NIS2 in Cyberbeveiligingswet: ali za moje podjetje veljata?
Od 15. avgusta 2026 na Nizozemskem velja Zakon o kibernetski varnosti. Morda ste izraz NIS2 že slišali od stranke, dobavitelja ali svetovalca. V tem članku na kratko preberete, kaj zakon je, za koga velja in kaj pomeni za majhno podjetje, za katero sam ne velja.
Ta članek ponuja splošno razlago in ni pravni nasvet. Veljavna pravila najdete pri NCSC in v besedilu zakona.
Kaj je to?
NIS2 je evropska direktiva iz leta 2022 (Direktiva (EU) 2022/2555), ki naj bi organizacije v pomembnih sektorjih naredila digitalno odpornejše. Vsaka država direktivo prenese v svoj zakon. Na Nizozemskem je to Zakon o kibernetski varnosti (Cbw). Zakon velja od 15. avgusta 2026, brez prehodnega obdobja, in nadomešča prejšnji Zakon o varnosti omrežij in informacijskih sistemov (Wbni). Po podatkih NCSC zanj velja več kot 8.000 organizacij. NCSC je kontaktna točka.
Ali zakon velja za moje podjetje?
To je odvisno od dveh vprašanj: Vašega sektorja in Vaše velikosti.
1. Ali delujete v sektorju, ki ga navaja zakon?
| Priloga 1 | Priloga 2 |
|---|---|
| Energetika, promet, bančništvo, infrastruktura finančnega trga, zdravstvo, pitna voda, odpadna voda, digitalna infrastruktura, upravljanje storitev IKT, javna uprava, vesolje | Poštne in kurirske storitve, ravnanje z odpadki, kemikalije, živila, proizvodnja (predelovalna industrija), ponudniki digitalnih storitev, raziskave |
Za nekatere sektorje veljajo dodatni pogoji. Zakon torej ne velja samodejno za vsako podjetje, ki se kakor koli ukvarja z živili.
2. Ali ste dovolj veliki? Na kratko: zakon velja za srednje velike in velike organizacije. Upoštevajo Vas, če:
- imate 50 ali več zaposlenih (ekvivalent polnega delovnega časa), ali
- imate manj kot 50 zaposlenih, vendar tako Vaš letni promet kot Vaša bilančna vsota presegata 10 milijonov evrov.
Upoštevajo se tudi partnerska in povezana podjetja. Podjetje z 20 zaposlenimi, ki spada v skupino z 200 zaposlenimi, je torej lahko vseeno zavezano zakonu.
Izjeme, ne glede na velikost. Za nekatere vrste organizacij zakon velja vedno, ne glede na to, kako majhne so. Na primer za ponudnike storitev DNS, registre vrhnjih domen, ponudnike javnih elektronskih komunikacijskih omrežij in storitev, ponudnike storitev zaupanja in organizacije javne uprave. Če ste določeni po Zakonu o odpornosti kritičnih subjektov, za Vas velja tudi Zakon o kibernetski varnosti.
Preverite sami s samooceno
Nizozemski državni inšpektorat za digitalno infrastrukturo (RDI) ponuja brezplačno samooceno NIS2. Odgovorite na vprašanja o svojem sektorju, velikosti in storitvah ter prejmete rezultat. Iz njega je razvidno tudi, ali ste bistveni ali pomembni subjekt. Razlika je predvsem v nadzoru: pri bistvenih subjektih lahko nadzorni organ preverja tudi na lastno pobudo, pri pomembnih subjektih predvsem naknadno. Ali Vaše podjetje spada v skupino ali delujete v več državah? V tem primeru Vam pomagajo smernice NCSC za kompleksne poslovne modele.
Kaj morate storiti, če zakon velja za Vas?
- Registracija. Svojo organizacijo prijavite prek portala MijnNCSC.
- Dolžnost upravljanja tveganj. Izdelate analizo tveganj in sprejmete ustrezne in sorazmerne ukrepe. NCSC navaja vsaj deset področij, med drugim obravnavo incidentov, varnostne kopije in obnovo, varnost dobavne verige, usposabljanje, posodobitve, upravljanje dostopa, večfaktorsko avtentikacijo ali ključe za dostop (passkeys), šifriranje in preverjanje, ali Vaši ukrepi delujejo. Uprava ukrepe odobri in nadzoruje njihovo izvajanje.
- Obveznost poročanja. Pomemben incident prijavite prek portala MijnNCSC: v 24 urah zgodnje opozorilo, v 72 urah prijavo s prvo oceno resnosti in vpliva ter v enem mesecu končno poročilo.
Ta prijava je ločena od obveznosti prijave kršitev varnosti osebnih podatkov po Splošni uredbi o varstvu podatkov (GDPR). Ta velja za vse, ki obdelujejo osebne podatke, tudi za samostojne podjetnike, kršitev pa prijavite nizozemskemu organu za varstvo osebnih podatkov. Kdaj gre za kršitev varnosti osebnih podatkov in ali jo morate prijaviti, preberete v članku Ali gre za kršitev varnosti osebnih podatkov in ali jo moram prijaviti? Napad, pri katerem so bili ukradeni tudi podatki strank, bo torej morda treba prijaviti obema organoma.
Zakon za Vas ne velja? Veriga Vas lahko vseeno doseže
Za večino majhnih podjetij zakon ne velja. V tem primeru nimate obveznosti registracije, obveznosti poročanja NCSC in niste pod nadzorom. Vendar morajo organizacije, za katere zakon velja, upoštevati tudi tveganja pri svojih neposrednih dobaviteljih in ponudnikih storitev. Po navedbah NCSC zakon dobaviteljem samim ne nalaga obveznosti, stranke pa lahko postavijo zahteve glede njihove digitalne varnosti. Te so nato zapisane v pogodbi ali vprašalniku.
Ali dobavljate večji organizaciji, na primer kot izdelovalec spletnih strani, skrbnik IT ali računovodski servis? Potem lahko prejmete vprašanja, kot so: ali uporabljate dvostopenjsko preverjanje, kdo ima dostop do naših podatkov, kje so varnostne kopije in kako hitro prijavite incident?
- Zahteve morajo biti sorazmerne tveganju Vaše storitve. Dobavitelj z dostopom do sistemov dobi strožje zahteve kot pek, ki dostavi kosilo.
- Gre za neposredne dobavitelje. Dobavitelji Vaših dobaviteljev niso zajeti.
- Zakon ne predpisuje certifikata. Ta lahko pomaga v pogovoru, vendar ni jamstvo.
- Začnite pravočasno: preglejte, katere ukrepe že imate, in dogovore s stranko zapišite.
Več branja
- NCSC: Zakon o kibernetski varnosti (NIS2)
- NCSC: Ali za mojo organizacijo velja Zakon o kibernetski varnosti?
- NCSC: Dolžnost upravljanja tveganj
- NCSC: Obveznost poročanja
- NCSC: Zakon o kibernetski varnosti in dobavitelji
- RDI: Samoocena NIS2
- Besedilo Zakona o kibernetski varnosti
Želite izvedeti več? Obiščite brezplačni tečaj Varno na spletu za podjetnike, lekcija 9.1 NIS2 in Zakon o kibernetski varnosti.