Modul 9 · 9.1
NIS2 in Zakon o informacijski varnosti (ZInfV-1)
Modul 9: Pravila in organizacija · Čas branja: 11 minut
Učni cilj: Po tej lekciji boste znali razložiti, kaj ureja evropska direktiva NIS2 in njen slovenski prenos, za koga velja in kaj to prek dobavne verige pomeni za majhna podjetja.
Ključni pojmi: NIS2, Zakon o informacijski varnosti (ZInfV-1), ključni in pomembni subjekt, sektor, velikost, dolžnost skrbnega ravnanja, obveznost prijave (24 ur, 72 ur, 1 mesec), registracijska obveznost, dobavna veriga, samoocena
Od evropske direktive do nacionalnega zakona
NIS2 je evropska direktiva iz leta 2022 (Direktiva (EU) 2022/2555), katere namen je povečati digitalno odpornost pomembnih organizacij po vsej EU. Direktiva ne velja neposredno: vsaka država jo prenese v svoj zakon. V Sloveniji je to Zakon o informacijski varnosti (ZInfV-1), ki velja od 19. junija 2025. Na Nizozemskem je bila direktiva prenesena v Nizozemski zakon o kibernetski varnosti (Cyberbeveiligingswet, Cbw), ki je tam začel veljati 15. avgusta 2026, brez prehodnega obdobja, hkrati z Zakonom o odpornosti kritičnih subjektov in Odlokom o kibernetski varnosti, v katerih so pravila podrobneje razdelana.
Po navedbah nizozemskega nacionalnega centra za kibernetsko varnost (NCSC) na Nizozemskem pod ta zakon spada dobrih 8.000 organizacij. To je majhen del vseh podjetij na Nizozemskem. Za večino majhnih podjetij zato ni ključno vprašanje "kaj moram narediti zaradi zakona?", temveč "kaj od mene zahtevajo moje stranke, ker spadajo pod zakon?". K temu se vrnemo kasneje.
V Sloveniji je kontaktna točka za vprašanja o informacijski varnosti in prijavo subjektov Urad Vlade RS za informacijsko varnost (URSIV), https://www.gov.si/drzavni-organi/vladne-sluzbe/urad-vlade-za-informacijsko-varnost/. Za obravnavo incidentov in strokovno pomoč je na voljo SI-CERT, https://www.cert.si/.
Ali spadate pod zakon? Sektor in velikost
Ali organizacija spada pod ZInfV-1, je odvisno od dveh vprašanj.
1. Ali delujete v sektorju, ki ga zakon zajema? Zakon ima dve prilogi.
| Priloga 1 (11 sektorjev) | Priloga 2 (7 sektorjev) |
|---|---|
| energetika, promet, bančništvo, pitna voda, digitalna infrastruktura, upravljanje IKT storitev, vesolje, infrastruktura finančnega trga, zdravstvo, odpadne vode, javna uprava | digitalni ponudniki, poštne in kurirske storitve, ravnanje z odpadki, živilski proizvodi, kemične snovi, raziskave, predelovalna dejavnost |
Za nekatere sektorje veljajo dodatni pogoji, ki jih določi pristojno ministrstvo. Ni torej tako, da bi vsaka organizacija, ki ima kakršno koli vlogo pri "živilskih proizvodih", samodejno spadala pod zakon.
2. Ali ste dovolj veliki? Vaša organizacija šteje, če:
- imate 50 ali več zaposlenih (FTE), ali
- imate manj kot 50 zaposlenih, vendar sta Vaš letni promet in Vaša bilančna vsota oba višja od 10 milijonov evrov.
Upoštevajo se tudi partnerska in povezana podjetja. Podjetje z 20 zaposlenimi, ki je del skupine s 200 zaposlenimi, lahko torej vseeno spada pod zakon.
Izjeme: ne glede na velikost. Nekatere vrste organizacij vedno spadajo pod zakon, ne glede na velikost: ponudniki storitev DNS, registri vrhnjih domen, ponudniki javnih elektronskih komunikacijskih omrežij in storitev, ponudniki storitev zaupanja ter javne organizacije. Tudi ponudniki storitev registracije domenskih imen se morajo registrirati.
