – sposobnost sustava i procesa da podnesu i ublaže učinke štetnog događaja

− transparentnost – mora biti jasno vidljivo i razumljivo kako se čimbenici rizika spajaju i kako funkcioniraju, da bi se u slučaju štetnog događaja što prije popravili ili zamijenili

− ovisnost o posebnim prostornim uvjetima – infrastruktura radi pod prostornim uvjetima koji prevladavaju na lokaciji i ako ovisi o tim specifičnim prostornim uvjetima ranjiva je u odnosu na potencijalne promjene tih uvjeta.

Članak 17.

5. METODE ZA IZRAČUN RIZIKA

(1) Metode za izračun rizika mogu biti:

− kvalitativne – koje daju grube procjene rizika u obliku teksta, bez izrade i mogućnosti numeričke usporedivosti

− polukvantitativne – koje koriste klasifikaciju sustava za procjenu vrijednosti pojedinačnih čimbenika rizika tako da se oni mogu uspoređivati u numeričkom obliku

− kvantitativne – kojima se, koristeći numeričke pokazatelje, procjenjuje razina rizika.

(2) Odabir metode za izračun rizika ovisi o specifičnostima sektora i svojstvima kritičnih infrastruktura.

(3) Prilikom prikupljanja i analize podataka, potrebno je jasno definirati sljedeće:

a) izvor informacija – potrebno je identificirati iz kojeg izvora potječu podaci (npr. dokumentacija, ankete, opažanja, baze podataka, intervjui, modeli) te ocijeniti njihovu pouzdanost na temelju vjerodostojnosti izvora, metode prikupljanja i ažurnosti

b) vrsta podataka – mora se odrediti radi li se o kvalitativnim (opisnim) ili kvantitativnim (brojčanim) podacima, s obzirom na svrhu obrade i očekivani oblik analize

c) razina korištenja – mora se definirati koristi li se podatak na strateškoj, taktičkoj ili operativnoj razini odlučivanja, što utječe na razinu detaljnosti i dubinu analize

d) način prikupljanja – mora se opisati metoda prikupljanja podataka (npr. terenski rad, digitalna obrada, intervjui, automatizirani sustavi), uzimajući u obzir zakonske zahtjeve i načela transparentnosti

e) razina povjerljivosti – svi podaci moraju biti klasificirani razinom koja je u skladu s propisanim zakonodavnim okvirom.

(4) Ako postoje rezultati prethodnih procjena, potrebno je analizirati jesu li okolnosti i kontekst promijenjeni. U slučaju promjene konteksta, mora se ocijeniti jesu li prethodni podaci još uvijek relevantni i primjenjivi.

(5) Smjernice za izradu metodologije procjene rizika kritične infrastrukture – izračun rizika utvrđene su u Prilogu 1. ovoga Pravilnika, koji čini njegov sastavni dio.

Članak 18.

6. ANALIZA JEDNOSTRUKOG I VIŠESTRUKIH RIZIKA

(1) Analizom jednostrukog rizika utvrđuje se mogućnost i posljedice određenog štetnog događaja/prijetnje koji se pojavljuje u nekom zemljopisnom području u određenom razdoblju, odvojeno od drugih štetnih događaja.

(2) Nakon utvrđivanja svih značajnih pojedinačnih rizika provodi se ukupna evaluacija rizika.

Članak 19.

(1) Analizom višestrukih rizika utvrđuje se ukupni učinak djelovanja svih rizika na kritičnu infrastrukturu, uzimajući u obzir njihovo istodobno ili uzastopno pojavljivanje te međusobno djelovanje mogućih prijetnji i ranjivosti.

(2) Postupak analize obuhvaća identifikaciju prijetnji, analizu međuovisnosti, kombinirane scenarije, određivanje ukupne razine rizika i usporedbu s kriterijima rizika.

(3) U analizi višestrukih rizika, kada jedan štetni događaj/prijetnja uzrokuje jedan ili više naknadnih štetnih događaja, uzimaju se u obzir naknadni učinci štetnih događaja (domino učinak, kaskadno djelovanje).

Članak 20.

7. VREDNOVANJE RIZIKA

(1) Vrednovanje rizika je postupak usporedbe rezultata analize rizika s kriterijima rizika da bi se utvrdila prihvatljivost rizika.

(2) Vrednovanje rizika treba pokazati može li biti postignuta unaprijed definirana i planirana razina zaštite kritičnih infrastruktura i/ili njezinih dijelova u odnosu na utvrđene rizike.

(3) U slučaju da je rizik veći od prihvatljivog, kritični subjekt utvrđuje dodatne mjere za smanjenje rizika.

(4) Nositelji analize rizika dužni su dokumentirati i razmjenjivati informacije, potvrditi rezultate vrednovanja rizika te, sukladno tome, pravovremeno izmijeniti, dopuniti i primijeniti stečena znanja i iskustva s ciljem usklađivanja svojih postupaka u provođenju zaštite, jačanja otpornosti i osiguravanja kontinuiteta poslovanja kritičnog subjekta.

IV. OVISNOST I MEĐUOVISNOST KRITIČNIH INFRASTRUKTURA

Članak 21.

