1. Вовед и преглед на апликацијата

1.1 Цел и намена на апликацијата

1.1.1 Што е алатка за самооценување на сајбер безбедност

Алатката за самооценување на сајбер безбедност е специјализирана веб апликација дизајнирана да им помогне на организациите да го проценат нивото на усогласеност со барањата на Законот за безбедност на мрежни и информациски системи (ЗБМИС) на Република Северна Македонија.

Апликацијата овозможува:

• Автоматска класификација на субјектот според критериумите од ЗБМИС
• Систематска проценка на 12 домени на сајбер безбедност (52 контроли) за средни и големи субјекти
• Поедноставена проценка преку 6 домени (25 контроли) за мали претпријатија (MSME)
• Генерирање на извештаи со препораки за подобрување
• Следење на напредокот преку зачувување и враќање на проценки

1.1.2 Целни корисници и примена

Апликацијата е наменета за:

1.1.3 Придобивки од самооценувањето

Редовното самооценување носи значителни придобивки:

• Идентификација на слабости - Откривање на области со недоволна заштита пред да настане инцидент
• Приоретизирање на инвестиции - Насочување на ресурси кон најкритичните подобрувања
• Усогласеност со закон - Подготовка за задолжителна усогласеност со ЗБМИС
• Подобрување на отпорност - Зголемување на способноста за справување со сајбер закани
• Документирање на состојба - Создавање формален запис за интерни и надворешни потреби

1.2 Правна рамка

1.2.1 Закон за безбедност на мрежни и информациски системи (ЗБМИС)

Службен весник на РСМ бр. 135 од 4.7.2025 година

Законот е донесен на 27 јуни 2025 година од Собранието на Република Северна Македонија. ЗБМИС е основниот правен акт кој ги дефинира обврските за сајбер безбедност во Република Северна Македонија. Законот е усогласен со Директивата NIS2 на Европската Унија и воведува:

• Класификација на субјекти во СУШТИНСКИ и ВАЖНИ категории
• Задолжителни мерки за управување со ризици од сајбер безбедност
• Обврски за известување за сајбер инциденти
• Надзор и санкции за неусогласеност

Клучни членови од ЗБМИС:

1.2.2 Директива NIS2 (ЕУ 2022/2555)

Директивата NIS2 е европската регулатива за мрежна и информациска безбедност, донесена на 14 декември 2022 година. ЗБМИС е транспозиција на оваа директива во македонското законодавство.

Клучни елементи од NIS2:

• Article 20 - Управување и раководна одговорност
• Article 21 - Мерки за управување со ризици
• Article 23 - Известување за инциденти
• Article 7 - Национална стратегија за сајбер безбедност

1.2.3 Регулатива за спроведување (ЕУ 2024/2690)

Регулативата за спроведување на Комисијата детално ги разработува техничките и методолошките барања за имплементација на NIS2. Таа обезбедува:

• Специфични критериуми за проценка на ризик
• Детални барања по сектори
• Методологија за известување за инциденти

1.2.4 ISO/IEC 27001:2022

Меѓународниот стандард за системи за управување со информациска безбедност (ISMS) е референтна рамка за многу контроли во апликацијата. Клучни клаузули:

• 5.1 - Лидерство и посветеност
• 5.3 - Организациски улоги и одговорности
• 6.1 - Управување со ризици
• Annex A - Контроли за информациска безбедност

1.3 Видови проценки

1.3.1 BMIS проценка (за средни и големи субјекти)

BMIS (Bezbednost na Mrezhni i Informaciski Sistemi / Безбедност на мрежни и информациски системи) проценката е наменета за:

• Средни субјекти (50-250 вработени или 10-50 милиони евра промет)
• Големи субјекти (над 250 вработени или над 50 милиони евра промет)
• Субјекти класифицирани како СУШТИНСКИ или ВАЖНИ според ЗБМИС

Карактеристики на BMIS проценката:

1.3.2 MSME проценка (за мали претпријатија)

MSME (Micro, Small and Medium Enterprises) проценката е поедноставена верзија наменета за:

• Микро претпријатија (помалку од 10 вработени)
• Мали претпријатија (10-50 вработени)
• Субјекти ВОН ОПСЕГ на ЗБМИС кои сакаат доброволно подобрување

Карактеристики на MSME проценката:

1.3.3 Критериуми за избор на соодветна проценка

1. Introduction and Application Overview

1.1 Purpose and Scope of the Application

1.1.1 What is the Cybersecurity Self-Assessment Tool

The cybersecurity self-assessment tool is a specialized web application designed to help organizations assess their level of compliance with the requirements of the Law on Network and Information Systems Security (LNIS) of the Republic of North Macedonia.

The application enables:

• Automatic entity classification according to LNIS criteria
• Systematic assessment of 12 cybersecurity domains (52 controls) for medium and large entities
• Simplified assessment through 6 domains (25 controls) for small enterprises (MSME)
• Report generation with improvement recommendations
• Progress tracking through saving and restoring assessments

1.1.2 Target Users and Application

The application is intended for:

1.1.3 Benefits of Self-Assessment

Regular self-assessment brings significant benefits:

• Weakness Identification - Detecting areas with insufficient protection before an incident occurs
• Investment Prioritization - Directing resources toward the most critical improvements
• Legal Compliance - Preparation for mandatory LNIS compliance
• Resilience Improvement - Increasing the ability to deal with cyber threats
• Status Documentation - Creating a formal record for internal and external needs

1.2 Legal Framework

1.2.1 Law on Network and Information Systems Security (LNIS)

Official Gazette of RSM No. 135 from 4.7.2025

The Law was adopted on June 27, 2025 by the Assembly of the Republic of North Macedonia. LNIS is the primary legal act defining cybersecurity obligations in the Republic of North Macedonia. The Law is aligned with the EU NIS2 Directive and introduces:

• Classification of entities into ESSENTIAL and IMPORTANT categories
• Mandatory cybersecurity risk management measures
• Cyber incident reporting obligations
• Supervision and sanctions for non-compliance

Key articles of LNIS:

1.2.2 NIS2 Directive (EU 2022/2555)

The NIS2 Directive is the European regulation for network and information security, adopted on December 14, 2022. LNIS is a transposition of this directive into Macedonian legislation.

Key elements of NIS2:

• Article 20 - Governance and management responsibility
• Article 21 - Risk management measures
• Article 23 - Incident reporting
• Article 7 - National cybersecurity strategy

1.2.3 Implementing Regulation (EU 2024/2690)

The Commission Implementing Regulation elaborates in detail the technical and methodological requirements for NIS2 implementation. It provides:

• Specific risk assessment criteria
• Detailed sector-specific requirements
• Incident reporting methodology

1.2.4 ISO/IEC 27001:2022

The international standard for information security management systems (ISMS) is a reference framework for many controls in the application. Key clauses:

• 5.1 - Leadership and commitment
• 5.3 - Organizational roles and responsibilities
• 6.1 - Risk management
• Annex A - Information security controls

1.3 Assessment Types

1.3.1 BMIS Assessment (for medium and large entities)

BMIS (Bezbednost na Mrezhni i Informaciski Sistemi / Network and Information Systems Security) assessment is intended for:

• Medium entities (50-250 employees or 10-50 million euros turnover)
• Large entities (over 250 employees or over 50 million euros turnover)
• Entities classified as ESSENTIAL or IMPORTANT under LNIS

BMIS assessment characteristics:

1.3.2 MSME Assessment (for small enterprises)

MSME (Micro, Small and Medium Enterprises) assessment is a simplified version intended for:

• Micro enterprises (fewer than 10 employees)
• Small enterprises (10-50 employees)
• Entities OUT OF SCOPE of LNIS seeking voluntary improvement

MSME assessment characteristics:

1.3.3 Criteria for Choosing the Appropriate Assessment

1. Hyrje dhe Pasqyra e Aplikacionit

1.1 Qëllimi dhe Fushëveprimi i Aplikacionit

1.1.1 Çfarë është mjeti i vetëvlerësimit të sigurisë kibernetike

Mjeti i vetëvlerësimit të sigurisë kibernetike është një aplikacion i specializuar ueb i projektuar për t'u ndihmuar organizatave të vlerësojnë nivelin e përputhshmërisë me kërkesat e Ligjit për Sigurinë e Rrjeteve dhe Sistemeve Informative (LSRSI) të Republikës së Maqedonisë së Veriut.

Aplikacioni mundëson:

• Klasifikimin automatik të subjektit sipas kritereve të LSRSI
• Vlerësimin sistematik të 12 domeneve të sigurisë kibernetike (52 kontrolle) për subjektet e mesme dhe të mëdha
• Vlerësim të thjeshtuar përmes 6 domeneve (25 kontrolle) për ndërmarrjet e vogla (MSME)
• Gjenerimin e raporteve me rekomandime për përmirësim
• Ndjekjen e progresit përmes ruajtjes dhe rikthimit të vlerësimeve

1.1.2 Përdoruesit e Synuar dhe Zbatimi

Aplikacioni është i destinuar për:

1.1.3 Përfitimet e Vetëvlerësimit

Vetëvlerësimi i rregullt sjell përfitime të konsiderueshme:

• Identifikimi i dobësive - Zbulimi i fushave me mbrojtje të pamjaftueshme para se të ndodhë një incident
• Prioritizimi i investimeve - Drejtimi i burimeve drejt përmirësimeve më kritike
• Përputhshmëria ligjore - Përgatitja për përputhshmërinë e detyrueshme me LSRSI
• Përmirësimi i reziliencës - Rritja e aftësisë për t'u përballur me kërcënimet kibernetike
• Dokumentimi i gjendjes - Krijimi i një regjistrimi formal për nevoja të brendshme dhe të jashtme

1.2 Korniza Ligjore

1.2.1 Ligji për Sigurinë e Rrjeteve dhe Sistemeve Informative (LSRSI)

Gazeta Zyrtare e RSM nr. 135 nga 4.7.2025

Ligji u miratua më 27 qershor 2025 nga Kuvendi i Republikës së Maqedonisë së Veriut. LSRSI është akti kryesor ligjor që përcakton detyrimet për sigurinë kibernetike në Republikën e Maqedonisë së Veriut. Ligji është harmonizuar me Direktivën NIS2 të Bashkimit Evropian dhe prezanton:

• Klasifikimin e subjekteve në kategoritë THELBËSORE dhe TË RËNDËSISHME
• Masa të detyrueshme për menaxhimin e rreziqeve të sigurisë kibernetike
• Detyrime për raportimin e incidenteve kibernetike
• Mbikëqyrje dhe sanksione për mosrespektim

Nenet kryesore të LSRSI:

1.2.2 Direktiva NIS2 (BE 2022/2555)

Direktiva NIS2 është rregullorja evropiane për sigurinë e rrjeteve dhe informacionit, e miratuar më 14 dhjetor 2022. LSRSI është transpozimi i kësaj direktive në legjislacionin maqedonas.

