NIS2 in ZInfV-1 za energetska podjetja v Sloveniji: elektrika, plin, nafta in daljinsko ogrevanje
Zakonodaja: Slovenija · ZInfV-1
Kratek odgovor: da, energetika je zajeta
Da. Energetika je v Sloveniji zajeta v Prilogo 1 Zakona o informacijski varnosti (ZInfV-1, Uradni list RS št. 40/25), ki določa visoko kritične sektorje; energija je v njej naveden kot sektor 1 s podsektorji elektrika, daljinsko ogrevanje in hlajenje, nafta, plin in vodik.
Ali je vaše podjetje bistveni subjekt ali pomembni subjekt, se presoja po 7. členu ZInfV-1 — torej po tem, ali vaša vrsta dejavnosti ustreza opisu iz Priloge 1 in ali dosegate velikostne pragove.
Kaj storite najprej: primerjajte svojo dejansko dejavnost z besedilom vrste subjekta v Prilogi 1 (na primer dobava električne energije, distribucijski operater, upravljavec daljinskega ogrevanja, upravljavec naftovoda, operater distribucijskega sistema za plin), nato preverite število zaposlenih, letni promet in letno bilančno vsoto po 7. členu. Rezultat te samoocene določi, kateri sklop obveznosti in kateri razpon glob velja za vas.
Kako zakon poimenuje energetski sektor (Priloga 1 ZInfV-1)
Besedilo Priloge 1 ZInfV-1 za podsektor elektrika se glasi dobesedno:
> Energija (a) elektrika ‒ elektroenergetska podjetja, kot so opredeljena v 16. točki 4. člena Zakona o oskrbi z električno energijo (Uradni list RS, št. 172/21; v nadaljnjem besedilu: ZOEE) in ki opravljajo dejavnosti dobave, kot je opredeljena v 13. točki 4. člena ZOEE ‒ distribucijski operaterji, kot so opredeljeni v 12. točki 4. člena ZOEE
Priloga 1 v podsektorju elektrika navaja še sistemske operaterje (76. točka 4. člena ZOEE), proizvajalce (62. točka 4. člena ZOEE), imenovane operaterje trga električne energije, udeležence na trgu, ki opravljajo storitve agregiranja, prilagajanja odjema ali shranjevanja energije, ter upravljavce polnilnih mest.
Drugi energetski podsektorji iz Priloge 1:
- (b) daljinsko ogrevanje in hlajenje — upravljavci daljinskega ogrevanja ali daljinskega hlajenja, kot je opredeljeno v 2. točki 4. člena Zakona o učinkoviti rabi energije (ZURE);
- (c) nafta — upravljavci naftovodov, upravljavci obratov za proizvodnjo, rafiniranje in predelavo nafte ter upravljavci skladišč in transporta nafte, pa tudi osrednji organi za vzdrževanje varnostnih zalog;
- (č) plin — dobavitelji, operaterji distribucijskega sistema, operaterji prenosnega sistema, operaterji skladiščnega sistema, operaterji sistema za UZP, podjetja plinskega gospodarstva ter upravljavci obratov za rafiniranje in predelavo zemeljskega plina, vsi kot so opredeljeni v 3. členu Zakona o oskrbi s plini (ZOP);
- (d) vodik — upravljavci proizvodnje, shranjevanja in prenosa vodika.
Za uvrstitev torej ni odločilna panoga v splošnem smislu, temveč vloga, ki jo ima podjetje po energetski zakonodaji, na katero se Priloga 1 izrecno sklicuje.
Bistveni ali pomembni subjekt: pragovi po 7. členu
7. člen ZInfV-1 zavezance deli na bistvene in pomembne subjekte.
Bistveni subjekt je po drugem odstavku 7. člena med drugim:
- vrsta subjekta iz Priloge 1, ki ima vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov;
- subjekt, ki je določen kot kritični na podlagi zakona, ki ureja kritično infrastrukturo;
- vrsta subjekta iz Priloge 1, ki jo na predlog pristojnega nacionalnega organa z odločbo določi vlada.
Pomembni subjekt je po tretjem odstavku 7. člena med drugim vsak drug subjekt ali organ iz prejšnjega člena, ki ni bistveni subjekt po drugem odstavku. Energetsko podjetje, ki ustreza vrsti subjekta iz Priloge 1, a ne dosega zgornjih velikostnih pragov in ni določeno kot kritično, torej praviloma ni zunaj dosega zakona — obravnava se kot pomembni subjekt.
Zoper odločbe iz 5. točke drugega odstavka ter iz prve in druge alineje tretjega odstavka 7. člena pritožba ni dovoljena, dovoljen pa je upravni spor.
Praktično: razlika med statusoma vpliva predvsem na nadzor in na razpone glob, ne pa na vsebino varnostnih ukrepov — te 22. člen nalaga bistvenim in pomembnim subjektom enako.
