ZInfV-1 in NIS 2
NIS 2 je direktiva s katero želi Evropska unija doseči visoko raven kibernetske varnosti, dodatno izboljšati kibernetsko odpornost in odzivnost v primeru varnostnih incidentov v državah EU.
ZInfV-1 je Zakon o informacijski varnosti, s katerim Slovenija prenaša evropsko direktivo NIS 2 v svoj pravni red. Ureja varnost omrežij in informacijskih sistemov ter določa obveznosti zavezancev.
ZInfV (2018) je bil prvi slovenski zakon o informacijski varnosti in je prenašal prvo direktivo NIS. ZInfV-1 (2025) ga nadomešča in prenaša novejšo direktivo NIS 2 – bistveno razširja krog zavezancev in sektorjev, uvaja delitev na bistvene in pomembne subjekte, strožje zahteve za obvladovanje tveganj, jasnejše roke za prijavo incidentov ter višje globe.
Direktiva NIS 2 in ZInfV-1 veljata za srednja in velika podjetja v določenih javnih in zasebnih sektorjih, ki ponujajo bistvene ali pomembne storitve. ZInfV-1 zavezance deli na bistvene in pomembne subjekte, pri čemer nekateri subjekti (npr. ponudniki DNS, storitev zaupanja, javnih elektronskih komunikacij) veljajo za zavezance ne glede na velikost. Zavezanci se morajo pri Uradu Vlade RS za informacijsko varnost (URSIV) tudi sami priglasiti – opraviti t. i. samoregistracijo.
Zavezanci po NIS 2 oziroma ZInfV-1 bodo morali slediti strožjim zahtevam za zagotavljanje kibernetske varnosti, poročanje in zagotavljanje neprekinjenega poslovanja v primeru varnostnih incidentov.
Direktivo NIS 2 so morale države EU v nacionalni pravni red prenesti do 17. oktobra 2024. Slovenija je to storila z Zakonom o informacijski varnosti (ZInfV-1), ki je bil sprejet 10. aprila 2025 in velja od 19. junija 2025. Od tega datuma tečejo tudi roki za zavezance – med drugim rok za samoregistracijo in rok za uvedbo varnostnih ukrepov (18 mesecev od uveljavitve zakona).
Da bi bili skladni z direktivo NIS 2, morate izvesti vrsto ukrepov za izboljšanje kibernetske varnosti v organizaciji. Tukaj je nekaj ključnih korakov:
1. Ocenite tveganja in pomanjkljivosti
2. Vzpostavite ustrezne varnostne politike in postopke
3. Izobražujte in osveščajte zaposlene
4. Vzpostavite odziv na incidente
5. Upravljanje dobaviteljev
6. Redno posodabljajte IT-sisteme
7. Skladnost z zakonodajo
8. Vodenje dokumentacije
Direktivi NIS in NIS 2 imata nekaj ključnih razlik:
1. Razširjen obseg
2. Izboljšane varnostne zahteve
3. Postopek poročanja o incidentih
4. Nadzor in izvrševanje
5. Usklajevanje med državami članicami
6. Odzivnost na grožnje
7. Višje globe za neupoštevanje direktive
Kazni ob neupoštevanju direktive NIS 2 so precej stroge in obsegajo več vrst sankcij, ki se lahko naložijo organizacijam. Glavne vrste kazni vključujejo:
Visoke denarne kazni:
Za bistvene subjekte znašajo najvišje globe do 10 milijonov evrov ali 2 % skupnega letnega prometa podjetja, za pomembne subjekte pa do 7 milijonov evrov ali 1,4 % letnega prometa (velja višji znesek). Poleg glob so možne tudi pravne posledice za vodstvo, začasne omejitve poslovanja in javna objava kršitev.
Pravne posledice za vodstvo organizacije:
Nespoštovanje direktive lahko povzroči pravne posledice za vodstvo organizacije. Vodje in člani uprave so lahko osebno odgovorni za neskladnost.
Omejitve obratovanja:
Državni organi za kibernetsko varnost imajo pooblastilo, da uvedejo omejitve ali celo prepovedi obratovanja za organizacije, ki kritično ne upoštevajo zahtev direktive.
Javne objave o kršitvah:
Obstaja možnost, da bodo informacije o kršitvah in neskladnostih javno objavljene, kar lahko negativno vpliva na ugled podjetja.
Imenovanje posebnega nadzornika:
V primeru resnih kršitev lahko državni organi imenujejo posebnega nadzornika za spremljanje izvajanja varnostnih ukrepov znotraj organizacije.
Uvedba teh strožjih kazni in sankcij cilja na izboljšanje kibernetske varnosti organizacij ter zagotavljanje skladnosti z evropskimi standardi.
Zakon o informacijski varnosti (ZInfV-1) je Državni zbor sprejel 10. aprila 2025, veljati pa je začel 19. junija 2025. Z njim je Slovenija v svoj pravni red prenesla evropsko direktivo NIS 2 in nadomestila prejšnji zakon ZInfV iz leta 2018.