Elementet kryesore të NIS2:

• Neni 20 - Qeverisja dhe përgjegjësia e drejtuesve
• Neni 21 - Masat për menaxhimin e rreziqeve
• Neni 23 - Raportimi i incidenteve
• Neni 7 - Strategjia kombëtare për sigurinë kibernetike

1.2.3 Rregullorja Zbatuese (BE 2024/2690)

Rregullorja Zbatuese e Komisionit përpunon në detaje kërkesat teknike dhe metodologjike për zbatimin e NIS2. Ajo siguron:

• Kritere specifike për vlerësimin e rrezikut
• Kërkesa të detajuara sipas sektorëve
• Metodologji për raportimin e incidenteve

1.2.4 ISO/IEC 27001:2022

Standardi ndërkombëtar për sistemet e menaxhimit të sigurisë informative (ISMS) është korniza referuese për shumë kontrolle në aplikacion. Klauzolat kryesore:

• 5.1 - Lidershipi dhe angazhimi
• 5.3 - Rolet dhe përgjegjësitë organizative
• 6.1 - Menaxhimi i rreziqeve
• Aneksi A - Kontrollat e sigurisë informative

1.3 Llojet e Vlerësimeve

1.3.1 Vlerësimi BMIS (për subjektet e mesme dhe të mëdha)

BMIS (Bezbednost na Mrezhni i Informaciski Sistemi / Siguria e Rrjeteve dhe Sistemeve Informative) vlerësimi është i destinuar për:

• Subjektet e mesme (50-250 punonjës ose 10-50 milionë euro qarkullim)
• Subjektet e mëdha (mbi 250 punonjës ose mbi 50 milionë euro qarkullim)
• Subjektet e klasifikuara si THELBËSORE ose TË RËNDËSISHME sipas LSRSI

Karakteristikat e vlerësimit BMIS:

1.3.2 Vlerësimi MSME (për ndërmarrjet e vogla)

MSME (Micro, Small and Medium Enterprises) vlerësimi është një version i thjeshtuar i destinuar për:

• Mikro ndërmarrjet (më pak se 10 punonjës)
• Ndërmarrjet e vogla (10-50 punonjës)
• Subjektet JASHTË FUSHËVEPRIMIT të LSRSI që dëshirojnë përmirësim vullnetar

Karakteristikat e vlerësimit MSME:

1.3.3 Kriteret për Zgjedhjen e Vlerësimit të Përshtatshëm

2. Фаза 1: Класификација на субјектот

2.1 Внесување на податоци за субјектот

2.1.1 Избор на НКД шифра (Национална класификација на дејности)

Првиот чекор е идентификација на главната дејност на субјектот преку НКД шифрата. Апликацијата овозможува:

• Пребарување по шифра - Директно внесување на познатата НКД шифра
• Пребарување по опис - Пронаоѓање на шифра преку опис на дејноста
• Хиерархиско прегледување - Навигација низ структурата на дејности

2.1.2 Внесување на број на вработени

Бројот на вработени се внесува како целобројна вредност и се користи за определување на големината на субјектот:

2.1.3 Внесување на годишен промет (во евра)

Годишниот промет се внесува во евра и служи како дополнителен критериум:

2.1.4 Внесување на вкупни средства/биланс (во евра)

Вкупните средства од билансот на состојба се третиот критериум:

2.2 Мапирање на НКД шифри кон сектори

2.2.1 Сектори со висока критичност (Член 7, став (1), точка 1) од ЗБМИС)

Секторите со висока критичност се оние кои се од суштинско значење за функционирањето на општеството и економијата:

2.2.2 Други критични сектори (Член 7, став (1), точка 2) од ЗБМИС)

Другите критични сектори имаат пониско ниво на критичност, но сè уште се значајни. Важно: Според Член 8(1)1) од ЗБМИС, големите субјекти од овие сектори се класифицираат како СУШТИНСКИ (не Важни), бидејќи Член 4(2) ги опфаќа сите 16 сектори.

*Средните субјекти од Член 7(1)2) сектори можат да бидат прогласени за ВАЖНИ преку посебна проценка на ризик (Член 8(2)2))

2.3 Критериуми за големина на субјектот

2.3.1 Мали субјекти (помалку од 50 вработени)

Малите субјекти генерално се ВОН ОПСЕГ на ЗБМИС, освен ако:

• Се единствен снабдувач на критична услуга
• Нарушувањето би имало значително влијание врз јавната безбедност
• Се дел од критична инфраструктура по посебен акт

2.3.2 Средни субјекти (50-250 вработени)

Средните субјекти се класифицираат според секторот:

• Сектори со висока критичност (Член 7(1)1)) → ВАЖЕН субјект
• Други критични сектори (Член 7(1)2)) → ВОН ОПСЕГ (освен по посебна проценка)

2.3.3 Големи субјекти (повеќе од 250 вработени)

Големите субјекти се класифицираат:

• Сектори со висока критичност (Член 7(1)1)) → СУШТИНСКИ субјект
• Други критични сектори (Член 7(1)2)) → СУШТИНСКИ субјект

2.3.4 Комбинирани критериуми (вработени + промет/средства)

2.4 Резултати од класификацијата

2.4.1 СУШТИНСКИ субјект (член 8(1) од ЗБМИС)

Субјектот е СУШТИНСКИ ако:

• Е голем субјект (≥250 вработени или >50M€ промет и >43M€ средства) И работи во било кој сектор од Член 4(2) - ова ги вклучува и сектори со висока критичност (Член 7(1)1)) и други критични сектори (Член 7(1)2))

Или специјални категории (независно од големината):

• Давачи на услуги на доверба (trust services)
• DNS оператори
• TLD регистри
• Централна јавна администрација

Обврски за СУШТИНСКИ субјекти:

2.4.2 ВАЖЕН субјект (член 8(2) од ЗБМИС)

Субјектот е ВАЖЕН ако:

• Работи во сектор со висока критичност (Член 7(1)1)) И е среден субјект
• ИЛИ е прогласен за ВАЖЕН преку посебна проценка на ризик (Член 8(2)2))

Обврски за ВАЖНИ субјекти: Исти како за СУШТИНСКИ субјекти, но со:

• Помалку строг надзор
• Поблаги санкции за неусогласеност
• Можност за поедноставени процедури

2.4.3 ВОН ОПСЕГ на ЗБМИС

Субјектите кои не ги исполнуваат критериумите за СУШТИНСКИ или ВАЖЕН се ВОН ОПСЕГ на законските обврски, но:

• Можат доброволно да спроведат самооценување
• Се охрабруваат да ја користат MSME проценката
• Можат да бидат вклучени со посебен акт

2.4.4 Посебни услови и исклучоци

Автоматска класификација како СУШТИНСКИ:

• Давачи на квалификувани услуги на доверба
• DNS оператори на највисоко ниво
• Регистри на имиња на домени од највисоко ниво
• Единствени снабдувачи на критична услуга во држава

Можност за прогласување по проценка на ризик:

Средни субјекти во Член 7(1)2) сектори можат да бидат прогласени за ВАЖНИ ако:

• Имаат критична улога во секторот
• Нарушувањето би имало значително влијание
• Ги исполнуваат критериумите од посебна проценка

2.5 Правни референци за класификација

2.5.1 Член 4 од ЗБМИС - Опсег на примена

2.5.2 Член 8 од ЗБМИС - Класификација на субјекти

2.5.3 Споредба со NIS2 Директивата

Критична разлика: Македонскиот ЗБМИС е построг бидејќи Член 8(1)1) ги класифицира СИТЕ големи субјекти од Член 4(2) како СУШТИНСКИ, вклучувајќи ги и секторите од Член 7(1)2). Во NIS2 Директивата, големите субјекти од Член 7(1)2) се само ВАЖНИ, не СУШТИНСКИ.

2.6 Процес на самоидентификација како суштински или важен субјект

2.6.1 Правна основа

Ова значи дека самоидентификацијата не е доброволна - таа е законска обврска за секој субјект кој ги исполнува критериумите, дури и ако Владата/Министерството сè уште не го ставиле на соодветната листа.

2.6.2 Кои субјекти треба да се самоидентификуваат?

Субјектот мора да изврши самоидентификација доколку ги исполнува критериумите од Член 8, но не е веќе ставен на деталните листи од Член 7(1) точки 3) и 4). Конкретно:

Самоидентификација како СУШТИНСКИ субјект (Член 8(1)):

Самоидентификација како ВАЖЕН субјект (Член 8(2)):

2.6.3 Чекори за самоидентификација

2.6.4 Надлежни органи (Член 11)

2.6.5 Потребни податоци при известување

Согласно Член 7(5), деталните листи содржат:

• Назив на субјектот - Целосно правно име
• Контакти - Седиште, телефон, електронска адреса
• Услуги/активности - Кои услуги ги дава, односно активности кои ги врши
• Опсег на IP - IP адресни простори на субјектот

За субјекти без седиште во РСМ (Член 9), дополнително е потребна регистрација на претставник во Министерството.

2.6.6 Единствен портал за сајбер безбедност (Член 15(5-8))

Министерството воспоставува и одржува единствен портал за сајбер безбедност (Член 15(5)) со цел:

• Централизирано и унифицирано регистрирање на суштинските и важните субјекти
• Пријавување на сајбер безбедносните инциденти
• Олеснето вршење на надзор
• Достапност на сите податоци, информации и акти поврзани со сајбер безбедноста

2.6.7 Временски рамки

2.6.8 Обврски по самоидентификација

По успешната самоидентификација и ставање на деталната листа, субјектот е должен да ги исполни следните обврски:

За суштински субјекти:

За важни субјекти:

Истите обврски како за суштинските субјекти, но со:

• Екс пост надзор (наместо проактивен) - Член 51
• Помали санкции: глоба до 1,4% од годишен приход (наместо 2%) - Член 54(2)

2.6.9 Санкции за неисполнување

2.6.10 Регистри што ги води Министерството (Член 7(9))

Министерството води четири електронски регистри:

• Регистар на области со висока критичност
• Регистар на други критични области
• Регистар на суштински субјекти
• Регистар на важни субјекти

2. Phase 1: Entity Classification

2.1 Entering Entity Data

2.1.1 NKD Code Selection (National Classification of Activities)

The first step is identifying the entity's main activity through the NKD code. The application provides:

• Search by code - Direct entry of a known NKD code
• Search by description - Finding a code through activity description
• Hierarchical browsing - Navigation through the activity structure

2.1.2 Entering Number of Employees

The number of employees is entered as an integer value and is used to determine the entity's size:

2.1.3 Entering Annual Turnover (in euros)

Annual turnover is entered in euros and serves as an additional criterion:

2.1.4 Entering Total Assets/Balance Sheet (in euros)

Total assets from the balance sheet are the third criterion:

2.2 Mapping NKD Codes to Sectors

2.2.1 High Criticality Sectors (Article 7(1)(1) of LNIS)

High criticality sectors are those of essential importance for the functioning of society and economy:

2.2.2 Other Critical Sectors (Article 7(1)(2) of LNIS)

Other critical sectors have a lower level of criticality but are still significant. Important: Under Article 8(1)(1) of LNIS, large entities from these sectors are classified as ESSENTIAL (not Important), because Article 4(2) covers all 16 sectors.

