NIS2: obveznosti podjetij in koraki do skladnosti

Kaj je NIS2 direktiva?

NIS2 (Network and Information Security Directive 2) je evropska direktiva, ki je nasledila prvotno NIS direktivo iz leta 2016. Njen cilj je povišati skupno raven kibernetske varnosti v EU. Za razliko od predhodnice pokriva bistveno več sektorjev in uvaja strožje zahteve glede varnostnih ukrepov ter poročanja o incidentih.

V Sloveniji direktivo prenaša Zakon o informacijski varnosti (ZInfV-1), ki velja od 19. junija 2025. Obseg zavezancev se je v primerjavi s prejšnjim zakonom bistveno razširil, zato zahteve zadevajo tudi podjetja, ki doslej niso bila v obsegu.

Koga NIS2 zadeva?

NIS2 razlikuje med dvema kategorijama subjektov:

• Bistveni subjekti — energetika, promet, bančništvo, zdravstvo, digitalna infrastruktura, javna uprava
• Pomembni subjekti — poštne storitve, ravnanje z odpadki, kemična industrija, prehrambena industrija, digitalni ponudniki, proizvodnja

Splošno pravilo: podjetja s 50 ali več zaposlenimi oziroma letnim prometom nad 10 milijonov EUR, ki delujejo v enem od zajemnih sektorjev, verjetno spadajo pod NIS2.

ZInfV-1: kako je NIS2 urejena v Sloveniji

Zakon razlikuje bistvene in pomembne subjekte ter jim nalaga naslednje obveznosti:

• Registracija — zavezanci se v šestih mesecih od uveljavitve zakona registrirajo pri Uradu Vlade RS za informacijsko varnost (URSIV), ki je pristojni nacionalni organ in izvaja nadzor
• Ukrepi za obvladovanje tveganj — tehnični, operativni in organizacijski ukrepi v rokih, ki jih določa zakon
• Priglasitev incidentov — pomembne incidente zavezanci priglasijo nacionalnemu odzivnemu centru SI-CERT: zgodnje opozorilo v 24 urah, priglasitev v 72 urah in končno poročilo v enem mesecu
• Odgovornost vodstva — vodstvo ukrepe potrdi, nadzira njihovo izvajanje in se usposablja s področja kibernetske varnosti

Podrobnosti o priglasitvi objavlja SI-CERT, informacije za zavezance pa URSIV.

Ključne zahteve direktive

• Upravljanje tveganj — vzpostavitev in vzdrževanje procesa za redno oceno kibernetskih tveganj
• Varnostni ukrepi — politike nadzora dostopa, MFA, šifriranje, varnostno kopiranje in disaster recovery
• Poročanje o incidentih — zgodnje opozorilo v 24 urah od zaznave pomembnega incidenta, priglasitev v 72 urah in končno poročilo v enem mesecu
• Varnost dobavne verige — pregled kibernetskih tveganj pri dobaviteljih in partnerjih
• Izobraževanje — redna usposabljanja zaposlenih in vodstva s področja kibernetske varnosti
• Osebna odgovornost vodstva — vodilni kadri so osebno odgovorni za kibernetsko varnost v organizaciji

Kaj se zgodi ob neskladnosti?

Globe za bistvene subjekte lahko dosežejo do 10 milijonov EUR ali 2% letnega prometa (kar je višje). Za pomembne subjekte je zgornja meja 7 milijonov EUR ali 1,4% letnega prometa.

Kako vam pomagamo pri uskladitvi?

Zagotavljamo celoten spekter storitev za uskladitev z ZInfV-1 in NIS2: od začetne ocene stanja in prepoznave vrzeli do izvedbe tehničnih ukrepov, priprave dokumentacije in odzivnega načrta s postopkom priglasitve. Pristop je postopen in prilagojen velikosti ter naravi vašega podjetja.