Osnovne obveznosti: varnostni ukrepi in odgovornost vodstva
Po prvem odstavku 22. člena ZInfV-1 morajo bistveni in pomembni subjekti sprejeti tehnične, operativne in organizacijske ukrepe za zagotavljanje celovitosti, avtentičnosti, zaupnosti in razpoložljivosti omrežnih in informacijskih sistemov.
Drugi odstavek 22. člena določa minimalni obseg ukrepov, med drugim:
- podporo vodstva subjekta pri zagotavljanju informacijske in kibernetske varnosti ter vključitev tega področja v letni načrt poslovanja ali letni program dela;
- osnovne prakse kibernetske higiene in usposabljanje;
- varnost človeških virov, preverjanje identitete uporabnikov in upravljanje pooblastil za dostop;
- izvajanje in upravljanje varnostnih kopij podatkov;
- zagotavljanje in ohranjanje dnevniških zapisov v skladu s 24. členom;
- politike in postopke v zvezi z uporabo kriptografije in po potrebi s šifriranjem;
- varnost dobavne verige z minimalnimi zahtevami za ključne dobavitelje in ponudnike storitev;
- fizično in tehnično varovanje prostorov, kjer so ključni deli omrežnih in informacijskih sistemov;
- upravljanje in preprečevanje izrab tehničnih ranljivosti ter zaščito pred zlonamerno programsko kodo;
- uporabo večfaktorske avtentikacije ali rešitev neprekinjene avtentikacije, kadar je to potrebno zaradi obvladovanja tveganj;
- politike in postopke v zvezi z uporabo oblačnih storitev.
Ukrepi morajo biti sorazmerni: po tretjem odstavku 22. člena se upoštevajo stopnja izpostavljenosti tveganjem, velikost subjekta, verjetnost pojava incidentov in resnost morebitnih incidentov. Po petem odstavku 22. člena je treba izpolnjevanje ukrepov preverjati najmanj enkrat letno ter ob zaznanih ranljivostih, ob pomanjkljivem izvajanju pa nemudoma sprejeti popravne ukrepe. Po trinajstem odstavku 22. člena morajo biti ukrepi tudi preverljivi, tako da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi.
Na ravni EU Direktiva (EU) 2022/2555 v art 20(1) določa, da poslovodni organi bistvenih in pomembnih subjektov odobrijo ukrepe za obvladovanje tveganj, nadzorujejo njihovo izvajanje in lahko odgovarjajo za kršitve.
Za postopek registracije oziroma vpisa zavezanca preverite objavljene smernice pristojnega nacionalnega organa — to je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) po 10. členu ZInfV-1.
Priglasitev incidentov: roki po 30. členu
Bistveni in pomembni subjekti pomembne incidente priglasijo pristojni skupini CSIRT. Prvi odstavek 30. člena ZInfV-1 določa naslednje zaporedje:
| Korak | Rok | Vsebina |
|---|---|---|
| Zgodnje sporočilo | nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta | ali je bil incident domnevno povzročen z nezakonitim ali zlonamernim dejanjem in ali bi lahko imel čezmejni vpliv |
| Priglasitev incidenta | nemudoma, najpozneje pa v 72 urah po zaznavi pomembnega incidenta | posodobitev prejšnjih informacij, začetna ocena resnosti in vpliva ter kazalniki ogroženosti, kadar so na voljo |
| Vmesno poročilo | na zahtevo skupine CSIRT | posodobitve stanja |
| Končno poročilo | najpozneje v enem mesecu po predložitvi priglasitve incidenta | podroben opis incidenta, vrsta grožnje ali temeljni vzrok, izvedeni blažilni ukrepi in po potrebi čezmejni vpliv |
Če incident ob predložitvi končnega poročila še vedno poteka, subjekt predloži poročilo o napredku, končno poročilo pa najpozneje en mesec po rešitvi incidenta.
Pristojna skupina CSIRT po tretjem odstavku 30. člena odgovori nemudoma in po možnosti v 24 urah po prejemu zgodnjega sporočila, vključno z začetnimi povratnimi informacijami in na zahtevo z operativnim nasvetom glede blažilnih ukrepov.
Točen elektronski kanal za priglasitev pri pristojni skupini CSIRT preverite po objavljenih smernicah pristojnega nadzornega organa: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV).
Globe: 52. in 53. člen ZInfV-1
Za bistvene subjekte 52. člen ZInfV-1 določa globo v višini od 0,5 odstotka do 2 odstotkov skupnega letnega prometa pravne osebe, doseženega v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji. Med naštetimi prekrški so tudi neizpolnitev obveznosti iz 22. člena (varnostni ukrepi) in iz prvega ali drugega odstavka 30. člena (priglasitev incidenta). Samostojni podjetnik posameznik se kaznuje z globo od 5.000 do 25.000 eurov, odgovorna oseba pravne osebe pa z globo od 1.000 do 10.000 eurov.
Za pomembne subjekte 53. člen ZInfV-1 določa globo od 0,3 odstotka do 1,4 odstotka skupnega letnega prometa, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji. Samostojni podjetnik posameznik, ki je pomembni subjekt, se kaznuje z globo od 3.000 do 20.000 eurov, odgovorna oseba pa z globo od 1.000 do 7.000 eurov.