*Medium entities from Article 7(1)(2) sectors may be designated as IMPORTANT through a special risk assessment (Article 8(2)(2))

2.3 Entity Size Criteria

2.3.1 Small Entities (fewer than 50 employees)

Small entities are generally OUT OF SCOPE of LNIS, unless:

• They are the sole provider of a critical service
• A disruption would have a significant impact on public safety
• They are part of critical infrastructure by special act

2.3.2 Medium Entities (50-250 employees)

Medium entities are classified according to sector:

• High criticality sectors (Article 7(1)(1)) → IMPORTANT entity
• Other critical sectors (Article 7(1)(2)) → OUT OF SCOPE (except by special assessment)

2.3.3 Large Entities (more than 250 employees)

Large entities are classified:

• High criticality sectors (Article 7(1)(1)) → ESSENTIAL entity
• Other critical sectors (Article 7(1)(2)) → ESSENTIAL entity

2.3.4 Combined Criteria (employees + turnover/assets)

2.4 Classification Results

2.4.1 ESSENTIAL Entity (Article 8(1) of LNIS)

The entity is ESSENTIAL if:

• It is a large entity (≥250 employees or >50M€ turnover and >43M€ assets) AND operates in any sector from Article 4(2) - this includes both high criticality sectors (Article 7(1)(1)) and other critical sectors (Article 7(1)(2))

Or special categories (regardless of size):

• Qualified trust service providers
• DNS operators
• TLD registries
• Central public administration

Obligations for ESSENTIAL entities:

2.4.2 IMPORTANT Entity (Article 8(2) of LNIS)

The entity is IMPORTANT if:

• It operates in a high criticality sector (Article 7(1)(1)) AND is a medium entity
• OR is designated as IMPORTANT through a special risk assessment (Article 8(2)(2))

Obligations for IMPORTANT entities: Same as for ESSENTIAL entities, but with:

• Less strict supervision
• Milder sanctions for non-compliance
• Possibility for simplified procedures

2.4.3 OUT OF SCOPE of LNIS

Entities that do not meet the criteria for ESSENTIAL or IMPORTANT are OUT OF SCOPE of legal obligations, but:

• May voluntarily conduct self-assessment
• Are encouraged to use the MSME assessment
• May be included by special act

2.4.4 Special Conditions and Exceptions

Automatic classification as ESSENTIAL:

• Qualified trust service providers
• Top-level DNS operators
• Top-level domain name registries
• Sole providers of critical service in the country

Possibility for designation by risk assessment:

Medium entities in Article 7(1)(2) sectors may be designated as IMPORTANT if:

• They have a critical role in the sector
• A disruption would have significant impact
• They meet the criteria from a special assessment

2.5 Legal References for Classification

2.5.1 Article 4 of LNIS - Scope of Application

2.5.2 Article 8 of LNIS - Entity Classification

2.5.3 Comparison with the NIS2 Directive

Critical difference: Macedonian LNIS is stricter because Article 8(1)(1) classifies ALL large entities from Article 4(2) as ESSENTIAL, including sectors from Article 7(1)(2). In the NIS2 Directive, large entities from Article 7(1)(2) are only IMPORTANT, not ESSENTIAL.

2.6 Self-Identification Process as Essential or Important Entity

2.6.1 Legal Basis

This means self-identification is not voluntary - it is a legal obligation for every entity that meets the criteria, even if the Government/Ministry has not yet placed it on the respective list.

2.6.2 Which Entities Must Self-Identify?

An entity must perform self-identification if it meets the criteria under Article 8 but is not already placed on the detailed lists under Article 7(1), points 3) and 4). Specifically:

Self-identification as ESSENTIAL entity (Article 8(1)):

Self-identification as IMPORTANT entity (Article 8(2)):

2.6.3 Self-Identification Steps

2.6.4 Competent Authorities (Article 11)

2.6.5 Required Data for Notification

Pursuant to Article 7(5), detailed lists contain:

• Entity name - Full legal name
• Contact information - Headquarters, telephone, email address
• Services/activities - Which services are provided, or activities performed
• IP range - IP address ranges of the entity

For entities without headquarters in RNM (Article 9), additional registration of a representative at the Ministry is required.

2.6.6 Unified Cybersecurity Portal (Article 15(5-8))

The Ministry establishes and maintains a unified cybersecurity portal (Article 15(5)) for the purpose of:

• Centralized and unified registration of essential and important entities
• Reporting of cybersecurity incidents
• Facilitated supervision
• Availability of all data, information and acts related to cybersecurity in one place

2.6.7 Timelines

2.6.8 Obligations After Self-Identification

After successful self-identification and placement on the detailed list, the entity is obligated to fulfill the following obligations:

For essential entities:

For important entities:

Same obligations as essential entities, but with:

• Ex post supervision (instead of proactive) - Article 51
• Lower penalties: fine up to 1.4% of annual turnover (instead of 2%) - Article 54(2)

2.6.9 Penalties for Non-Compliance

2.6.10 Registries Maintained by the Ministry (Article 7(9))

The Ministry maintains four electronic registries:

• Registry of high criticality areas
• Registry of other critical areas
• Registry of essential entities
• Registry of important entities

2. Faza 1: Klasifikimi i Subjektit

2.1 Futja e të Dhënave të Subjektit

2.1.1 Zgjedhja e Kodit NKD (Klasifikimi Kombëtar i Aktiviteteve)

Hapi i parë është identifikimi i aktivitetit kryesor të subjektit përmes kodit NKD. Aplikacioni mundëson:

• Kërkim sipas kodit - Futja direkte e kodit NKD të njohur
• Kërkim sipas përshkrimit - Gjetja e kodit përmes përshkrimit të aktivitetit
• Shfletim hierarkik - Navigimi përmes strukturës së aktiviteteve

2.1.2 Futja e Numrit të Punonjësve

Numri i punonjësve futet si vlerë e plotë dhe përdoret për përcaktimin e madhësisë së subjektit:

2.1.3 Futja e Qarkullimit Vjetor (në euro)

Qarkullimi vjetor futet në euro dhe shërben si kriter shtesë:

2.1.4 Futja e Aseteve Totale/Bilancit (në euro)

Asetet totale nga bilanci janë kriteri i tretë:

2.2 Hartëzimi i Kodeve NKD me Sektorët

2.2.1 Sektorët me Kritikë të Lartë (Neni 7(1)(1) i LSRSI)

Sektorët me kritikë të lartë janë ata me rëndësi thelbësore për funksionimin e shoqërisë dhe ekonomisë:

2.2.2 Sektorë të Tjerë Kritikë (Neni 7(1)(2) i LSRSI)

Sektorët e tjerë kritikë kanë nivel më të ulët kriticiteti por janë ende të rëndësishëm. E rëndësishme: Sipas Nenit 8(1)(1) të LSRSI, subjektet e mëdha nga këta sektorë klasifikohen si THELBËSORE (jo të Rëndësishme), sepse Neni 4(2) mbulon të gjithë 16 sektorët.

*Subjektet e mesme nga sektorët e Nenit 7(1)(2) mund të caktohen si TË RËNDËSISHME përmes vlerësimit special të rrezikut (Neni 8(2)(2))

2.3 Kriteret e Madhësisë së Subjektit

2.3.1 Subjektet e Vogla (më pak se 50 punonjës)

Subjektet e vogla janë përgjithësisht JASHTË FUSHËVEPRIMIT të LSRSI, përveç nëse:

• Janë ofruesi i vetëm i një shërbimi kritik
• Ndërprerja do të kishte ndikim të rëndësishëm mbi sigurinë publike
• Janë pjesë e infrastrukturës kritike me akt special

2.3.2 Subjektet e Mesme (50-250 punonjës)

Subjektet e mesme klasifikohen sipas sektorit:

• Sektorët me kritikë të lartë (Neni 7(1)(1)) → Subjekt I RËNDËSISHËM
• Sektorë të tjerë kritikë (Neni 7(1)(2)) → JASHTË FUSHËVEPRIMIT (përveç me vlerësim special)

2.3.3 Subjektet e Mëdha (mbi 250 punonjës)

Subjektet e mëdha klasifikohen:

• Sektorët me kritikë të lartë (Neni 7(1)(1)) → Subjekt THELBËSOR
• Sektorë të tjerë kritikë (Neni 7(1)(2)) → Subjekt THELBËSOR

2.3.4 Kriteret e Kombinuara (punonjës + qarkullim/asete)

2.4 Rezultatet e Klasifikimit

2.4.1 Subjekt THELBËSOR (Neni 8(1) i LSRSI)

Subjekti është THELBËSOR nëse:

• Është subjekt i madh (≥250 punonjës ose >50M€ qarkullim dhe >43M€ asete) DHE operon në cilindo sektor nga Neni 4(2)

Ose kategori speciale (pavarësisht nga madhësia):

• Ofruesit e shërbimeve të besueshme të kualifikuara
• Operatorët DNS
• Regjistrat TLD
• Administrata publike qendrore

Detyrimet për subjektet THELBËSORE:

2.4.2 Subjekt I RËNDËSISHËM (Neni 8(2) i LSRSI)

Subjekti është I RËNDËSISHËM nëse:

• Operon në sektor me kritikë të lartë (Neni 7(1)(1)) DHE është subjekt i mesëm
• OSE është caktuar si I RËNDËSISHËM përmes vlerësimit special të rrezikut (Neni 8(2)(2))

2.4.3 JASHTË FUSHËVEPRIMIT të LSRSI

Subjektet që nuk i plotësojnë kriteret për THELBËSOR ose TË RËNDËSISHËM janë JASHTË FUSHËVEPRIMIT, por:

• Mund të kryejnë vullnetarisht vetëvlerësim
• Inkurajohen të përdorin vlerësimin MSME
• Mund të përfshihen me akt special

2.4.4 Kushtet Speciale dhe Përjashtimet

Klasifikimi automatik si THELBËSOR:

• Ofruesit e shërbimeve të besueshme të kualifikuara
• Operatorët DNS të nivelit më të lartë
• Regjistrat e emrave të domeneve të nivelit më të lartë
• Ofruesit e vetëm të shërbimit kritik në shtet

2.5 Referencat Ligjore për Klasifikimin

2.5.1 Neni 4 i LSRSI - Fushëveprimi

2.5.2 Neni 8 i LSRSI - Klasifikimi i Subjekteve

2.5.3 Krahasimi me Direktivën NIS2

2.6 Procesi i Vetë-Identifikimit si Subjekt Thelbësor ose i Rëndësishëm

2.6.1 Baza Ligjore

Kjo do të thotë se vetë-identifikimi nuk është vullnetar - është detyrim ligjor për çdo subjekt që i plotëson kriteret, edhe nëse Qeveria/Ministria ende nuk e ka vendosur në listën përkatëse.

