NIS2 in Zakon o kibernetski varnosti: ali to velja tudi za Vaše podjetje?
Od 15. avgusta 2026 na Nizozemskem velja Zakon o kibernetski varnosti (Cyberbeveiligingswet). Morda ste izraz NIS2 že slišali od stranke, dobavitelja ali svetovalca. V tem članku na kratko preberete, kaj je ta zakon, za koga velja in kaj pomeni za malo podjetje, ki samo ne sodi vanj.
Ta članek podaja splošno razlago in ni pravni nasvet. Aktualna pravila najdete pri NCSC in v besedilu zakona.
Kaj je to?
NIS2 je evropska direktiva iz leta 2022 (Direktiva (EU) 2022/2555), katere namen je organizacije v pomembnih sektorjih narediti digitalno bolj odporne. Vsaka država direktivo prenese v svoj zakon. Na Nizozemskem je to Zakon o kibernetski varnosti (Cbw). Zakon velja od 15. avgusta 2026, brez prehodnega obdobja, in nadomešča prejšnji Zakon o varnosti omrežij in informacijskih sistemov (Wbni). Po podatkih NCSC zanj velja več kot 8.000 organizacij. NCSC je kontaktna točka.
Ali zanj velja tudi moje podjetje?
To je odvisno od dveh vprašanj: Vašega sektorja in Vaše velikosti.
1. Ali delujete v sektorju, ki ga zakon zajema?
| Priloga 1 | Priloga 2 |
|---|---|
| Energetika, promet, bančništvo, infrastruktura finančnega trga, zdravstvo, pitna voda, odpadna voda, digitalna infrastruktura, upravljanje IKT storitev, javna uprava, vesolje | Poštne in kurirske storitve, ravnanje z odpadki, kemične snovi, živila, proizvodnja (predelovalna industrija), digitalni ponudniki, raziskave |
Za nekatere sektorje veljajo dodatni pogoji. Ne velja torej samodejno za vsako podjetje, ki se ukvarja z živili.
2. Ali ste dovolj veliki? Na kratko, zakon velja za srednje velike in velike organizacije. Štejete, če:
- imate 50 ali več zaposlenih (FTE), ali
- imate manj kot 50 zaposlenih, vendar sta tako Vaš letni prihodek kot Vaša bilančna vsota nad 10 milijonov evrov.
Partnerska podjetja in povezana podjetja se štejejo zraven. Podjetje z 20 zaposlenimi, ki spada v skupino 200 zaposlenih, lahko torej vseeno sodi pod zakon.
Izjeme, ne glede na velikost. Nekatere vrste organizacij zanj vedno veljajo, ne glede na to, kako majhne so. Na primer ponudniki storitev DNS, registri vrhnjih domen, ponudniki javnih elektronskih komunikacijskih omrežij in storitev, ponudniki storitev zaupanja ter organizacije javne uprave. Če ste določeni v okviru Zakona o odpornosti kritičnih subjektov, potem zanj velja tudi Zakon o kibernetski varnosti.
Preverite sami s samoocenjevanjem
Nizozemski državni inšpektorat za digitalno infrastrukturo (RDI) ponuja brezplačno samoocenjevanje za NIS2. Odgovorite na vprašanja o Vašem sektorju, velikosti in storitvah ter prejmete rezultat. Iz tega je razvidno tudi, ali ste bistveni ali pomemben subjekt. Razlika je predvsem v nadzoru: pri bistvenih subjektih sme nadzorni organ preverjati tudi na lastno pobudo, pri pomembnih subjektih predvsem naknadno. Ali Vaše podjetje spada v skupino ali delujete v več državah? Takrat Vam lahko pomaga priročnik za kompleksne poslovne modele, ki ga pripravlja NCSC.
Kaj morate storiti, če zanj veljate?
- Registracija. Svojo organizacijo prijavite prek MijnNCSC.
- Skrbna dolžnost. Izdelate analizo tveganja in sprejmete ustrezne in sorazmerne ukrepe. NCSC navaja vsaj deset področij, med drugim obravnavo incidentov, varnostne kopije in obnovitev, varnost Vaše dobavne verige, usposabljanje, posodobitve, upravljanje dostopa, večfaktorsko avtentikacijo ali dostopne ključe (passkeys), šifriranje ter preverjanje, ali Vaši ukrepi delujejo. Uprava ukrepe odobri in izvaja nadzor.
- Obveznost prijave. Pomemben incident prijavite prek MijnNCSC: v 24 urah prvo opozorilo, v 72 urah prijavo s prvo oceno resnosti in vpliva ter v enem mesecu končno poročilo.
Ta prijava je ločena od obveznosti prijave kršitev varstva osebnih podatkov po GDPR. Ta velja za vsakogar, ki obdeluje osebne podatke, tudi za samostojnega podjetnika, prijavite pa jo pri nizozemskem nadzornem organu za varstvo osebnih podatkov (Autoriteit Persoonsgegevens). Napad, pri katerem so bili ukradeni tudi podatki strank, je torej morda treba prijaviti na obeh mestih.
Ali zanj ne veljate? Veriga Vas lahko vseeno prizadene
Večina malih podjetij ne sodi pod ta zakon. V tem primeru nimate obveznosti registracije, obveznosti prijave pri NCSC niti nadzora. Vendar morajo organizacije, za katere zakon velja, upoštevati tudi tveganja pri svojih neposrednih dobaviteljih in izvajalcih storitev. Po navedbah NCSC zakon dobaviteljem samim ne nalaga obveznosti, vendar lahko stranke od njih zahtevajo ustrezno digitalno varnost. Te zahteve se nato zapišejo v pogodbo ali vprašalnik.
Ali dobavljate večji organizaciji, na primer kot izdelovalec spletnih strani, IT upravljavec ali računovodski servis? Takrat lahko prejmete vprašanja, kot so: ali uporabljate dvostopenjsko preverjanje pristnosti, kdo ima dostop do naših podatkov, kje se nahajajo varnostne kopije in kako hitro prijavite incident?
- Zahteve morajo biti sorazmerne s tveganjem Vaše storitve. Dobavitelj z dostopom do sistemov dobi strožje zahteve kot pek, ki prinese kosilo.
- Gre za neposredne dobavitelje. Dobavitelji Vaših dobaviteljev niso zajeti.
- Zakon ne predpisuje certifikata. Ta lahko pomaga pri pogovoru, vendar ni jamstvo.
- Začnite pravočasno: popišite, katere ukrepe že imate, in dogovore s stranko zapišite.