Naloge inšpekcijskega nadzora po ZInfV-1 opravlja pristojni nacionalni organ prek Inšpekcije za informacijsko varnost, ki je njegova notranja organizacijska enota (10. člen).
Šifre dejavnosti (NACE Rev. 2)
Vnosi tega sektorja v prilogah NIS2 ustrezajo ena proti ena naslednjim šifram dejavnosti NACE Rev. 2. Seznam zajema samo enoznačna ujemanja — nekateri vnosi so opredeljeni z dejavnostjo samo, ne s šifro.
NACE 35.1 — Oskrba z električno energijoNACE 35.30 — Oskrba s paro in vročo vodoNACE 35.2 — Oskrba s plinastimi goriviNACE 06 — Pridobivanje surove nafte in zemeljskega plinaNACE 19.20 — Proizvodnja naftnih derivatovNACE 49.50 — Cevovodni transport
Šifre dejavnosti SKD 2025 v tem sektorju
Šifre so povezane samodejno: šifre NACE Rev. 2 sektorja so prek uradne Eurostatove pretvorbene tabele povezane z razredi NACE Rev. 2.1 in od tam s šiframi SKD 2025. Kadar ujemanje ni enoznačno, je šifra izpuščena — seznam je namenoma prej ožji kot širši.
SKD 06.100 — Pridobivanje surove nafteSKD 06.200 — Pridobivanje zemeljskega plinaSKD 19.200 — Proizvodnja rafiniranih naftnih proizvodov in proizvodov iz fosilnih gorivSKD 35.110 — Proizvodnja električne energije iz neobnovljivih virovSKD 35.120 — Proizvodnja električne energije iz obnovljivih virovSKD 35.130 — Prenos električne energijeSKD 35.140 — Distribucija električne energijeSKD 35.150 — Trgovanje z električno energijoSKD 35.160 — Shranjevanje električne energijeSKD 35.210 — Proizvodnja plinaSKD 35.220 — Distribucija plinastih goriv po plinovodni mrežiSKD 35.230 — Trgovanje s plinastimi gorivi po plinovodni mrežiSKD 35.300 — Oskrba s paro in hladnim zrakomSKD 35.400 — Dejavnosti posrednikov in agentov za električno energijo in zemeljski plinSKD 49.500 — Cevovodni transport
Je vaša šifra SKD na seznamu? Preverite, ali NIS2 velja za vas
Glejte tudi stran sektorja: Energetika
Pogosta vprašanja
Ali ZInfV-1 velja tudi za majhno energetsko podjetje pod velikostnimi pragovi?
Velikostni pragovi iz drugega odstavka 7. člena (vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letna bilančna vsota vsaj 43 milijonov eurov) odločajo o statusu bistvenega subjekta. Po tretjem odstavku 7. člena so pomembni subjekti tudi drugi subjekti ali organi iz prejšnjega člena, ki niso bistveni subjekti. Manjše podjetje, ki ustreza vrsti subjekta iz Priloge 1, torej praviloma ostane zavezanec, vendar v razredu pomembnega subjekta.
Ima energetika po ZInfV-1 posebne varnostne ukrepe, drugačne od drugih sektorjev?
22. člen ZInfV-1 nalaga varnostne ukrepe bistvenim in pomembnim subjektom enako, brez posebnega seznama ukrepov za energetiko. Razlikuje se sorazmernost izvedbe: po tretjem odstavku 22. člena se upoštevajo stopnja izpostavljenosti tveganjem, velikost subjekta, verjetnost pojava incidentov in resnost morebitnih incidentov.
Komu in v kakšnih rokih priglasimo pomemben incident?
Priglasitev se predloži pristojni skupini CSIRT. Zgodnje sporočilo je treba predložiti nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta, priglasitev incidenta pa nemudoma, najpozneje pa v 72 urah po zaznavi (30. člen). Končno poročilo sledi najpozneje v enem mesecu po predložitvi priglasitve incidenta.
Kdo je nadzorni organ za informacijsko varnost v Sloveniji?
Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (10. člen ZInfV-1). Med drugim koordinira nacionalni sistem informacijske varnosti, nudi zavezancem strokovno podporo ter opravlja naloge inšpekcijskega nadzora prek Inšpekcije za informacijsko varnost.
Preverite svojo skladnost z NIS2
Začnite brezplačno preverjanje področja uporabe
Izvedite brezplačno samooceno Zaženite brezplačen zunanji varnostni pregled
Celovit vodnik NIS2 — Slovenija →
Oglejte si brezplačen vzorčni paket →
Ta članek vsebuje splošne informacije, ne pravni nasvet. Za svojo konkretno situacijo se posvetujte s kvalificiranim strokovnjakom.
Vsebina temelji na različici zakona ZInfV-1, veljavni od 2025-06-04 (kontrolna vsota 128ea10f4d33).