2.6.2 Cilët Subjekte Duhet të Vetë-Identifikohen?

Subjekti duhet të kryejë vetë-identifikim nëse i plotëson kriteret nga Neni 8, por nuk është vendosur ende në listat e detajuara nga Neni 7(1), pikat 3) dhe 4). Konkretisht:

Vetë-identifikimi si subjekt THELBËSOR (Neni 8(1)):

Vetë-identifikimi si subjekt I RËNDËSISHËM (Neni 8(2)):

2.6.3 Hapat e Vetë-Identifikimit

2.6.4 Organet Kompetente (Neni 11)

2.6.5 Të Dhënat e Nevojshme për Njoftim

Sipas Nenit 7(5), listat e detajuara përmbajnë:

• Emri i subjektit - Emri i plotë ligjor
• Informatat e kontaktit - Selia, telefoni, adresa e postës elektronike
• Shërbimet/aktivitetet - Cilat shërbime ofrohen, përkatësisht aktivitetet që kryhen
• Hapësira IP - Diapazonet e adresave IP të subjektit

Për subjektet pa seli në RMV (Neni 9), kërkohet regjistrimi shtesë i një përfaqësuesi në Ministri.

2.6.6 Portali i Unifikuar i Sigurisë Kibernetike (Neni 15(5-8))

Ministria krijon dhe mirëmban një portal të unifikuar të sigurisë kibernetike (Neni 15(5)) me qëllim:

• Regjistrimi i centralizuar dhe i unifikuar i subjekteve thelbësore dhe të rëndësishme
• Raportimi i incidenteve të sigurisë kibernetike
• Mbikëqyrja e lehtësuar
• Disponueshmëria e të gjitha të dhënave, informatave dhe akteve që lidhen me sigurinë kibernetike në një vend

2.6.7 Afatet Kohore

2.6.8 Detyrimet pas Vetë-Identifikimit

Pas vetë-identifikimit të suksesshëm dhe vendosjes në listën e detajuar, subjekti është i detyruar të plotësojë detyrimet e mëposhtme:

Për subjektet thelbësore:

Për subjektet e rëndësishme:

Detyrime të njëjta si për subjektet thelbësore, por me:

• Mbikëqyrje ekz post (në vend të proaktive) - Neni 51
• Gjoba më të ulëta: deri në 1.4% e qarkullimit vjetor (në vend të 2%) - Neni 54(2)

2.6.9 Gjobat për Mosplotësim

2.6.10 Regjistrat e Ministrisë (Neni 7(9))

Ministria mban katër regjistra elektronikë:

• Regjistri i fushave me kritikë të lartë
• Regjistri i fushave të tjera kritike
• Regjistri i subjekteve thelbësore
• Regjistri i subjekteve të rëndësishme

3. Фаза 2: Проценка на усогласеност (BMIS)

3.1 Преглед на 12-те домени на сајбер безбедност

BMIS проценката опфаќа 12 домени со вкупно 52 контроли, структурирани според барањата на ЗБМИС и меѓународните стандарди.

3.1.1 Домен 1: Управување, Лидерство и Одговорност

Цел: Воспоставување управување со сајбер безбедност на највисоко организациско ниво.

Контроли:

Правни референци:

• Закон за БМИС: Член 31(1), Член 25(4), Член 29
• NIS2 Директива: Article 20(1), Article 21(1), Article 7
• ISO/IEC 27001:2022: 5.1, 5.3
• Регулатива (ЕУ) 2024/2690: Article 3, Annex I

3.1.2 Домен 2: Управување со Ризици и Донесување Одлуки

Цел: Систематски пристап кон идентификација, анализа и третман на ризиците.

Контроли:

Правни референци:

• Закон за БМИС: Член 31(1), Член 32(1)(а)
• NIS2 Директива: Article 21(1), Article 21(2)(a)
• ISO/IEC 27001:2022: 6.1, 8.2, 8.3

3.1.3 Домен 3: Гаранција за Правна и Регулаторна Усогласеност

Цел: Обезбедување усогласеност со законски барања и регулативи.

Контроли:

Правни референци:

• Закон за БМИС: Член 32(3)(6), Член 35(1)
• NIS2 Директива: Article 21(2)(f)
• ISO/IEC 27001:2022: 5.31, 5.32, 5.33

3.1.4 Домен 4: Управување со Средства и Информации

Цел: Идентификација, класификација и заштита на информациски средства.

Контроли:

Правни референци:

• Закон за БМИС: Член 32(1)(д), Член 32(3)(1)
• NIS2 Директива: Article 21(2)(d)
• ISO/IEC 27001:2022: 5.9, 5.10, 5.11, 5.12

3.1.5 Домен 5: Луѓе, Идентификација и Управување со Пристап

Цел: Контрола на пристап до системи и податоци.

Контроли:

Правни референци:

• Закон за БМИС: Член 32(1)(д), Член 32(3)(3)
• NIS2 Директива: Article 21(2)(i)
• ISO/IEC 27001:2022: 5.15, 5.16, 5.17, 5.18

3.1.6 Домен 6: Свесност, Обука и Човечка Отпорност

Цел: Подигање на свеста и компетенциите за сајбер безбедност.

Контроли:

Правни референци:

• Закон за БМИС: Член 31(2), Член 39(1-3), Член 32(1)(g)
• NIS2 Директива: Article 20(2), Article 21(2)(g)
• ISO/IEC 27001:2022: 6.3, 7.2, 7.3

3.1.7 Домен 7: Сигурно Набавување, Развој и Промени

Цел: Безбедност во животниот циклус на развој на софтвер и системи.

Контроли:

Правни референци:

• Закон за БМИС: Член 32(1)(е), Член 32(3)(5)
• NIS2 Директива: Article 21(2)(e)
• ISO/IEC 27001:2022: 8.25, 8.26, 8.27, 8.28

3.1.8 Домен 8: Синџир на Снабдување и Безбедност на Трети Страни

Цел: Управување со ризици од добавувачи и партнери.

Контроли:

Правни референци:

• Закон за БМИС: Член 32(1)(д), Член 32(3)(4)
• NIS2 Директива: Article 21(2)(d), Article 21(3)
• ISO/IEC 27001:2022: 5.19, 5.20, 5.21, 5.22

3.1.9 Домен 9: Техничка Заштита и Мрежна Безбедност

Цел: Имплементација на технички контроли за заштита.

Контроли:

Правни референци:

• Закон за БМИС: Член 32(1)(e)(h)(i), Член 32(3)(2)(7)
• NIS2 Директива: Article 21(2)(e)(h)(i)
• ISO/IEC 27001:2022: 8.20, 8.21, 8.22, 8.23, 8.24

3.1.10 Домен 10: Управување со Ранливости и Изложеност

Цел: Идентификација и отстранување на ранливости.

Контроли:

Правни референци:

• Закон за БМИС: Член 32(1)(e), Член 32(3)(5)
• NIS2 Директива: Article 21(2)(e)
• ISO/IEC 27001:2022: 8.8, 8.9

3.1.11 Домен 11: Откривање, Одговор и Координација на Инциденти

Цел: Способност за детекција и одговор на инциденти.

Контроли:

Правни референци:

• Закон за БМИС: Член 32(1)(б), Член 33, Член 20-23
• NIS2 Директива: Article 21(2)(b), Article 23
• ISO/IEC 27001:2022: 5.24, 5.25, 5.26, 5.27

3.1.12 Домен 12: Отпорност, Обнова и Управување со Криза

Цел: Континуитет на работењето и обнова после инциденти.

Контроли:

Правни референци:

• Закон за БМИС: Член 32(1)(в), Член 32(3)(8)
• NIS2 Директива: Article 21(2)(c)
• ISO/IEC 27001:2022: 5.29, 5.30, 8.13, 8.14

3.2 Систем за оценување на контроли

3.2.1 Нивоа на зрелост (L1-L4)

BMIS проценката користи 4 нивоа на зрелост за секоја контрола:

3.2.2 Значење на секое ниво на зрелост

L1 Почетно / Ад-хок (25%)

Организацијата има почетна свесност за контролата, но практиките се неформални и неконзистентни.

Карактеристики:

• Неформални или недокументирани процедури
• Минимални ресурси доделени
• Реактивен пристап кон проблемите
• Зависност од индивидуални напори
• Нема систематско следење

L2 Дефинирано / Повторливо (50%)

Организацијата има формални политики и процедури кои се документирани и комуницирани.

Карактеристики:

• Формално документирани политики и процедури
• Дефинирани улоги и одговорности
• Основно следење и известување
• Годишни прегледи спроведени
• Конзистентна примена низ организацијата

L3 Управувано / Измерено (75%)

Контролите се интегрирани во оперативните процеси со континуирано мерење и подобрување.

Карактеристики:

• Интегрирано во оперативните процеси
• Континуирано следење и мерење
• KPI дефинирани и активно следени
• Редовно тестирање и валидација
• Донесување одлуки засновано на докази

L4 Оптимизирано / Проактивно (100%)

Најнапредно ниво со автоматизација, предиктивна аналитика и континуирано подобрување.

Карактеристики:

• Автоматизирано следење и одговор каде што е применливо
• Предиктивна аналитика и интеграција на разузнавање за закани
• Култура на континуирано подобрување
• Водечки во индустријата или иновативни практики
• Интегрирано со управување со ризикот на претпријатието

3.3 Основи за усогласеност (Compliance Baselines)

3.3.1 Македонски ЗБМИС барања

Минимални барања според Законот за безбедност на мрежни и информациски системи.

Применливо за: Сите СУШТИНСКИ и ВАЖНИ субјекти

Карактеристики:

• Задолжителни барања со законска сила
• Строги рокови за усогласување
• Санкции за неусогласеност
• Регулаторен надзор

Типично потребно ниво: L2-L3

3.3.2 ENISA основни барања

Основно ниво на сајбер безбедност според ENISA препораки.

Применливо за: Мали и средни претпријатија кои сакаат основна заштита

Карактеристики:

• Фокус на критични контроли
• Практичен и достижен пристап
• Добра основа за натамошно подобрување

Типично потребно ниво: L1-L2

3.3.3 ENISA напредни барања

Напредно ниво за организации со повисоки безбедносни потреби.

Применливо за: Организации кои бараат повисока заштита

Карактеристики:

• Сеопфатна покриеност
• Проактивни мерки
• Напредни технички контроли

Типично потребно ниво: L2-L3

3.3.4 ISO/IEC 27001 барања

Меѓународен стандард за системи за управување со информациска безбедност.

Применливо за: Организации кои сакаат сертификација

Карактеристики:

• Процесен пристап
• Континуирано подобрување
• Формална сертификација
• Меѓународно признат

Типично потребно ниво: L3

3.4 Правни референци по домени

3.4.1 Мапирање на контроли кон член 31 од ЗБМИС

Член 31 - Мерки за управување со ризици од сајбер безбедност

3.4.2 Мапирање на контроли кон член 32 од ЗБМИС

Член 32 - Технички и организациски мерки

3. Phase 2: Compliance Assessment (BMIS)

3.1 Overview of 12 Cybersecurity Domains

The BMIS assessment covers 12 domains with a total of 52 controls, structured according to LNIS requirements and international standards.

3.1.1 Domain 1: Governance, Leadership and Accountability

Goal: Establishing cybersecurity governance at the highest organizational level.

