NIS2 in ZInfV-1 za ponudnike digitalne infrastrukture v Sloveniji: oblak, podatkovni centri in elektronske komunikacije

Kratek odgovor: da, digitalna infrastruktura je zajeta

Digitalna infrastruktura je v Sloveniji izrecno navedena med visoko kritičnimi sektorji: gre za sektor 8. Digitalna infrastruktura iz Priloga 1 Zakona o informacijski varnosti (ZInfV-1, Uradni list RS št. 40/25). Ponudniki storitev računalništva v oblaku, ponudniki storitev podatkovnih centrov ter ponudniki javnih elektronskih komunikacijskih omrežij in javno dostopnih elektronskih komunikacijskih storitev so torej med vrstami subjektov, ki jih zakon lahko zajame.

Ali ste dejansko zavezanec in ali ste bistveni subjekt ali pomembni subjekt, določa 7. člen ZInfV-1 — odvisno od vrste storitve in velikosti podjetja. Prvi korak je preprost: preverite, ali se vaša dejanska storitev ujema z eno od vrst subjektov iz Priloga 1, in šele nato uporabite velikostna merila iz 7. člen.

Kako zakon poimenuje sektor: dobesedno besedilo iz Priloge 1

Sektor 8. Digitalna infrastruktura iz Priloga 1 ZInfV-1 zajema naslednje vrste subjektov (dobesedno):

• ponudniki stičišča omrežij
• ponudniki storitev DNS, razen upravljavcev korenskih imenskih strežnikov
• registri TLD imen
• ponudniki storitev računalništva v oblaku
• ponudniki storitev podatkovnih centrov
• ponudniki omrežij za dostavo vsebin
• ponudniki storitev zaupanja
• ponudniki javnih elektronskih komunikacijskih omrežij
• ponudniki javno dostopnih elektronskih komunikacijskih storitev

Pomembno je, da zakon zavezanost veže na vrsto opravljene storitve, ne na to, kako se podjetje samo predstavlja na trgu. Ključne opredelitve najdete v 5. člen ZInfV-1, med drugim:

• storitev v oblaku je digitalna storitev, ki omogoča upravljanje na zahtevo in širok oddaljeni dostop do prožnega in po obsegu prilagodljivega nabora deljivih računalniških virov, tudi kadar so ti viri porazdeljeni na več lokacijah;
• storitev podatkovnega centra je storitev, ki vključuje strukture ali skupine struktur, namenjene centralizirani namestitvi, medsebojnemu povezovanju in delovanju opreme za informacijsko tehnologijo in omrežne opreme, za storitve shranjevanja, obdelave in prenosa podatkov, skupaj z vsemi zmogljivostmi in infrastrukturami za zagotavljanje nemotene dobave električne energije in zahtevanih okoljskih razmer;
• elektronska komunikacijska storitev zajema storitev dostopa do interneta, medosebno komunikacijsko storitev ter storitve, ki so v celoti ali pretežno sestavljene iz prenosa signalov.

Če upravljate proizvode IKT, omrežja ali infrastrukturo za stranke, bodite pozorni tudi na sektor 9. Upravljanje storitev IKT (med podjetji) iz Priloga 1, ki zajema ponudnike upravljanih storitev in ponudnike upravljanih varnostnih storitev.

Bistveni ali pomembni subjekt: razredi in velikostni pragovi

Razvrstitev ureja 7. člen ZInfV-1. Za digitalno infrastrukturo so bistvena naslednja pravila:

Bistveni subjekti so med drugim:

• vrste subjektov iz Priloga 1, ki imajo vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov;
• ponudniki kvalificiranih storitev zaupanja in registri TLD imen ter ponudniki storitev DNS, ne glede na njihovo velikost;
• ponudniki javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev, ki imajo vsaj 50 zaposlenih in letni promet ali letno bilančno vsoto vsaj 10 milijonov eurov;
• subjekti, ki so določeni kot kritični na podlagi zakona, ki ureja kritično infrastrukturo.

Pomembni subjekti so vrste subjektov iz Priloga 2 ter drugi subjekti ali organi iz zakona, ki niso bistveni subjekti na podlagi drugega odstavka 7. člen.

Za manjšega ponudnika oblaka ali podatkovnega centra to praktično pomeni: če ne dosežete pragov za bistveni subjekt, to še ne pomeni, da niste zavezanec — lahko ste pomembni subjekt. Ponudnik storitev DNS ali register TLD imen pa je bistveni subjekt tudi kot mikro podjetje.

Vlada lahko z odločbo določi tudi dodatne subjekte iz Priloga 1 in Priloga 2 na predlog pristojnega nacionalnega organa; zoper te odločbe pritožba ni dovoljena, dovoljen pa je upravni spor (7. člen).