(1) Nositelji izrade sektorske analize rizika poslovanja kritičnih infrastruktura i analize rizika poslovanja kritičnih subjekata, pri procjenjivanju rizika i potrebnog stupnja zaštite obvezno uzimaju u obzir ovisnost i međuovisnost kritičnih infrastruktura.

(2) Kritične infrastrukture mogu istovremeno biti ovisne o više drugih infrastruktura unutar jednog sektora, kao i o više drugih infrastruktura iz drugih sektora.

(3) Međuovisnost kritičnih infrastruktura izravno i neizravno utječe na njihovo funkcioniranje te se kod izračuna rizika moraju uzeti u obzir i ovisnosti koje utječu na promatranu infrastrukturu, kao i ovisnosti drugih kritičnih infrastruktura o promatranoj kritičnoj infrastrukturi.

Članak 22.

(1) Za utvrđivanje i analizu međuovisnosti kritičnih infrastruktura u obzir se uzimaju sljedeće značajke:

− karakteristike infrastrukture – organizacijske, operativne, vremenske, prostorne

− stanje rada – normalno/redovno, poremećeno, popravak i obnova

− vrste međuovisnosti – fizička, zemljopisna, informatička, logička

− okruženje/okolina infrastrukture – gospodarsko, poslovno, tehničko, sociološko – političko, pravno i regulatorno, zdravstveno, sigurnosno, javna politika

− sprega/povezanost i ponašanje u reakciji – stupanj sprege (labava, čvrsta), vrsta međuovisnosti (linearna, kompleksna), ponašanje u reakciji (nepopustljivo/neelastično, prilagodljivo)

− vrste kvara – kaskadni, eskalirajući, kvar s istim uzrokom.

(2) Usporedbom značajki iz stavka 1. ovog članka, utvrđuje se izravan ili neizravan utjecaj prekida rada infrastrukture ili isporuke usluge na funkcioniranje drugih infrastruktura, te u kojem opsegu se prenose učinci tog prekida uzimajući u obzir njihovu međusobnu povezanost.

Članak 23.

(1) Nositelji izrade sektorske analize rizika poslovanja kritičnih infrastruktura za utvrđivanje i analizu međuovisnosti kritičnih infrastruktura surađuju i razmjenjuju podatke s nositeljima analize rizika kritičnih infrastruktura iz drugih sektora i kritičnih subjekata, u cilju sagledavanja međuovisnosti i s njima povezanih rizika i ranjivosti pojedinih kritičnih infrastruktura.

(2) Nadležna tijela i regulatorne agencije obvezne su kritičnim subjektima iz svoga sektora dostavljati podatke od značaja za izradu analize rizika kritičnih infrastruktura kojima upravljaju, te izdavati smjernice i preporuke u definiranju i primjeni međusektorskih i sektorskih mjerila za analizu prijetnji, rizika i ranjivosti te izradu njihovih sigurnosnih planova.

V. ZAVRŠNE ODREDBE

Članak 24.

Danom stupanja na snagu ovoga Pravilnika prestaje važiti Pravilnik o metodologiji za izradu analize rizika poslovanja kritičnih infrastruktura (»Narodne novine«, br. 47/16.).

Članak 25.

Ovaj Pravilnik stupa na snagu osmoga dana od dana objave u »Narodnim novinama«.

Klasa: 011-02/25-01/223
Urbroj: 511-01-152-26-8
Zagreb, 21. srpnja 2026.

Ministar
dr. sc. Davor Božinović, v. r.

PRILOG 1.

SMJERNICE ZA IZRADU PROCJENE RIZIKA KRITIČNE INFRASTRUKTURE – IZRAČUN INDEKSA RIZIKA KRITIČNIH SUBJEKATA

Kroz metodologiju izračuna indeksa kritičnih subjekata cilj je utvrditi razinu rizika svakog kritičnog subjekta kroz:

• izloženosti prijetnjama,

• stupnja otpornosti (preventivne i ublažavajuće mjere),

• razine negativnog učinka (direktnog i indirektnog).

1. Struktura indeksa

Kriteriji i opis ocjenjivanja

Izračun komponente A:

Procjena svih mjera koje donose sprječavanju, ublažavanju i oporavku od prijetnje

Izračun komponente B:

Razina negativnog učinka koja se dijeli na direktan (0,7) – C1. i indirektan (0,3) učinak – C2.

C2. Indirektan učinak (0,3)

Isti kriteriji se ocjenjuju, ali se odnose na posredne posljedice (npr. utjecaj na okoliš, društvo, reputaciju).

Izračun komponente C (ukupni negativni učinak):

2. Konačni izračun indeksa rizika

Indeks rizika kritičnog subjekta računa se formulom:

Objašnjenje:

Umnožak Prijetnja (A) i negativan učinak (C) → pokazuje potencijalnu štetu ako se realizira prijetnja

Dijeljenjem s Otpornost (B) → pokazuje sposobnost kritičnog subjekta da ublaži rizik.

Vrijednosti se normiraju u raspon 1 – 25 radi jednostavnije usporedbe.

3. Kategorizacija razine rizika

4. Primjer izračuna

A i C su jednaki (potencijalna prijetnja i posljedice se ne mijenjaju), ali povećanjem otpornosti (B) rizik se eksponencijalno smanjuje. Mjere otpornosti mogu značajno umanjiti rizik iako je negativan učinak visok.