Controls:

Legal References:

• LNIS Law: Article 31(1), Article 25(4), Article 29
• NIS2 Directive: Article 20(1), Article 21(1), Article 7
• ISO/IEC 27001:2022: 5.1, 5.3
• Regulation (EU) 2024/2690: Article 3, Annex I

3.1.2 Domain 2: Risk Management and Decision Making

Goal: Systematic approach to risk identification, analysis and treatment.

Controls:

Legal References:

• LNIS Law: Article 31(1), Article 32(1)(a)
• NIS2 Directive: Article 21(1), Article 21(2)(a)
• ISO/IEC 27001:2022: 6.1, 8.2, 8.3

3.1.3 Domain 3: Legal and Regulatory Compliance Assurance

Goal: Ensuring compliance with legal requirements and regulations.

Controls:

Legal References:

• LNIS Law: Article 32(3)(6), Article 35(1)
• NIS2 Directive: Article 21(2)(f)
• ISO/IEC 27001:2022: 5.31, 5.32, 5.33

3.1.4 Domain 4: Asset and Information Management

Goal: Identification, classification and protection of information assets.

Controls:

Legal References:

• LNIS Law: Article 32(1)(d), Article 32(3)(1)
• NIS2 Directive: Article 21(2)(d)
• ISO/IEC 27001:2022: 5.9, 5.10, 5.11, 5.12

3.1.5 Domain 5: People, Identification and Access Management

Goal: Control of access to systems and data.

Controls:

Legal References:

• LNIS Law: Article 32(1)(d), Article 32(3)(3)
• NIS2 Directive: Article 21(2)(i)
• ISO/IEC 27001:2022: 5.15, 5.16, 5.17, 5.18

3.1.6 Domain 6: Awareness, Training and Human Resilience

Goal: Raising cybersecurity awareness and competencies.

Controls:

Legal References:

• LNIS Law: Article 31(2), Article 39(1-3), Article 32(1)(g)
• NIS2 Directive: Article 20(2), Article 21(2)(g)
• ISO/IEC 27001:2022: 6.3, 7.2, 7.3

3.1.7 Domain 7: Secure Procurement, Development and Changes

Goal: Security in the software and systems development lifecycle.

Controls:

Legal References:

• LNIS Law: Article 32(1)(e), Article 32(3)(5)
• NIS2 Directive: Article 21(2)(e)
• ISO/IEC 27001:2022: 8.25, 8.26, 8.27, 8.28

3.1.8 Domain 8: Supply Chain and Third-Party Security

Goal: Managing risks from suppliers and partners.

Controls:

Legal References:

• LNIS Law: Article 32(1)(d), Article 32(3)(4)
• NIS2 Directive: Article 21(2)(d), Article 21(3)
• ISO/IEC 27001:2022: 5.19, 5.20, 5.21, 5.22

3.1.9 Domain 9: Technical Protection and Network Security

Goal: Implementation of technical protection controls.

Controls:

Legal References:

• LNIS Law: Article 32(1)(e)(h)(i), Article 32(3)(2)(7)
• NIS2 Directive: Article 21(2)(e)(h)(i)
• ISO/IEC 27001:2022: 8.20, 8.21, 8.22, 8.23, 8.24

3.1.10 Domain 10: Vulnerability and Exposure Management

Goal: Identification and remediation of vulnerabilities.

Controls:

Legal References:

• LNIS Law: Article 32(1)(e), Article 32(3)(5)
• NIS2 Directive: Article 21(2)(e)
• ISO/IEC 27001:2022: 8.8, 8.9

3.1.11 Domain 11: Incident Detection, Response and Coordination

Goal: Capability for incident detection and response.

Controls:

Legal References:

• LNIS Law: Article 32(1)(b), Article 33, Article 20-23
• NIS2 Directive: Article 21(2)(b), Article 23
• ISO/IEC 27001:2022: 5.24, 5.25, 5.26, 5.27

3.1.12 Domain 12: Resilience, Recovery and Crisis Management

Goal: Business continuity and recovery after incidents.

Controls:

Legal References:

• LNIS Law: Article 32(1)(c), Article 32(3)(8)
• NIS2 Directive: Article 21(2)(c)
• ISO/IEC 27001:2022: 5.29, 5.30, 8.13, 8.14

3.2 Control Scoring System

3.2.1 Maturity Levels (L1-L4)

The BMIS assessment uses 4 maturity levels for each control:

3.2.2 Meaning of Each Maturity Level

L1 Initial / Ad-hoc (25%)

The organization has initial awareness of the control, but practices are informal and inconsistent.

Characteristics:

• Informal or undocumented procedures
• Minimal resources allocated
• Reactive approach to problems
• Dependence on individual efforts
• No systematic monitoring

L2 Defined / Repeatable (50%)

The organization has formal policies and procedures that are documented and communicated.

Characteristics:

• Formally documented policies and procedures
• Defined roles and responsibilities
• Basic monitoring and reporting
• Annual reviews conducted
• Consistent application across the organization

L3 Managed / Measured (75%)

Controls are integrated into operational processes with continuous measurement and improvement.

Characteristics:

• Integrated into operational processes
• Continuous monitoring and measurement
• KPIs defined and actively tracked
• Regular testing and validation
• Evidence-based decision making

L4 Optimized / Proactive (100%)

Most advanced level with automation, predictive analytics and continuous improvement.

Characteristics:

• Automated monitoring and response where applicable
• Predictive analytics and threat intelligence integration
• Culture of continuous improvement
• Industry-leading or innovative practices
• Integrated with enterprise risk management

3.3 Compliance Baselines

3.3.1 Macedonian LNIS Requirements

Minimum requirements under the Law on Network and Information Systems Security.

Applicable for: All ESSENTIAL and IMPORTANT entities

Characteristics:

• Mandatory requirements with legal force
• Strict compliance deadlines
• Sanctions for non-compliance
• Regulatory oversight

Typically required level: L2-L3

3.3.2 ENISA Basic Requirements

Basic cybersecurity level according to ENISA recommendations.

Applicable for: Small and medium enterprises seeking basic protection

Characteristics:

• Focus on critical controls
• Practical and achievable approach
• Good foundation for further improvement

Typically required level: L1-L2

3.3.3 ENISA Advanced Requirements

Advanced level for organizations with higher security needs.

Applicable for: Organizations requiring higher protection

Characteristics:

• Comprehensive coverage
• Proactive measures
• Advanced technical controls

Typically required level: L2-L3

3.3.4 ISO/IEC 27001 Requirements

International standard for information security management systems.

Applicable for: Organizations seeking certification

Characteristics:

• Process approach
• Continuous improvement
• Formal certification
• Internationally recognized

Typically required level: L3

3.4 Legal References by Domain

3.4.1 Mapping Controls to Article 31 of LNIS

Article 31 - Cybersecurity Risk Management Measures

3.4.2 Mapping Controls to Article 32 of LNIS

Article 32 - Technical and Organizational Measures

3. Faza 2: Vlerësimi i Përputhshmërisë (BMIS)

3.1 Pasqyra e 12 Domeneve të Sigurisë Kibernetike

Vlerësimi BMIS mbulon 12 domene me gjithsej 52 kontrolle, të strukturuara sipas kërkesave të LSRSI dhe standardeve ndërkombëtare.

3.1.1 Domeni 1: Qeverisja, Lidershipi dhe Përgjegjësia

Qëllimi: Vendosja e qeverisjes së sigurisë kibernetike në nivelin më të lartë organizativ.

Kontrollat:

Referencat Ligjore:

• Ligji LSRSI: Neni 31(1), Neni 25(4), Neni 29
• Direktiva NIS2: Neni 20(1), Neni 21(1), Neni 7
• ISO/IEC 27001:2022: 5.1, 5.3
• Rregullorja (BE) 2024/2690: Neni 3, Aneksi I

3.1.2 Domeni 2: Menaxhimi i Rreziqeve dhe Vendimmarrja

Qëllimi: Qasje sistematike ndaj identifikimit, analizës dhe trajtimit të rreziqeve.

Kontrollat:

Referencat Ligjore:

• Ligji LSRSI: Neni 31(1), Neni 32(1)(a)
• Direktiva NIS2: Neni 21(1), Neni 21(2)(a)
• ISO/IEC 27001:2022: 6.1, 8.2, 8.3

3.1.3 Domeni 3: Sigurimi i Përputhshmërisë Ligjore dhe Rregullatore

Qëllimi: Sigurimi i përputhshmërisë me kërkesat ligjore dhe rregulloret.

Kontrollat:

Referencat Ligjore:

• Ligji LSRSI: Neni 32(3)(6), Neni 35(1)
• Direktiva NIS2: Neni 21(2)(f)
• ISO/IEC 27001:2022: 5.31, 5.32, 5.33

3.1.4 Domeni 4: Menaxhimi i Aseteve dhe Informacionit

Qëllimi: Identifikimi, klasifikimi dhe mbrojtja e aseteve informative.

Kontrollat:

Referencat Ligjore:

• Ligji LSRSI: Neni 32(1)(d), Neni 32(3)(1)
• Direktiva NIS2: Neni 21(2)(d)
• ISO/IEC 27001:2022: 5.9, 5.10, 5.11, 5.12

3.1.5 Domeni 5: Njerëzit, Identifikimi dhe Menaxhimi i Qasjes

Qëllimi: Kontrolli i qasjes në sisteme dhe të dhëna.

Kontrollat:

Referencat Ligjore:

• Ligji LSRSI: Neni 32(1)(d), Neni 32(3)(3)
• Direktiva NIS2: Neni 21(2)(i)
• ISO/IEC 27001:2022: 5.15, 5.16, 5.17, 5.18

3.1.6 Domeni 6: Ndërgjegjësimi, Trajnimi dhe Rezilienca Njerëzore

Qëllimi: Rritja e ndërgjegjësimit dhe kompetencave për sigurinë kibernetike.

Kontrollat:

Referencat Ligjore:

• Ligji LSRSI: Neni 31(2), Neni 39(1-3), Neni 32(1)(g)
• Direktiva NIS2: Neni 20(2), Neni 21(2)(g)
• ISO/IEC 27001:2022: 6.3, 7.2, 7.3

3.1.7 Domeni 7: Prokurimi i Sigurt, Zhvillimi dhe Ndryshimet

Qëllimi: Siguria në ciklin jetësor të zhvillimit të softuerit dhe sistemeve.

Kontrollat:

Referencat Ligjore:

• Ligji LSRSI: Neni 32(1)(e), Neni 32(3)(5)
• Direktiva NIS2: Neni 21(2)(e)
• ISO/IEC 27001:2022: 8.25, 8.26, 8.27, 8.28

3.1.8 Domeni 8: Zinxhiri i Furnizimit dhe Siguria e Palëve të Treta

Qëllimi: Menaxhimi i rreziqeve nga furnitorët dhe partnerët.

Kontrollat:

Referencat Ligjore:

• Ligji LSRSI: Neni 32(1)(d), Neni 32(3)(4)
• Direktiva NIS2: Neni 21(2)(d), Neni 21(3)
• ISO/IEC 27001:2022: 5.19, 5.20, 5.21, 5.22

3.1.9 Domeni 9: Mbrojtja Teknike dhe Siguria e Rrjetit

Qëllimi: Zbatimi i kontrolleve teknike për mbrojtje.