Zavezanci morajo sami oceniti, ali izpolnjujejo pogoje za zavezanca, in se priglasiti (samoregistrirati) pri pristojnem organu. Roki so:
- subjekti, ki so pogoje izpolnjevali že 19. junija 2025, so se morali registrirati v šestih mesecih, tj. do 19. decembra 2025;
- subjekti, ki pogoje izpolnijo kasneje, se morajo registrirati v 30 dneh od izpolnitve pogojev;
- če subjekt prejme odločbo o določitvi za zavezanca, rok 30 dni teče od vročitve odločbe.
Samoregistracija ni enkratno dejanje – podatke je treba posodabljati ob vsaki spremembi.
Mehanizem za samoregistracijo upravlja Urad Vlade Republike Slovenije za informacijsko varnost (URSIV). Registracija poteka prek spletnega obrazca oziroma portala URSIV, kjer subjekt sporoči osnovne podatke o organizaciji, sektorju in kontaktni osebi za informacijsko varnost.
ZInfV-1 zavezance deli v dve kategoriji z različno strogim nadzorom in sankcijami:
- Bistveni subjekti so praviloma večje organizacije (npr. ≥ 250 zaposlenih ali ≥ 50 mio EUR letnega prometa) iz najbolj kritičnih sektorjev (Priloga 1) ter nekateri subjekti ne glede na velikost. Zanje velja proaktiven (predhoden) nadzor in najvišje globe – do 10 mio EUR ali 2 % letnega prometa.
- Pomembni subjekti so praviloma srednja podjetja (≥ 50 zaposlenih in ≥ 10 mio EUR prometa/bilance) iz sektorjev iz Priloge 2. Zanje velja naknadni (reaktiven) nadzor in nižje najvišje globe – do 7 mio EUR ali 1,4 % letnega prometa.
Zakon pokriva bistveno širši nabor sektorjev kot prejšnja ureditev. Med sektorje visoke kritičnosti sodijo: energetika, promet, bančništvo, infrastruktura finančnega trga, zdravstvo, pitna voda, odpadna voda, digitalna infrastruktura, upravljanje storitev IKT, javna uprava in vesolje.
Med druge kritične sektorje sodijo: poštne in kurirske storitve, ravnanje z odpadki, proizvodnja in distribucija kemikalij, proizvodnja in distribucija živil, proizvodnja (medicinski pripomočki, računalniki in elektronika, stroji, vozila), ponudniki digitalnih storitev (spletne tržnice, spletni iskalniki, platforme družbenih omrežij) ter raziskovalne organizacije.
Praviloma ne – velja t. i. pravilo velikostne kapice, po katerem so zavezanci srednja in velika podjetja. Kljub temu pa velikost ne izvzame nekaterih subjektov, ki so zavezanci ne glede na število zaposlenih, na primer: ponudniki javnih elektronskih komunikacijskih omrežij in storitev, ponudniki storitev zaupanja, registri vrhnjih domen in ponudniki storitev DNS, subjekti javne uprave ter subjekti, ki so edini ponudnik ključne storitve v državi ali bi njihova motnja povzročila sistemsko tveganje.
Za pomembne incidente veljajo stopenjski roki za obveščanje pristojnega organa oziroma CSIRT:
- 24 ur – zgodnje opozorilo o pomembnem incidentu;
- 72 ur – priglasitev incidenta z začetno oceno (resnost, vpliv, morebitni kazalniki ogroženosti);
- 1 mesec – končno poročilo s podrobnim opisom incidenta, vzrokov in sprejetih ukrepov.
Za nadzor nad izvajanjem zakona skrbi Inšpekcija za informacijsko varnost v okviru Urada Vlade RS za informacijsko varnost (URSIV). Vlogo nacionalnega odzivnega centra za kibernetsko varnost (CSIRT) opravlja SI-CERT, ki sprejema prijave incidentov in nudi pomoč pri njihovem obvladovanju.
Zakon izrecno naslavlja odgovornost vodstva. Poslovodstvo mora odobriti in nadzorovati izvajanje ukrepov za obvladovanje kibernetskih tveganj ter se redno usposabljati na področju informacijske varnosti. Za neizpolnjevanje obveznosti so lahko odgovorni tudi člani vodstva osebno, ne le organizacija.
Zavezanci morajo pri obvladovanju tveganj upoštevati tudi varnost dobavne verige – torej tveganja, ki izhajajo iz njihovih dobaviteljev in ponudnikov storitev (npr. ponudnikov IT in oblačnih storitev). To vključuje presojo varnostnih praks dobaviteljev in vključitev varnostnih zahtev v pogodbena razmerja.
Zavezanci morajo ukrepe za obvladovanje tveganj informacijske varnosti vzpostaviti v 18 mesecih od uveljavitve zakona. Ne glede na prehodne roke pa je priporočljivo z aktivnostmi (ocena tveganj, politike, priglasitev) začeti čim prej, saj obveznost prijave incidentov in samoregistracije velja že prej.
Zavezanost ugotovite s samoocenitvijo: preverite, ali vaša dejavnost sodi v sektorje navedene sektorje in ali izpolnjujete velikostne pragove (število zaposlenih ter promet oz. bilančna vsota), pri čemer upoštevajte tudi izjeme, ki veljajo ne glede na velikost. Pri presoji pomagajo pojasnila k ZInfV-1, ki jih objavlja URSIV. V primeru dvoma se je smiselno posvetovati s strokovnjakom za informacijsko varnost.
