NIS2 in slovenski zakon ZInfV-1: povezava, pristojni organ in kaj dodaja nacionalni zakon

Od direktive NIS2 do slovenskega zakona

Evropska direktiva NIS2 (Direktiva (EU) 2022/2555) določa skupni okvir za visoko raven kibernetske varnosti po vsej Evropski uniji. Ker gre za direktivo, ne velja neposredno, temveč jo mora vsaka država članica prenesti v svoj pravni red.

V Sloveniji to nalogo opravlja Zakon o informacijski varnosti (ZInfV-1), objavljen v Uradnem listu RS št. 40/25. Ta zakon ureja področje informacijske in kibernetske varnosti ter določa nacionalni sistem informacijske varnosti v Republiki Sloveniji (1. člen).

ZInfV-1 v skladu s 1. členom ureja:

• pristojnosti, naloge, organizacijo in delovanje pristojnega nacionalnega organa,
• organ za obvladovanje incidentov velikih razsežnosti in kriz,
• enotno kontaktno točko za kibernetsko varnost,
• skupine za odzivanje na incidente (skupine CSIRT),
• sprejetje Strategije kibernetske varnosti Republike Slovenije ter kibernetsko obrambo.

Za ohranitev ključnih družbenih in gospodarskih dejavnosti zakon določa tudi ukrepe za obvladovanje tveganj ter obveznost poročanja zavezancev in prostovoljno priglasitev incidentov (1. člen). Če se torej sprašujete, kaj za vaše podjetje pomeni NIS2, je odgovor v praksi vsebina ZInfV-1.

Pristojni organ: Urad Vlade RS za informacijsko varnost (URSIV)

Za slovenske organizacije je ključno vprašanje: kdo je nadzorni organ? Po 10. členu ZInfV-1 je pristojni nacionalni organ Urad Vlade Republike Slovenije za informacijsko varnost (URSIV).

Med nalogami, ki jih URSIV izvaja po 10. členu, so med drugim:

• koordinacija delovanja nacionalnega sistema informacijske varnosti,
• strokovna podpora zavezancem na področju informacijske varnosti,
• opravljanje nalog inšpekcijskega nadzora prek Inšpekcije za informacijsko varnost, ki je njegova notranja organizacijska enota,
• delovanje kot enotna kontaktna točka za čezmejno sodelovanje,
• opravljanje nalog nacionalnega certifikacijskega organa za kibernetsko varnost ter Nacionalnega koordinacijskega centra.

Pri priglasitvi incidentov imajo pomembno vlogo tudi skupine CSIRT, ki sprejemajo prijave, izvajajo analize in pomagajo priglasiteljem pri obvladovanju incidentov (5. člen, 30. člen).

Bistveni in pomembni subjekti: kako vas zakon razvrsti

NIS2 uvaja delitev na dve kategoriji zavezancev. ZInfV-1 v 7. členu to prevzame z izrazoma bistveni subjekt (essential entity) in pomembni subjekt (important entity).

Bistveni subjekti so po drugem odstavku 7. člena med drugim:

• vrste subjektov iz Priloge 1, ki imajo vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov,
• ponudniki kvalificiranih storitev zaupanja ter registri TLD imen in ponudniki storitev DNS, ne glede na velikost,
• subjekti javne uprave na državni ravni,
• subjekti, določeni kot kritični na podlagi zakona, ki ureja kritično infrastrukturo.

Pomembni subjekti so po tretjem odstavku 7. člena zlasti vrste subjektov iz Priloge 2 ter drugi subjekti ali organi, ki niso bistveni subjekti.

Razvrstitev vpliva na obseg obveznosti in tudi na višino morebitnih glob, zato je prvi korak vsake organizacije ugotoviti, v katero kategorijo sodi.

Kaj nacionalni zakon dodaja: ukrepi in poročanje

Ukrepi za obvladovanje tveganj (22. člen) — Bistveni in pomembni subjekti morajo sprejeti tehnične, operativne in organizacijske ukrepe za obvladovanje tveganj za varnost omrežnih in informacijskih sistemov. Ti ukrepi morajo temeljiti na pristopu upoštevanja vseh nevarnosti in obsegati najmanj 17 področij, med drugim:

• podporo vodstva subjekta ter vključitev področja v letni načrt poslovanja,
• osnovne prakse kibernetske higiene in usposabljanje,
• upravljanje in izvajanje varnostnih kopij podatkov,
• varnost dobavne verige z minimalnimi zahtevami za ključne dobavitelje,
• uporabo večfaktorske avtentikacije ali neprekinjene avtentikacije, kadar je potrebno,
• politike glede uporabe kriptografije in šifriranja.

Subjekti morajo izpolnjevanje ukrepov preverjati najmanj enkrat letno in ob zaznanih ranljivostih ter nemudoma sprejeti popravne ukrepe (22. člen).

Priglasitev pomembnih incidentov (30. člen) — Zakon določa jasne roke poročanja pristojni skupini CSIRT:

Ponudnik storitev zaupanja mora incident priglasiti nemudoma, najpozneje v 24 urah (30. člen).

Točen elektronski kanal za priglasitev pri pristojni skupini CSIRT [TÄPSUSTAB PARTNER-JURIST].

Negativno preverite, kje ste na svoji poti do skladnosti — z brezplačnim orodjem za oceno obsega in vrzeli (scoping/gap) hitro ugotovite, ali ste bistveni ali pomembni subjekt in katera področja 22. člena še niso pokrita.

Kaj se zgodi ob neizpolnjevanju obveznosti

ZInfV-1 predvideva različne globe za bistvene in pomembne subjekte.

Bistveni subjekti (52. člen): za neizpolnjevanje obveznosti, med drugim iz 22. in 30. člena, se pravna oseba kaznuje z globo od 0,5 % do 2 % skupnega letnega prometa, pri čemer ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji.

Pomembni subjekti (53. člen): za primerljive kršitve se pravna oseba kaznuje z globo od 0,3 % do 1,4 % skupnega letnega prometa, pri čemer ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji.

Oba člena določata tudi ločene globe za samostojne podjetnike posameznike ter odgovorne osebe. Poleg finančnega tveganja je pomembno tudi upravljavsko: NIS2 (Direktiva (EU) 2022/2555, art 20(1)) poudarja, da vodstveni organi odobrijo ukrepe za obvladovanje tveganj in nadzorujejo njihovo izvajanje.