NIS2 globe in kazni v Sloveniji: kaj morate vedeti o ZInfV-1

Kaj ureja slovenski zakon o informacijski varnosti (ZInfV-1)

Slovenija je pravila evropske direktive NIS2 prenesla z zakonom Zakon o informacijski varnosti (ZInfV-1), objavljenim v Uradnem listu RS št. 40/25. Ta zakon ureja področje informacijske in kibernetske varnosti ter določa nacionalni sistem informacijske varnosti v Republiki Sloveniji.

Zakon deli zavezance na dve skupini:

• bistveni subjekt (npr. vrste subjektov iz Priloge 1, ki imajo vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov);
• pomembni subjekt (vrste subjektov iz Priloge 2 ter drugi subjekti, ki niso bistveni subjekti).

Ta razdelitev je pomembna, ker so za obe skupini predpisane različne najvišje globe. Nadzorni in pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV), ki opravlja tudi naloge inšpekcijskega nadzora prek Inšpekcije za informacijsko varnost.

Globe za bistvene subjekte (52. člen ZInfV-1)

Za najtežje kršitve obveznosti — na primer neizpolnjevanje ukrepov za obvladovanje tveganj (22. člen) ali obveznosti priglasitve incidentov (30. člen) — 52. člen ZInfV-1 za bistvene subjekte določa naslednje globe za pravno osebo:

• od 0,5 odstotka do 2 odstotka skupnega letnega prometa pravne osebe, doseženega v preteklem poslovnem letu,
• vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov,
• odvisno od tega, kateri znesek je višji.

Zakon predvideva tudi ločene globe glede na status kršitelja:

Za nekatere druge kršitve (npr. iz četrtega odstavka 52. člena) veljajo nižji razponi, na primer od 3.000 do 15.000 eurov za pravno osebo.

Globe za pomembne subjekte (53. člen ZInfV-1)

Za pomembne subjekte so najvišje globe nižje. Po 53. členu ZInfV-1 se pravna oseba za najtežje kršitve kaznuje z globo:

• od 0,3 odstotka do 1,4 odstotka skupnega letnega prometa pravne osebe, doseženega v preteklem poslovnem letu,
• vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov,
• odvisno od tega, kateri znesek je višji.

Dodatni razponi po statusu kršitelja:

Tudi tukaj velja za nekatere druge kršitve nižji razpon, na primer od 1.000 do 10.000 eurov za pravno osebo (četrti odstavek 53. člena).

Odgovornost vodstva in osebna razsežnost

Ena od ključnih novosti NIS2 je poudarjena odgovornost vodstva. Po direktivi (EU) 2022/2555 (art 20(1)) morajo poslovodni organi bistvenih in pomembnih subjektov odobriti ukrepe za obvladovanje tveganj za kibernetsko varnost, nadzorovati njihovo izvajanje in so lahko odgovorni za kršitve teh obveznosti.

Slovenski ZInfV-1 to razsežnost odraža tudi na ravni sankcij: poleg globe za pravno osebo zakon predvideva ločene globe za odgovorno osebo. Konkretno:

• pri bistvenih subjektih se odgovorna oseba pravne osebe za najtežje kršitve kaznuje z globo od 1.000 do 10.000 eurov (52. člen);
• pri pomembnih subjektih znaša globa za odgovorno osebo od 1.000 do 7.000 eurov (53. člen).

To pomeni, da odgovornost ni več le vprašanje podjetja kot celote — vodstvo in odgovorne osebe se lahko soočijo z osebnimi globami. Prav zato je smiselno, da vodstvo aktivno spremlja izvajanje varnostnih ukrepov iz 22. člena zakona. Med temi ukrepi je izrecno navedena tudi podpora vodstva subjekta pri zagotavljanju informacijske in kibernetske varnosti ter vključitev tega področja v letni načrt poslovanja.

Kako zmanjšati tveganje za globe

Globe se v praksi izrekajo za neizpolnjevanje jasno določenih obveznosti. Najpomembnejši sklopi so:

• Ukrepi za obvladovanje tveganj (22. člen) — tehnični, operativni in organizacijski ukrepi, vključno z varnostjo dobavne verige, kibernetsko higieno, večfaktorsko avtentikacijo in podporo vodstva.
• Priglasitev pomembnih incidentov (30. člen) — zgodnje sporočilo pristojni skupini CSIRT v 24 urah po zaznavi pomembnega incidenta in priglasitev incidenta v 72 urah, čemur sledita vmesno in končno poročilo (najpozneje v enem mesecu).
• Redno preverjanje izpolnjevanja varnostnih ukrepov najmanj enkrat letno in takojšnji popravni ukrepi ob ugotovljenih pomanjkljivostih.

Praktičen prvi korak je ugotoviti, ali vaše podjetje sploh spada med zavezance in ali je bistveni ali pomembni subjekt. Za to lahko uporabite naš brezplačni pripomoček za scoping in oceno vrzeli (gap analiza), ki vam pomaga hitro določiti status po ZInfV-1 in prepoznati manjkajoče ukrepe. Za pravno zavezujočo presojo posameznih dolžnosti se posvetujte s partnerskim odvetnikom.