Ključni ali pomembni subjekt
Organizacije, ki spadajo pod zakon, so ključni ali pomembni subjekti. Poenostavljeno: velike organizacije v sektorjih iz priloge 1 in nekaj vrst subjektov, ki so ne glede na velikost določeni posebej, so ključni subjekti; preostali so pomembni. Razlika je predvsem v nadzoru: pri ključnih subjektih lahko nadzorni organ preverja tudi na lastno pobudo, na primer z inšpekcijami in revizijami; pri pomembnih subjektih ukrepa predvsem naknadno, če obstajajo znaki, da nekaj ni v redu. Same obveznosti so v veliki meri enake. Ali ste ključni ali pomembni subjekt, lahko ugotovite s samooceno.
Kako preveriti sami
Za ugotavljanje, ali organizacija spada pod ZInfV-1, in za podrobnosti o postopku registracije se obrnite na URSIV, https://www.gov.si/drzavni-organi/vladne-sluzbe/urad-vlade-za-informacijsko-varnost/. Na Nizozemskem ima tamkajšnja Rijksinspectie Digitale Infrastructuur (RDI) brezplačno samooceno za Cbw. Odgovorite na niz vprašanj o sektorju, velikosti in storitvah ter dobite rezultat. Če ste v dvomih, na primer ker je Vaše podjetje del skupine ali deluje v več državah, poiščite usmeritve pristojnega organa za Vaš primer.
Kaj zahteva zakon
Če Vaša organizacija spada pod zakon, veljajo tri obveznosti.
Registracijska obveznost
Svojo organizacijo prijavite v register subjektov. V Sloveniji se subjekti samoregistrirajo pri URSIV, https://www.gov.si/drzavni-organi/vladne-sluzbe/urad-vlade-za-informacijsko-varnost/. Na Nizozemskem poteka registracija prek portala MijnNCSC. Tako oblast ve, kdo spada pod zakon, in Vas lahko obvesti ob grožnji.
Dolžnost skrbnega ravnanja
Izdelate analizo tveganj in na njeni podlagi sprejmete ustrezne in sorazmerne ukrepe za varnost svojih omrežnih in informacijskih sistemov. Nizozemski NCSC navaja vsaj deset področij, ki ste jih v tem tečaju vsa že spoznali:
- analiza tveganj (lekcija 1.1 in 9.3);
- obravnava incidentov z načrtom za ukrepanje ob incidentu (lekcija 8.1);
- priprava na izpad: varnostne kopije, načrti za obnovitev, obvladovanje kriz (modul 6);
- varnost dobavne verige, vključno s tveganji dobaviteljev (lekcija 7.2);
- kibernetska higiena in usposabljanje (lekcija 9.2);
- varna nabava, razvoj in vzdrževanje sistemov, vključno s posodobitvami (lekcija 5.1);
- kadri, politika dostopa ter upravljanje naprav in programske opreme (lekcija 7.1);
- passkeyi ali večfaktorsko preverjanje pristnosti ter varna komunikacija (modul 2);
- politika za kriptografijo (šifriranje);
- ocenjevanje, ali ukrepi delujejo, na primer z rednim testiranjem (lekcija 6.3 in 9.3).
Za to je odgovorno vodstvo: ta potrdi ukrepe in nadzira njihovo izvajanje. Po evropski direktivi se morajo člani vodstva udeležiti tudi usposabljanja o kibernetskih tveganjih. Kibernetska varnost torej ni več zgolj opravilo, ki ga prepustite osebi, zadolženi za IT.