Temeljne obveznosti: varnostni ukrepi in odgovornost vodstva

Ukrepe za obvladovanje tveganj ureja 22. člen ZInfV-1. Zakon jih nalaga enako bistvenim in pomembnim subjektom — sektor digitalne infrastrukture nima ločenega, strožjega seznama ukrepov. Varnostni ukrepi morajo temeljiti na pristopu upoštevanja vseh nevarnosti in obsegati najmanj:

• podporo vodstva subjekta pri zagotavljanju informacijske in kibernetske varnosti ter vključitev tega področja v letni načrt poslovanja ali letni program dela;
• zagotavljanje integritete kadrov pred zaposlitvijo, med njo in ob prenehanju ali spremembi zaposlitve;
• osnovne prakse kibernetske higiene in usposabljanje;
• preverjanje identitete uporabnikov in upravljanje pooblastil za dostop;
• izvajanje in upravljanje varnostnih kopij podatkov;
• zagotavljanje in ohranjanje dnevniških zapisov;
• politike in postopke v zvezi z uporabo kriptografije in po potrebi s šifriranjem;
• upravljanje prometa in komunikacij;
• varnost dobavne verige z minimalnimi zahtevami za ključne dobavitelje ali ponudnike storitev;
• fizično in tehnično varovanje prostorov, kjer so ključni deli omrežnih in informacijskih sistemov;
• varnostne mehanizme v aplikativni programski opremi, vključno z obravnavanjem in razkrivanjem ranljivosti;
• upravljanje in preprečevanje izrab tehničnih ranljivosti;
• zaščito pred zlonamerno programsko kodo ter zaznavanje poskusov vdorov;
• uporabo večfaktorske avtentikacije ali rešitev neprekinjene avtentikacije, kadar je to potrebno zaradi obvladovanja tveganj;
• politike in postopke v zvezi z uporabo oblačnih storitev.

Dodatno velja za vaš sektor: ponudniki storitev DNS, registri TLD imen, ponudniki storitev računalništva v oblaku, ponudniki storitev podatkovnih centrov, ponudniki omrežij za dostavo vsebine, ponudniki upravljanih storitev in upravljanih varnostnih storitev ter ponudniki storitev zaupanja pri sprejetju varnostnih ukrepov upoštevajo izvedbene akte Evropske komisije iz prvega pododstavka petega odstavka 21. člena Direktive 2022/2555/EU (22. člen).

Ukrepi morajo biti sorazmerni: upoštevajo se stopnja izpostavljenosti tveganjem, velikost subjekta, verjetnost pojava incidentov in resnost morebitnih incidentov. Izpolnjevanje ukrepov je treba preverjati najmanj enkrat letno (ali v rednih obdobjih, opredeljenih v lastni politiki) in ob zaznanih ranljivostih; ob ugotovljenem pomanjkljivem izvajanju je treba nemudoma sprejeti popravne ukrepe. Ukrepi morajo biti tudi preverljivi, tako da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi (22. člen).

Glede natančnega postopka in rokov registracije zavezancev preverite objavljene smernice pristojnega nadzornega organa: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) — uradni vir.

Priglasitev incidentov: roki in pristojni organ

Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (10. člen), ki opravlja tudi naloge inšpekcijskega nadzora prek Inšpekcije za informacijsko varnost.

Postopek priglasitve pomembnih incidentov ureja 30. člen. Bistveni in pomembni subjekti pristojni skupini CSIRT predložijo:

Če incident ob predložitvi končnega poročila še vedno poteka, subjekt predloži poročilo o napredku, končno poročilo pa najpozneje en mesec po rešitvi incidenta.

Posebnost za ponudnike storitev zaupanja: v zvezi s pomembnimi incidenti, ki vplivajo na zagotavljanje njihovih storitev, priglasijo incident pristojni skupini CSIRT nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta (30. člen).

Pristojna skupina CSIRT nemudoma in po možnosti v 24 urah po prejemu zgodnjega sporočila odgovori z začetnimi povratnimi informacijami, na zahtevo pa tudi z usmeritvami ali operativnim nasvetom glede blažilnih ukrepov. Priglasitve potekajo tudi po namenski digitalni platformi, ki jo vzpostavi pristojni nacionalni organ. Točen elektronski kanal za priglasitev preverite v objavljenih smernicah pristojnega nadzornega organa (URSIV, uradni vir).

Globe: kaj tvegate ob neizpolnjevanju

Prekrške ureja 52. člen (bistveni subjekti) in 53. člen (pomembni subjekti). Med drugim se kaznuje neizpolnjevanje obveznosti iz 22. člen (varnostni ukrepi) in 30. člen (priglasitev incidentov).

Globe zadenejo tudi posameznike: samostojni podjetnik posameznik se pri bistvenih subjektih kaznuje z globo od 5.000 do 25.000 eurov, pri pomembnih subjektih od 3.000 do 20.000 eurov. Odgovorna oseba pravne osebe se kaznuje z globo od 1.000 do 10.000 eurov (52. člen) oziroma od 1.000 do 7.000 eurov (53. člen). Za lažje kršitve (na primer obveznosti iz 20. člena ali 25. člena) so predpisane nižje globe: od 3.000 do 15.000 eurov za pravno osebo pri bistvenih subjektih in od 1.000 do 10.000 eurov pri pomembnih subjektih.

Naslednji korak za ponudnika oblaka, podatkovnega centra ali elektronskih komunikacij je preprost: opravite strukturirano samooceno — najprej ujemanje storitve z vrsto subjekta iz Priloga 1, nato velikostna merila iz 7. člen, nato stanje ukrepov iz 22. člen in pripravljenost postopka priglasitve po 30. člen.