Kontrollat:

Referencat Ligjore:

• Ligji LSRSI: Neni 32(1)(e)(h)(i), Neni 32(3)(2)(7)
• Direktiva NIS2: Neni 21(2)(e)(h)(i)
• ISO/IEC 27001:2022: 8.20, 8.21, 8.22, 8.23, 8.24

3.1.10 Domeni 10: Menaxhimi i Dobësive dhe Ekspozimit

Qëllimi: Identifikimi dhe riparimi i dobësive.

Kontrollat:

Referencat Ligjore:

• Ligji LSRSI: Neni 32(1)(e), Neni 32(3)(5)
• Direktiva NIS2: Neni 21(2)(e)
• ISO/IEC 27001:2022: 8.8, 8.9

3.1.11 Domeni 11: Zbulimi, Përgjigja dhe Koordinimi i Incidenteve

Qëllimi: Aftësia për zbulimin dhe përgjigjen ndaj incidenteve.

Kontrollat:

Referencat Ligjore:

• Ligji LSRSI: Neni 32(1)(b), Neni 33, Neni 20-23
• Direktiva NIS2: Neni 21(2)(b), Neni 23
• ISO/IEC 27001:2022: 5.24, 5.25, 5.26, 5.27

3.1.12 Domeni 12: Rezilienca, Rimëkëmbja dhe Menaxhimi i Krizës

Qëllimi: Vazhdimësia e biznesit dhe rimëkëmbja pas incidenteve.

Kontrollat:

Referencat Ligjore:

• Ligji LSRSI: Neni 32(1)(c), Neni 32(3)(8)
• Direktiva NIS2: Neni 21(2)(c)
• ISO/IEC 27001:2022: 5.29, 5.30, 8.13, 8.14

3.2 Sistemi i Vlerësimit të Kontrolleve

3.2.1 Nivelet e Pjekurisë (L1-L4)

Vlerësimi BMIS përdor 4 nivele pjekurie për secilën kontrollë:

3.2.2 Kuptimi i Secilit Nivel Pjekurie

L1 Fillestar / Ad-hoc (25%)

Organizata ka ndërgjegjësim fillestar për kontrollin, por praktikat janë joformale dhe jokonsistente.

Karakteristikat:

• Procedura joformale ose të padokumentuara
• Burime minimale të alokuara
• Qasje reaktive ndaj problemeve
• Varësi nga përpjekjet individuale
• Asnjë monitorim sistematik

L2 I Përcaktuar / I Përsëritshëm (50%)

Organizata ka politika dhe procedura formale që janë të dokumentuara dhe të komunikuara.

Karakteristikat:

• Politika dhe procedura të dokumentuara formalisht
• Role dhe përgjegjësi të përcaktuara
• Monitorim dhe raportim bazë
• Rishikime vjetore të kryera
• Zbatim konsistent në organizatë

L3 I Menaxhuar / I Matur (75%)

Kontrollat janë të integruara në proceset operacionale me matje dhe përmirësim të vazhdueshëm.

Karakteristikat:

• I integruar në proceset operacionale
• Monitorim dhe matje e vazhdueshme
• KPI-të të përcaktuara dhe ndjekura aktivisht
• Testim dhe validim i rregullt
• Vendimmarrje e bazuar në dëshmi

L4 I Optimizuar / Proaktiv (100%)

Niveli më i avancuar me automatizim, analitikë parashikuese dhe përmirësim të vazhdueshëm.

Karakteristikat:

• Monitorim dhe përgjigje e automatizuar ku është e zbatueshme
• Analitikë parashikuese dhe integrim i inteligjencës së kërcënimeve
• Kulturë e përmirësimit të vazhdueshëm
• Praktika udhëheqëse ose inovative në industri
• E integruar me menaxhimin e rrezikut të ndërmarrjes

3.3 Linjat Bazë të Përputhshmërisë

3.3.1 Kërkesat e LSRSI Maqedonas

Kërkesat minimale sipas Ligjit për Sigurinë e Rrjeteve dhe Sistemeve Informative.

I zbatueshëm për: Të gjithë subjektet THELBËSORE dhe TË RËNDËSISHME

Karakteristikat:

• Kërkesa të detyrueshme me fuqi ligjore
• Afate strikte përputhshmërie
• Sanksione për mosrespektim
• Mbikëqyrje rregullatore

Niveli tipikisht i nevojshëm: L2-L3

3.3.2 Kërkesat Bazë ENISA

Niveli bazë i sigurisë kibernetike sipas rekomandimeve të ENISA.

I zbatueshëm për: Ndërmarrjet e vogla dhe të mesme që kërkojnë mbrojtje bazë

Karakteristikat:

• Fokus në kontrollat kritike
• Qasje praktike dhe e arritshme
• Bazë e mirë për përmirësim të mëtejshëm

Niveli tipikisht i nevojshëm: L1-L2

3.3.3 Kërkesat e Avancuara ENISA

Nivel i avancuar për organizatat me nevoja më të larta sigurie.

I zbatueshëm për: Organizatat që kërkojnë mbrojtje më të lartë

Karakteristikat:

• Mbulim gjithëpërfshirës
• Masa proaktive
• Kontrolle teknike të avancuara

Niveli tipikisht i nevojshëm: L2-L3

3.3.4 Kërkesat ISO/IEC 27001

Standardi ndërkombëtar për sistemet e menaxhimit të sigurisë informative.

I zbatueshëm për: Organizatat që kërkojnë certifikim

Karakteristikat:

• Qasje procesurale
• Përmirësim i vazhdueshëm
• Certifikim formal
• I njohur ndërkombëtarisht

Niveli tipikisht i nevojshëm: L3

3.4 Referencat Ligjore sipas Domeneve

3.4.1 Hartëzimi i Kontrolleve me Nenin 31 të LSRSI

Neni 31 - Masat për Menaxhimin e Rreziqeve të Sigurisë Kibernetike

3.4.2 Hartëzimi i Kontrolleve me Nenin 32 të LSRSI

Neni 32 - Masat Teknike dhe Organizative

4. Фаза 2: Проценка на усогласеност (MSME)

4.1 Преглед на домени за мали претпријатија

MSME проценката е поедноставена верзија наменета за микро, мали и средни претпријатија кои се вон опсег на ЗБМИС или сакаат доброволно подобрување. Базирана е на ENISA водичот за ММСП.

Табела: Преглед на MSME домени и контроли

4.1.1 Домен 1: Управување и ризици

Цел: Стратешки надзор и приод базиран на ризик за управување со сајбер безбедноста.

Контроли:

4.1.2 Домен 2: Луѓе и свесност

Цел: Изградба на култура за сајбер безбедност и подигање на свеста кај вработените.

Контроли:

4.1.3 Домен 3: Технички контроли

Цел: Имплементација на технички мерки за заштита на системите и податоците.

Контроли:

4.1.4 Домен 4: Континуитет и закрепнување

Цел: Обезбедување способност за закрепнување после сајбер инциденти.

Контроли:

4.1.5 Домен 5: Правни и усогласеност

Цел: Обезбедување усогласеност со регулативи за заштита на податоци.

Контроли:

4.1.6 Домен 6: Трета страна и усогласеност

Цел: Управување со ризици од добавувачи и партнери.

Контроли:

4.2 ENISA референтна рамка за ММСП

4.2.1 12 чекори за обезбедување на вашиот бизнис

ENISA водичот "Cybersecurity Guide for SMEs - 12 Steps to Securing Your Business" (2021) е основа за MSME проценката:

4.2.2 Приоритетни контроли за мали претпријатија

За мали претпријатија со ограничени ресурси, препорачуваме фокус на следните приоритети:

Критични (прва фаза):

• Редовни резервни копии (1.4)
• Политика за лозинки (2.2)
• Ажурирање на софтвер (3.2)
• Антивирус/EDR (3.3)
• Firewall (3.5)

Високи (втора фаза):

• Назначено одговорно лице (1.1)
• Обука за вработени (2.1)
• Безбедна конфигурација (3.1)
• План за инциденти (1.3)

Средни (трета фаза):

• Процена на ризик (1.2)
• Проверки на добавувачи (6.1)
• Континуитет на работењето (4.1)

4.3 Систем за оценување

4.3.1 Нивоа на имплементација

MSME проценката користи 3 нивоа на зрелост:

Foundation (Основно) - 33%

Основното ниво претставува минимална имплементација:

• Назначено е одговорно лице или се знае кој е одговорен
• Постојат основни мерки, но не се формализирани
• Реактивен пристап кон безбедноста
• Ограничена документација

Пример за контрола 1.1:

"Назначено е лице одговорно за сајбер безбедноста"

Advanced (Напредно) - 66%

Напредното ниво претставува формализирана имплементација:

• Јасно дефинирани улоги и одговорности
• Редовно известување до раководството
• Формални политики и процедури
• Систематски пристап кон безбедноста

Пример за контрола 1.1:

"Одговорното лице има јасно дефинирани задачи и редовно известува до раководството"

Expert (Експертско) - 100%

Експертското ниво претставува оптимална имплементација:

• Формален тим или комитет за безбедност
• Документирани и тестирани процедури
• Проактивен пристап со континуирано подобрување
• Интеграција со бизнис процесите

Пример за контрола 1.1:

"Постои формален комитет или тим за сајбер безбедност со документирани процедури"

4.3.2 Пресметка на усогласеност

Формула за пресметка:

Тежини по домени:

4. Phase 2: Compliance Assessment (MSME)

4.1 Overview of Domains for Small Enterprises

The MSME assessment is a simplified version intended for micro, small and medium enterprises that are outside the scope of LNIS or wish to voluntarily improve. It is based on the ENISA Guide for SMEs.

Table: Overview of MSME Domains and Controls

4.1.1 Domain 1: Governance and Risks

Objective: Strategic oversight and risk-based approach for managing cyber security.

Controls:

4.1.2 Domain 2: People and Awareness

Objective: Building a cyber security culture and raising employee awareness.

Controls:

4.1.3 Domain 3: Technical Controls

Objective: Implementation of technical measures to protect systems and data.

Controls:

4.1.4 Domain 4: Continuity and Recovery

Objective: Ensuring the ability to recover after cyber incidents.

Controls:

4.1.5 Domain 5: Legal and Compliance

Objective: Ensuring compliance with data protection regulations.

Controls:

4.1.6 Domain 6: Third Party and Compliance

Objective: Managing risks from suppliers and partners.