Obveznost prijave
Pomemben incident prijavite pristojnemu organu. V Sloveniji to pomeni prijavo URSIV oziroma SI-CERT, https://www.cert.si/. Na Nizozemskem incident prijavite NCSC prek portala MijnNCSC. Gre za incident, ki resno moti Vašo storitev, povzroča finančno škodo ali lahko povzroči veliko škodo pri drugih; natančni pragovi se razlikujejo po sektorjih. Roki tečejo od trenutka, ko za incident izveste:
| Rok | Kaj pošljete |
|---|---|
| V 24 urah | Zgodnje opozorilo: ali gre domnevno za zlonamerno dejanje, ali obstajajo čezmejne posledice, kdo je kontaktna oseba |
| V 72 urah | Prijava incidenta: posodobitev s prvo oceno resnosti in vpliva |
| V 1 mesecu po prijavi | Končno poročilo: kaj se je zgodilo, vzrok in sprejeti ukrepi (če incident traja dlje: vmesno poročilo o napredku) |
Ena sama prijava doseže tako ekipo za odzivanje na incidente (CSIRT) kot nadzorni organ. Poleg tega morate uporabnike svojih storitev po potrebi obvestiti o pomembnih incidentih, ki bi lahko vplivali nanje.
Prijava po zakonu o informacijski varnosti in prijava po GDPR: dve različni stvari
To je podobno obveznosti prijave kršitev varstva osebnih podatkov po GDPR (lekcija 8.2), in "72 ur" se pojavlja pri obeh. Vendar gre za dve ločeni obveznosti.
| Zakon o informacijski varnosti (NIS2) | GDPR (kršitev varstva podatkov) | |
|---|---|---|
| Za koga | Organizacije, ki spadajo pod ta zakon | Vsakdo, ki obdeluje osebne podatke, tudi samostojni podjetnik |
| O čem | Pomembni incidenti pri Vaših storitvah | Kršitve varnosti osebnih podatkov |
| Komu | Pristojnemu nacionalnemu organu (v Sloveniji URSIV/SI-CERT) | Informacijskemu pooblaščencu |
| Roki | 24 ur, 72 ur, 1 mesec | Brez nepotrebnega odlašanja, po možnosti v 72 urah |
Napad z izsiljevalsko programsko opremo pri organizaciji, ki spada pod ta zakon, pri katerem so bili ukradeni tudi podatki strank, je torej treba prijaviti obema organoma. In majhno podjetje, ki sicer ne spada pod ta zakon, ima vseeno obveznost prijave po GDPR, če uhajajo osebni podatki.
Če ne spadate pod zakon: dobavna veriga
Za večino bralcev tega tečaja je odgovor na prvo vprašanje: ne, moje podjetje ne spada pod ta zakon. Pekarna z dvanajstimi zaposlenimi, računovodski servis s petimi, samostojni izdelovalec spletnih strani. Takrat nimate zakonskih obveznosti iz tega zakona: ni registracije, ni obveznosti prijave pristojnemu organu, ni nadzora.
Vendar Vas zakon lahko doseže prek Vaših strank. Organizacije, ki spadajo pod zakon, morajo zavarovati svojo dobavno verigo: upoštevati morajo ranljivosti svojih neposrednih dobaviteljev in ponudnikov storitev. Nizozemski NCSC piše, da nizozemski zakon dobaviteljem samim ne nalaga obveznosti, vendar lahko organizacije, ki spadajo pod zakon, od svojih dobaviteljev zahtevajo ustrezno raven digitalne varnosti. Te zahteve se nato znajdejo v Vaši pogodbi ali v vprašalniku.
Primer. Majhno IT podjetje s šestimi zaposlenimi upravlja prenosnike in omrežje srednje velikega prevozniškega podjetja s 140 zaposlenimi. Prevozniško podjetje spada pod zakon (promet, dovolj veliko). IT podjetje samo ne spada pod zakon: "upravljanje IKT storitev" sicer je v prilogi 1, vendar je podjetje premajhno. Kljub temu prejme vprašalnik: ali imate na orodjih za upravljanje vklopljeno dvostopenjsko preverjanje, kdo ima dostop do naših sistemov, kako hitro nam prijavite incident, kje se nahajajo varnostne kopije?
Kaj o tem pravi nizozemski NCSC in kaj to pomeni za Vas:
- Zahteve morajo biti ustrezne. Stranka naj presoja tveganje, ki ga njena storitev predstavlja zanjo. Dobavitelj z dostopom do sistemov dobi strožje zahteve kot pek, ki dostavlja kosilo.
