ZInfV-1: rok 19. december 2026 za varnostno dokumentacijo in ukrepe

Kaj se zgodi 19. decembra 2026

Zakon o informacijski varnosti (ZInfV-1) velja od 19. junija 2025. Za večino bistvenih in pomembnih subjektov je določil 18-mesečno prehodno obdobje: ukrepe za obvladovanje tveganj iz 21. in 22. člena morajo sprejeti v osemnajstih mesecih od uveljavitve zakona (62. člen). Ta rok poteče 19. decembra 2026.

Po tem datumu Inšpekcija za informacijsko varnost pri Uradu Vlade RS za informacijsko varnost (URSIV) pri nadzoru pričakuje, da ima zavezanec varnostno dokumentacijo izdelano in ukrepe uvedene. Krajši rok, eno leto od uveljavitve, je že potekel za nekdanje izvajalce bistvenih storitev, organe državne uprave in operaterje elektronskih komunikacij.

Ali ste zavezanec

Zavezanci so subjekti iz sektorjev, naštetih v prilogah zakona (med drugim energetika, promet, bančništvo, zdravstvo, oskrba z vodo, digitalna infrastruktura, upravljanje storitev IKT, poštne storitve, ravnanje z odpadki, kemična in prehrambna industrija, proizvodnja, digitalni ponudniki), ki imajo hkrati:

• vsaj 50 zaposlenih in
• letni promet ali letno bilančno vsoto vsaj 10 milijonov evrov.

Nekateri subjekti so zavezanci ne glede na velikost, na primer ponudniki javnih elektronskih komunikacij, ponudniki storitev zaupanja, registri domen in ponudniki storitev DNS ter subjekti javne uprave na državni ravni. Zavezanec se mora sam registrirati pri URSIV v 30 dneh od dneva, ko izpolni merila; prehodni rok za prvo registracijo je potekel 19. decembra 2025. Če podjetje izpolnjuje merila in še ni registrirano, je registracija prvi korak.

Kaj mora biti pripravljeno: varnostna dokumentacija (21. člen)

Bistveni in pomembni subjekti vzpostavijo in vzdržujejo dokumentiran sistem upravljanja varovanja informacij in sistem upravljanja neprekinjenega poslovanja. Zakon določa najmanjšo vsebino:

• Politika varnosti omrežnih in informacijskih sistemov (ali področne politike).
• Popis sredstev — informacijska in druga sredstva ter podatki, potrebni za delovanje, z njihovimi upravljavci.
• Analiza obvladovanja tveganj s sprejemljivo ravnjo tveganja in opisom metodologije.
• Politika in načrt neprekinjenega poslovanja, vključno z oceno vpliva na poslovanje, minimalno ravnjo poslovanja in upravljanjem varnostnih kopij.
• Načrt obnovitve sistemov po prekinitvi delovanja.
• Načrt odzivanja na incidente s protokolom obveščanja skupine CSIRT.
• Načrt varnostnih ukrepov, prilagojen tveganjem subjekta.
• Politika presoje učinkovitosti ukrepov s kazalniki in analizo podatkov.

Če podjetje že ima varnostno dokumentacijo po drugih predpisih ali standardih (na primer ISO/IEC 27001), jo dopolni z zahtevami zakona; ni treba začeti znova. URSIV na svojih straneh objavlja vzorčno dokumentacijo za manjše in srednje organizacije.

Kaj mora biti uvedeno: varnostni ukrepi (22. člen)

Ukrepi morajo biti sorazmerni izpostavljenosti tveganjem, velikosti subjekta ter verjetnosti in resnosti incidentov. Zakon našteva najmanj sedemnajst področij; v praksi se jih da združiti v šest sklopov:

• Vodstvo in kadri — podpora vodstva, vključitev varnosti v letni načrt, integriteta kadrov ob zaposlitvi, med njo in ob odhodu, osnovna kibernetska higiena in usposabljanje.
• Dostopi — preverjanje identitete, upravljanje pooblastil, večfaktorska avtentikacija, kjer to zahtevajo tveganja.
• Podatki in kontinuiteta — varnostne kopije, kriptografija in šifriranje, dnevniški zapisi o delovanju sistemov.
• Sistemi in omrežje — upravljanje sistemov z jasno odgovornostjo, upravljanje prometa in komunikacij, zaščita pred zlonamerno kodo in zaznavanje vdorov, upravljanje ranljivosti.
• Dobavna veriga in oblak — minimalne varnostne zahteve za ključne dobavitelje, politike uporabe oblačnih storitev, varnost pri razvoju in vzdrževanju programske opreme.
• Fizično varovanje in komunikacije — varovanje prostorov s ključnimi sistemi, varne komunikacije in sistemi za komunikacijo v sili, kjer je to primerno.