Controls:

4.2 ENISA Reference Framework for SMEs

4.2.1 12 Steps to Securing Your Business

The ENISA guide "Cybersecurity Guide for SMEs - 12 Steps to Securing Your Business" (2021) is the basis for the MSME assessment:

4.2.2 Priority Controls for Small Enterprises

For small enterprises with limited resources, we recommend focusing on the following priorities:

Critical (first phase):

• Regular backups (1.4)
• Password policy (2.2)
• Software updates (3.2)
• Antivirus/EDR (3.3)
• Firewall (3.5)

High (second phase):

• Designated responsible person (1.1)
• Employee training (2.1)
• Secure configuration (3.1)
• Incident response plan (1.3)

Medium (third phase):

• Risk assessment (1.2)
• Supplier checks (6.1)
• Business continuity (4.1)

4.3 Scoring System

4.3.1 Implementation Levels

The MSME assessment uses 3 maturity levels:

Foundation - 33%

The foundation level represents minimal implementation:

• A responsible person is designated or it is known who is responsible
• Basic measures exist but are not formalized
• Reactive approach to security
• Limited documentation

Example for control 1.1:

"A person responsible for cyber security has been designated"

Advanced - 66%

The advanced level represents formalized implementation:

• Clearly defined roles and responsibilities
• Regular reporting to management
• Formal policies and procedures
• Systematic approach to security

Example for control 1.1:

"The responsible person has clearly defined tasks and regularly reports to management"

Expert - 100%

The expert level represents optimal implementation:

• Formal security team or committee
• Documented and tested procedures
• Proactive approach with continuous improvement
• Integration with business processes

Example for control 1.1:

"A formal cyber security committee or team with documented procedures exists"

4.3.2 Compliance Calculation

Calculation formula:

Weights by domain:

4. Faza 2: Vleresimi i perputhshmerise (MSME)

4.1 Pasqyre e domeneve per ndermarrjet e vogla

Vleresimi MSME eshte nje version i thjeshtuar i destinuar per mikro, ndermarrjet e vogla dhe te mesme qe jane jashte fushes se LSRIM ose deshirojne permiresim vullnetar. Bazohet ne udherrefersin e ENISA per NVM.

Tabela: Pasqyre e domeneve dhe kontrolleve MSME

4.1.1 Domini 1: Qeverisja dhe rreziqet

Qellimi: Mbikqyrja strategjike dhe qasja e bazuar ne rrezik per menaxhimin e sigurise kibernetike.

Kontrollet:

4.1.2 Domini 2: Njerezit dhe ndergjegjesimi

Qellimi: Ndertimi i nje kulture per sigurine kibernetike dhe rritja e ndergjegjesimit te punonjesve.

Kontrollet:

4.1.3 Domini 3: Kontrollet teknike

Qellimi: Implementimi i masave teknike per mbrojtjen e sistemeve dhe te dhenave.

Kontrollet:

4.1.4 Domini 4: Vazhdimesia dhe rimekembja

Qellimi: Sigurimi i aftesise per rimekembje pas incidenteve kibernetike.

Kontrollet:

4.1.5 Domini 5: Ligjore dhe perputhshmeria

Qellimi: Sigurimi i perputhshmerise me rregulloret per mbrojtjen e te dhenave.

Kontrollet:

4.1.6 Domini 6: Pala e trete dhe perputhshmeria

Qellimi: Menaxhimi i rreziqeve nga furnitoret dhe partneret.

Kontrollet:

4.2 Korniza referuese ENISA per NVM

4.2.1 12 hapa per sigurimin e biznesit tuaj

Udherrefersi i ENISA "Cybersecurity Guide for SMEs - 12 Steps to Securing Your Business" (2021) eshte baza per vleresimin MSME:

4.2.2 Kontrollet prioritare per ndermarrjet e vogla

Per ndermarrjet e vogla me burime te kufizuara, rekomandojme fokusim ne prioritetet e meposhtme:

Kritike (faza e pare):

• Kopje rezerve te rregullta (1.4)
• Politika e fjalekalimeve (2.2)
• Perditesimi i softuerit (3.2)
• Antivirus/EDR (3.3)
• Firewall (3.5)

Te larta (faza e dyte):

• Person pergjegjes i caktuar (1.1)
• Trajnimi i punonjesve (2.1)
• Konfigurim i sigurt (3.1)
• Plan per pergjigje ndaj incidenteve (1.3)

Te mesme (faza e trete):

• Vleresimi i rrezikut (1.2)
• Kontrolli i furnitoreve (6.1)
• Vazhdimesia e biznesit (4.1)

4.3 Sistemi i vleresimit

4.3.1 Nivelet e implementimit

Vleresimi MSME perdor 3 nivele pjekurie:

Foundation (Baze) - 33%

Niveli baze perfaqeson implementimin minimal:

• Eshte caktuar nje person pergjegjes ose dihet kush eshte pergjegjes
• Ekzistojne masa baze, por nuk jane formalizuara
• Qasje reaktive ndaj sigurise
• Dokumentim i kufizuar

Shembull per kontrollen 1.1:

"Eshte caktuar nje person pergjegjes per sigurine kibernetike"

Advanced (I avancuar) - 66%

Niveli i avancuar perfaqeson implementimin e formalizuar:

• Role dhe pergjegjesira te percaktuara qarte
• Raportim i rregullt tek menaxhmenti
• Politika dhe procedura formale
• Qasje sistematike ndaj sigurise

Shembull per kontrollen 1.1:

"Personi pergjegjes ka detyra te percaktuara qarte dhe raporton rregullisht tek menaxhmenti"

Expert (Ekspert) - 100%

Niveli ekspert perfaqeson implementimin optimal:

• Ekip ose komitet formal per sigurine
• Procedura te dokumentuara dhe te testuara
• Qasje proaktive me permiresim te vazhdueshem
• Integrim me proceset e biznesit

Shembull per kontrollen 1.1:

"Ekziston nje komitet ose ekip formal per sigurine kibernetike me procedura te dokumentuara"

4.3.2 Llogaritja e perputhshmerise

Formula e llogaritjes:

Peshat sipas domeneve:

5. Фаза 3: Резултати и анализа

5.1 Приказ на резултати

5.1.1 Вкупен резултат на усогласеност

Апликацијата генерира вкупен резултат изразен во проценти:

Формула за пресметка

Тежини по домени (MSME проценка)

Визуелен приказ на вкупна усогласеност

Интерпретација на резултатот

5.1.2 Резултати по домени

Резултатите се прикажуваат за секој домен посебно:

BMIS проценка (12 домени):

5.1.3 Радар дијаграм на зрелост

Апликацијата генерира интерактивен радар дијаграм кој визуелно ги прикажува резултатите по домени:

5.2 Патоказ за подобрување

5.2.1 Приоритетни области за подобрување

Апликацијата автоматски генерира приоритизирана листа на подобрувања:

5.2.2 Проценка на потребно време и ресурси

5.2.3 Препорачани следни чекори

Краткорочно (0-3 месеци):

1. Адресирање на критични празнини
2. Спроведување на итни технички мерки
3. Известување на раководството

Среднорочно (3-12 месеци):

1. Формализирање на политики и процедури
2. Имплементација на програма за обука
3. Воспоставување на редовни прегледи

Долгорочно (12+ месеци):

1. Интеграција со бизнис процесите
2. Автоматизација каде е возможно
3. Континуирано подобрување

5.3 Правни обврски

5.3.1 Обврски за СУШТИНСКИ субјекти

5.3.2 Обврски за ВАЖНИ субјекти

5.3.3 Рокови за усогласување

Временска линија:

5. Phase 3: Results and Analysis

5.1 Displaying Results

5.1.1 Overall Compliance Score

The application generates an overall score expressed as a percentage:

Calculation Formula

Domain Weights (MSME Assessment)

Visual Display of Overall Compliance

Score Interpretation

5.1.2 Results by Domain

Results are displayed for each domain individually:

BMIS Assessment (12 domains):

5.1.3 Maturity Radar Diagram

The application generates an interactive radar diagram that visually displays the results by domain:

5.2 Improvement Roadmap

5.2.1 Priority Areas for Improvement

The application automatically generates a prioritized list of improvements:

5.2.2 Estimated Time and Resources

5.2.3 Recommended Next Steps

Short-term (0-3 months):

1. Address critical gaps
2. Implement urgent technical measures
3. Notify management

Mid-term (3-12 months):

1. Formalize policies and procedures
2. Implement a training program
3. Establish regular reviews

Long-term (12+ months):

1. Integration with business processes
2. Automation where possible
3. Continuous improvement

5.3 Legal Obligations

5.3.1 Obligations for ESSENTIAL Entities

5.3.2 Obligations for IMPORTANT Entities

5.3.3 Compliance Deadlines

Timeline:

5. Faza 3: Rezultatet dhe Analiza

5.1 Shfaqja e rezultateve

5.1.1 Rezultati i përgjithshëm i përputhshmërisë

Aplikacioni gjeneron një rezultat të përgjithshëm të shprehur në përqindje:

Formula e llogaritjes

Peshat sipas fushave (Vlerësimi MSME)

Paraqitja vizuale e përputhshmërisë së përgjithshme

Interpretimi i rezultatit

5.1.2 Rezultatet sipas fushave

Rezultatet shfaqen për secilën fushë veç e veç:

Vlerësimi BMIS (12 fusha):

5.1.3 Diagrami Radar i Maturitetit

Aplikacioni gjeneron një diagram radar interaktiv që paraqet vizualisht rezultatet sipas fushave:

5.2 Udhërrëfyesi për përmirësim

5.2.1 Fushat prioritare për përmirësim

Aplikacioni gjeneron automatikisht një listë të prioritizuar të përmirësimeve:

5.2.2 Vlerësimi i kohës dhe burimeve të nevojshme

5.2.3 Hapat e ardhshëm të rekomanduar

Afatshkurtra (0-3 muaj):

1. Adresimi i boshllëqeve kritike
2. Zbatimi i masave urgjente teknike
3. Njoftimi i menaxhmentit

Afatmesme (3-12 muaj):

1. Formalizimi i politikave dhe procedurave
2. Implementimi i programit të trajnimit
3. Vendosja e rishikimeve të rregullta

Afatgjata (12+ muaj):

1. Integrimi me proceset e biznesit
2. Automatizimi aty ku është e mundur
3. Përmirësimi i vazhdueshëm

5.3 Detyrimet ligjore

5.3.1 Detyrimet për subjektet THELBËSORE

5.3.2 Detyrimet për subjektet E RËNDËSISHME

5.3.3 Afatet e përputhshmërisë

Linja kohore:

6. Фаза 4: Извештај

6.1 Содржина на извештајот

6.1.1 Резиме за раководството

Извештајот вклучува резиме за раководството со следните елементи:

Клучни информации:

• Датум на проценка
• Тип на проценка (BMIS/MSME)
• Класификација на субјектот (СУШТИНСКИ / ВАЖЕН / ВОН ОПСЕГ)
• Вкупен резултат на усогласеност
• Број на критични празнини

Наоди:

• Топ 5 ризици
• Области со најдобри резултати
• Области кои бараат итна акција

Препораки:

• Приоритетни активности за следните 30/60/90 дена
• Процена на потребни инвестиции
• Временска рамка за постигнување усогласеност

6.1.2 Детални резултати по домени

За секој домен се генерираат:

Општи информации:

• Име и опис на доменот
• Број на контроли
• Просечен резултат

Детали по контроли:

• ID и опис на контролата
• Тековно ниво на зрелост
• Целно ниво на зрелост
• Празнина (gap)
• Препораки за подобрување

Правни референци:

• Релевантни членови од ЗБМИС
• Референци кон NIS2 Директивата
• ISO/IEC 27001 контроли

6.1.3 Препораки за подобрување

Извештајот вклучува приоритизирани препораки:

6.2 Формати на извештај

6.2.1 PDF извештај

Структура на PDF извештајот:

1. Насловна страница
   • Име на организацијата
   • Датум на проценка
   • Верзија на документот
2. Резиме за раководството (1-2 страници)
3. Класификација на субјектот (1 страница)
4. Резултати по домени (2-4 страници)
5. Детален патоказ (3-5 страници)
6. Правни референци (1-2 страници)
7. Анекси
   • Комплетни одговори
   • Методологија

6.2.2 JSON извоз на податоци

Апликацијата овозможува извоз на податоците во JSON формат за:

• Интеграција со други системи
• Споредба на проценки
• Архивирање

Пример на JSON структура:

6.3 Употреба на извештајот

6.3.1 Интерна анализа

Цели:

• Идентификација на слабости
• Планирање на подобрувања
• Алокација на ресурси
• Следење на напредок

Препорачан пристап:

1. Презентирајте го резимето на раководството
2. Дискутирајте ги приоритетите со релевантни тимови
3. Развијте акционен план
4. Поставете рокови и одговорни лица
5. Закажете повторна проценка

6.3.2 Подготовка за надворешна ревизија

Документација за ревизори:

• Комплетен извештај од самооценување
• Докази за имплементирани контроли
• План за третман на празнини
• Временска рамка за постигнување усогласеност

Подготовка:

1. Прегледајте ги резултатите од проценката
2. Обезбедете докази за секоја контрола
3. Документирајте ги плановите за подобрување
4. Подгответе ја документацијата за регулаторот

6.3.3 Известување до регулаторни тела

6. Phase 4: Report

6.1 Report Contents

6.1.1 Executive Summary

The report includes an executive summary with the following elements:

Key Information:

• Assessment date
• Assessment type (BMIS/MSME)
• Entity classification (ESSENTIAL / IMPORTANT / OUT OF SCOPE)
• Overall compliance score
• Number of critical gaps

Findings:

• Top 5 risks
• Areas with best results
• Areas requiring urgent action

Recommendations:

• Priority activities for the next 30/60/90 days
• Estimated required investments
• Timeframe for achieving compliance

6.1.2 Detailed Results by Domain

For each domain the following is generated:

General Information:

• Domain name and description
• Number of controls
• Average score

Control Details:

• Control ID and description
• Current maturity level
• Target maturity level
• Gap
• Improvement recommendations

Legal References:

• Relevant articles from LSNIS
• References to the NIS2 Directive
• ISO/IEC 27001 controls

6.1.3 Improvement Recommendations

The report includes prioritized recommendations:

6.2 Report Formats

6.2.1 PDF Report

PDF report structure:

1. Cover Page
   • Organization name
   • Assessment date
   • Document version
2. Executive Summary (1-2 pages)
3. Entity Classification (1 page)
4. Results by Domain (2-4 pages)
5. Detailed Roadmap (3-5 pages)
6. Legal References (1-2 pages)
7. Annexes
   • Complete answers
   • Methodology

6.2.2 JSON Data Export

The application enables data export in JSON format for:

• Integration with other systems
• Assessment comparison
• Archiving

Example JSON structure:

6.3 Report Usage

6.3.1 Internal Analysis

Objectives:

• Identification of weaknesses
• Improvement planning
• Resource allocation
• Progress tracking

Recommended approach:

1. Present the executive summary to management
2. Discuss priorities with relevant teams
3. Develop an action plan
4. Set deadlines and responsible persons
5. Schedule a reassessment

6.3.2 Preparation for External Audit

Documentation for auditors:

• Complete self-assessment report
• Evidence of implemented controls
• Gap treatment plan
• Timeframe for achieving compliance

Preparation:

1. Review the assessment results
2. Provide evidence for each control
3. Document improvement plans
4. Prepare documentation for the regulator

6.3.3 Reporting to Regulatory Bodies

6. Faza 4: Raporti

6.1 Përmbajtja e raportit

6.1.1 Përmbledhja ekzekutive

Raporti përfshin një përmbledhje ekzekutive me elementet e mëposhtme:

Informacionet kryesore:

• Data e vlerësimit
• Lloji i vlerësimit (BMIS/MSME)
• Klasifikimi i subjektit (THELBËSOR / I RËNDËSISHËM / JASHTË FUSHËVEPRIMIT)
• Rezultati i përgjithshëm i përputhshmërisë
• Numri i boshllëqeve kritike

Gjetjet:

• 5 rreziqet kryesore
• Fushat me rezultatet më të mira
• Fushat që kërkojnë veprim urgjent

Rekomandimet:

• Aktivitetet prioritare për 30/60/90 ditët e ardhshme
• Vlerësimi i investimeve të nevojshme
• Korniza kohore për arritjen e përputhshmërisë

6.1.2 Rezultatet e hollësishme sipas fushave

Për secilën fushë gjenerohen:

Informacione të përgjithshme:

• Emri dhe përshkrimi i fushës
• Numri i kontrolleve
• Rezultati mesatar

Detajet e kontrolleve:

• ID-ja dhe përshkrimi i kontrollës
• Niveli aktual i maturitetit
• Niveli i synuar i maturitetit
• Boshllëku (gap)
• Rekomandimet për përmirësim

Referencat ligjore:

• Nenet relevante nga LSRSI
• Referencat ndaj Direktivës NIS2
• Kontrollet ISO/IEC 27001

6.1.3 Rekomandimet për përmirësim

Raporti përfshin rekomandime të prioritizuara:

6.2 Formatet e raportit

6.2.1 Raporti PDF

Struktura e raportit PDF:

1. Faqja e kopertinës
   • Emri i organizatës
   • Data e vlerësimit
   • Versioni i dokumentit
2. Përmbledhja ekzekutive (1-2 faqe)
3. Klasifikimi i subjektit (1 faqe)
4. Rezultatet sipas fushave (2-4 faqe)
5. Udhërrëfyesi i hollësishëm (3-5 faqe)
6. Referencat ligjore (1-2 faqe)
7. Anekset
   • Përgjigjet e plota
   • Metodologjia

6.2.2 Eksporti i të dhënave JSON

Aplikacioni mundëson eksportin e të dhënave në format JSON për:

• Integrimin me sisteme të tjera
• Krahasimin e vlerësimeve
• Arkivimin

Shembull i strukturës JSON:

6.3 Përdorimi i raportit

6.3.1 Analiza e brendshme

Objektivat:

• Identifikimi i dobësive
• Planifikimi i përmirësimeve
• Alokimi i burimeve
• Ndjekja e progresit

Qasja e rekomanduar:

1. Prezantoni përmbledhjen ekzekutive tek menaxhmenti
2. Diskutoni prioritetet me ekipet relevante
3. Zhvilloni një plan veprimi
4. Vendosni afate dhe persona përgjegjëse
5. Planifikoni një rivlerësim

6.3.2 Përgatitja për auditimin e jashtëm

Dokumentacioni për auditorët:

• Raporti i plotë i vetëvlerësimit
• Dëshmitë e kontrolleve të implementuara
• Plani i trajtimit të boshllëqeve
• Korniza kohore për arritjen e përputhshmërisë

Përgatitja:

1. Rishikoni rezultatet e vlerësimit
2. Siguroni dëshmi për secilën kontrollë
3. Dokumentoni planet e përmirësimit
4. Përgatitni dokumentacionin për rregullatorin

6.3.3 Raportimi tek organet rregullatore

7. Комплетен правен референтен водич

7.1 Закон за безбедност на мрежни и информациски системи

7.1.1 Член 4 - Опсег на примена

Исклучоци:

• Субјекти од одбраната и безбедноста
• Субјекти со помалку од 50 вработени (со исклучоци)
• Микро претпријатија (со исклучоци)

7.1.2 Член 8 - Класификација на субјекти

7.1.3 Член 20-23 - CSIRT и координација

7.1.4 Член 25 - Управување со сајбер безбедност

Барања:

• Формална организациска структура
• Јасно дефинирани улоги
• Ресурси за имплементација
• Редовно известување

7.1.5 Член 29 - Раководна одговорност

Обврски на раководството:

• Одобрување на политики
• Обезбедување на ресурси
• Надзор над имплементацијата
• Обука за сајбер безбедност

7.1.6 Член 31 - Мерки за управување со ризици

7.1.7 Член 32 - Технички и организациски мерки

7.1.8 Член 33 - Задолжително пријавување на значајни сајбер безбедносни инциденти и закани

Критериуми за значаен сајбер безбедносен инцидент (Член 16 дефиниција):

• Предизвикал или може да предизвика значително нарушување на услугите
• Предизвикал или може да предизвика финансиска загуба за субјектот
• Засегнал или може да засегне физички или правни лица со предизвикување на значителна штета

Дополнителни критериуми:

• Влијание врз критични услуги
• Број на засегнати корисници
• Времетраење на прекин
• Финансиска штета
• Потенцијално прекугранично влијание

7.1.9 Член 35 - Сертификација

Признати шеми:

• ISO/IEC 27001
• SOC 2
• Европски шеми за сертификација

7.1.10 Член 37 - Споделување на информации

Цели:

• Колективна одбрана
• Рано предупредување
• Споделување на добри практики

7.1.11 Член 39 - Обука и свесност

7.2 Член 7 од ЗБМИС - Листа на сектори

7.2.1 Член 7(1)1) - Сектори со висока критичност

7.2.2 Член 7(1)2) - Други критични сектори

7.3 Директива NIS2 (ЕУ 2022/2555)

7.3.1 Член 20 - Управување

Барања:

• Одобрување на мерки за ризик
• Надзор над имплементација
• Обука за раководството
• Одговорност за неусогласеност

7.3.2 Член 21 - Мерки за управување со ризици

Став (2) - Минимални мерки:

• (а) Политики за ризик
• (б) Ракување со инциденти
• (в) Континуитет
• (г) Синџир на снабдување
• (д) Набавка и развој
• (е) Оценување на ефективност
• (ж) Сајбер хигиена и обука
• (з) Криптографија
• (ѕ) Човечки ресурси
• (и) Автентикација и пристап

7.3.3 Член 7 - Национална стратегија

Барања за стратегијата:

• Цели и приоритети
• Рамка за управување
• Идентификација на средства
• Мерки за отпорност
• R&D план
• Едукација и свесност

7.4 Споредбена анализа ЗБМИС vs NIS2

7.4.1 Разлики во класификација

7.4.2 Построги барања во ЗБМИС

7.4.3 Табела на споредба

7. Complete Legal Reference Guide

7.1 Law on Security of Network and Information Systems

7.1.1 Article 4 - Scope of Application

Exclusions:

• Defence and security entities
• Entities with fewer than 50 employees (with exceptions)
• Micro enterprises (with exceptions)

7.1.2 Article 8 - Classification of Entities