- Gre za neposredne dobavitelje. Dobavitelji Vaših dobaviteljev ne spadajo pod ta zakon.
- Certifikat ni obvezen. Zakon ne predpisuje nobenega znaka kakovosti. Certifikat lahko olajša pogovor, vendar ni jamstvo in ni zakonska zahteva.
- Z razgovorom začnite zgodaj. Popišite ukrepe, ki jih že imate na mestih, kjer prihajate v stik s stranko, in dogovore zapišite.
Torej ne pretiravajte. Ta zakon iz majhnega podjetja ne naredi organizacije, "zavezane po NIS2", in svetovalec, ki Vam to pove, da bi Vam prodal drago certificiranje, Vam pove le del zgodbe. A tega tudi ne podcenjujte: kdor dobavlja večjim organizacijam, mora vedno pogosteje dokazati, da ima osnove urejene. Osnovni ukrepi iz tega tečaja so prav tisto, kar tak vprašalnik navadno zahteva.
Ta lekcija daje splošno razlago in ni pravni nasvet. Za veljavna nizozemska pravila glejte https://www.ncsc.nl/cyberbeveiligingswet-nis2 (nizozemski vir) in besedilo zakona na https://wetten.overheid.nl/BWBR0052872/2026-08-15/0 (nizozemski vir). Za slovenske predpise glejte https://pisrs.si/pregledPredpisa?id=ZAKO8934.
Povzetek
- ZInfV-1 je slovenski prenos NIS2 in velja od 19. junija 2025; na Nizozemskem je ustrezni zakon, Cyberbeveiligingswet, začel veljati 15. avgusta 2026, brez prehodnega obdobja.
- Pod zakon spadate, če delujete v sektorju iz priloge 1 ali 2 in imate 50 ali več zaposlenih, ali če imata Vaš letni promet in bilančna vsota oba vrednost nad 10 milijonov evrov; nekatere vrste subjektov (kot so ponudniki storitev DNS in javna uprava) spadajo pod zakon ne glede na velikost.
- Obveznosti: registracija pri pristojnem organu, dolžnost skrbnega ravnanja z analizo tveganj in ustreznimi ukrepi pod odgovornostjo vodstva, ter prijava pomembnih incidentov v 24 urah, 72 urah in 1 mesecu.
- Prijava po tem zakonu je ločena od prijave kršitve varstva osebnih podatkov po GDPR; včasih je treba prijaviti oboje.
- Majhno podjetje samo običajno ne spada pod zakon, lahko pa prek strank, ki spadajo pod zakon, dobi ustrezne varnostne zahteve.
Kviz
Naloga
Naloga A9.1: Ali spada pod Zakon o informacijski varnosti? Dobite šest kratkih opisov organizacij (sektor, število zaposlenih, promet, bilančna vsota, morebitna skupina ali velika stranka). Za vsako organizacijo določite: spada pod zakon, ne spada pod zakon, a bo verjetno prejela zahteve prek stranke, ali ne spada pod zakon. Program preveri odgovore in za vsako organizacijo prikaže korake odločitvenega drevesa.
Za nadaljnje branje
O zakonu o informacijski varnosti (NIS2) v bazi znanja WebOké še ni članka; uporabite uradne vire.
- Nizozemski NCSC, Cyberbeveiligingswet (NIS2) (nizozemski vir): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Nizozemski NCSC, Ali moja organizacija spada pod Cyberbeveiligingswet (NIS2)? (nizozemski vir): https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Nizozemski NCSC, Dolžnost skrbnega ravnanja (nizozemski vir): https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Nizozemski NCSC, Obveznost prijave (nizozemski vir): https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Nizozemski NCSC, Cyberbeveiligingswet in dobavitelji (nizozemski vir): https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- Nizozemska samoocena NIS2 (RDI) (nizozemski vir): https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Besedilo nizozemskega zakona Cyberbeveiligingswet (nizozemski vir): https://wetten.overheid.nl/BWBR0052872/2026-08-15/0