Kdo odgovarja: vodstvo

Za izvajanje ukrepov so odgovorne odgovorne osebe subjekta — tisti, ki vodijo in upravljajo poslovanje (20. člen). Ukrepe morajo odobriti in nadzirati njihovo izvajanje. Odgovorne osebe se morajo s področja obvladovanja tveganj informacijske in kibernetske varnosti izobraževati najmanj vsaka štiri leta, zagotoviti morajo redno usposabljanje zaposlenih in letno usposabljanje vseh skrbnikov informacijsko-komunikacijskih sistemov.

Kaj sledi po roku

• Ocena ali samoocena skladnosti — bistveni subjekti izvedejo oceno skladnosti (revizijo) najmanj enkrat na dve leti, pomembni subjekti samooceno na enak način; obe tudi po pomembnem incidentu.
• Priglasitev incidentov — pomembne incidente subjekt priglasi skupini CSIRT: zgodnje sporočilo najpozneje v 24 urah po zaznavi, priglasitev najpozneje v 72 urah in končno poročilo najpozneje v enem mesecu po priglasitvi.
• Nadzor in globe — za neizpolnjevanje obveznosti iz 21. in 22. člena zakon za bistvene subjekte predvideva globo od 0,5 do 2 odstotkov letnega prometa (najmanj 10.000 in največ 10.000.000 evrov), za pomembne subjekte od 0,3 do 1,4 odstotka (najmanj 7.000 in največ 7.000.000 evrov). Globo lahko dobi tudi odgovorna oseba, in sicer do 10.000 oziroma 7.000 evrov.

Kako se lotiti v preostalih tednih

• 1. teden — potrdite, ali ste zavezanec in v kateri kategoriji, ter preverite registracijo pri URSIV.
• 1.–2. teden — popis sredstev in analiza vrzeli: kaj od zahtev iz 21. in 22. člena že imate, kaj manjka.
• 2.–4. teden — analiza tveganj s sprejemljivo ravnjo tveganja; na njej temeljijo vsi ostali dokumenti.
• 3.–6. teden — politike in načrti (varnost, neprekinjeno poslovanje, obnovitev, odzivanje na incidente s protokolom za CSIRT).
• vzporedno — tehnični ukrepi z največjim učinkom: večfaktorska prijava, preverjene varnostne kopije, dnevniški zapisi, upravljanje ranljivosti.
• pred rokom — odobritev ukrepov s strani vodstva, zapisnik in načrt usposabljanj.

Ukrepov, ki niso dokončani do roka, ni smiselno skrivati: dokumentiran načrt z roki in odgovornimi osebami je pri nadzoru bistveno boljše izhodišče kot nedokumentirano stanje. Za hiter pregled stanja je na voljo brezplačna samoocena informacijske varnosti po metodologiji URSIV.

Pogosta vprašanja

Do kdaj morajo zavezanci po ZInfV-1 sprejeti varnostno dokumentacijo in ukrepe?
Večina bistvenih in pomembnih subjektov do 19. decembra 2026 (18 mesecev od uveljavitve zakona). Nekdanji izvajalci bistvenih storitev, organi državne uprave in operaterji elektronskih komunikacij so imeli rok eno leto.

Ali je podjetje s 50 zaposlenimi samodejno zavezanec?
Ne. Pogoji so trije hkrati: dejavnost iz prilog zakona, vsaj 50 zaposlenih in letni promet ali bilančna vsota vsaj 10 milijonov evrov. Nekateri subjekti so zavezanci ne glede na velikost.

Ali zadostuje certifikat ISO/IEC 27001?
Je dobra osnova, ni pa samodejno dovolj. Obstoječo dokumentacijo je treba dopolniti z zahtevami 21. in 22. člena ZInfV-1, na primer s protokolom obveščanja CSIRT in pravili za dobavno verigo.

Kdo je odgovoren, če podjetje ni skladno?
Pravna oseba in odgovorne osebe, ki vodijo poslovanje. Zakon za oboje predvideva globe, odgovorne osebe pa morajo ukrepe odobriti in nadzirati.