NIS2 in javna uprava v Sloveniji: obveznosti po ZInfV-1

Ali javna uprava spada v okvir slovenskega zakona NIS2?

Da. Zakon o informacijski varnosti (Uradni list RS, št. 40/25; ZInfV-1) sektor javne uprave izrecno navaja v svojih prilogah: subjekte javne uprave na državni ravni v Prilogi 1 (sektor 10. Javna uprava), mestne občine pa v Prilogi 2 (sektor 8. Javna uprava, podsektor lokalna samouprava). Subjekti javne uprave na državni ravni so po 4. točki drugega odstavka 7. člena uvrščeni med bistvene subjekte, subjekti iz Priloge 2 pa so po prvi alineji tretjega odstavka 7. člena pomembni subjekti.

Prvi korak je preprost: preverite, ali vaša organizacija ustreza opredelitvi subjekta javne uprave iz 5. člena, in nato ugotovite, v kateri razred subjektov spadate po 7. členu. Šele od tega je odvisen obseg vaših obveznosti glede varnostnih ukrepov, priglasitve incidentov in izpostavljenosti globam.

Kako ZInfV-1 poimenuje sektor javne uprave

Priloga 1 (sektor 10. Javna uprava) vrsto subjekta opredeljuje z naslednjim besedilom:

> »Javna uprava ‒ subjekti javne uprave na državni ravni v skladu s 66. točko 5. člena tega zakona«

Priloga 2 (sektor 8. Javna uprava, podsektor lokalna samouprava) kot vrsto subjekta navaja mestne občine.

Klju­čne opredelitve so v 5. členu:

• 64. točka: subjekt je oseba javnega ali zasebnega prava.
• 65. točka: subjekti javne uprave so subjekti javne uprave na državni in lokalni ravni, ki so ustanovljeni z javnopravnim aktom, razen pravosodnih organov, državnega tožilstva, Ustavnega sodišča Republike Slovenije, Državnega zbora Republike Slovenije, Državnega sveta Republike Slovenije in Banke Slovenije.
• 66. točka: subjekti javne uprave na državni ravni so ministrstva, organi v njihovi sestavi, vladne službe in upravne enote ter tisti javni infrastrukturni zavodi, ki so ustanovljeni v skladu z zakonom, ki ureja znanstvenoraziskovalno in inovacijsko dejavnost. Mednje spadajo tudi drugi subjekti javne uprave iz Priloge 3.
• 67. točka: subjekti javne uprave na lokalni ravni so občine.

Če niste prepričani, ali je vaša organizacija navedena v Prilogi 3, to preverite pri pristojnem nacionalnem organu: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir).

Bistveni ali pomembni subjekt: razredi in pragovi velikosti

Po prvem odstavku 7. člena se zavezanci delijo na bistvene in pomembne subjekte.

Bistveni subjekt je po drugem odstavku 7. člena med drugim:

• vrsta subjekta iz Priloge 1, ki ima vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov (1. točka);
• subjekt javne uprave na državni ravni (4. točka) – ta točka je navedena samostojno, brez pragov velikosti iz 1. točke;
• subjekt, ki je določen kot kritičen na podlagi zakona, ki ureja kritično infrastrukturo (6. točka).

Pomembni subjekt je po tretjem odstavku 7. člena vrsta subjekta iz Priloge 2 – torej tudi mestne občine – ter drugi subjekti ali organi, ki niso bistveni subjekti po drugem odstavku.

Za nekatere subjekte razvrstitev določi vlada z odločbo (5. točka drugega odstavka ter prva in druga alineja tretjega odstavka 7. člena). Peti odstavek 7. člena določa, da zoper te odločbe pritožba ni dovoljena, dovoljen pa je upravni spor.

Razlika med razredoma se v praksi najbolj pokaže pri razponu glob (glej spodaj), medtem ko so varnostne obveznosti iz 22. člena za oba razreda v jedru enake.

Temeljne obveznosti: varnostni ukrepi in vloga vodstva

ZInfV-1 za javno upravo ne določa posebnega, ločenega nabora ukrepov – 22. člen enako zavezuje vse bistvene in pomembne subjekte. Ti morajo sprejeti tehnične, operativne in organizacijske ukrepe za zagotavljanje celovitosti, avtentičnosti, zaupnosti in razpoložljivosti omrežnih in informacijskih sistemov.

Drugi odstavek 22. člena zahteva pristop upoštevanja vseh nevarnosti in obsega najmanj:

• podporo vodstva subjekta ter vključitev informacijske in kibernetske varnosti v letni načrt poslovanja ali letni program dela;
• zagotavljanje integritete kadrov pred zaposlitvijo, med njo in ob prenehanju ali spremembi zaposlitve;
• osnovne prakse kibernetske higiene in usposabljanje;
• preverjanje identitete uporabnikov in upravljanje pooblastil za dostop;
• izvajanje in upravljanje varnostnih kopij podatkov;
• zagotavljanje in ohranjanje dnevniških zapisov;
• politike in postopke glede uporabe kriptografije in po potrebi šifriranja;
• varnost dobavne verige z minimalnimi zahtevami za ključne dobavitelje in ponudnike storitev;
• fizično in tehnično varovanje prostorov s ključnimi deli sistemov;
• upravljanje in preprečevanje izrab tehničnih ranljivosti ter zaščito pred zlonamerno programsko kodo;
• uporabo večfaktorske avtentikacije ali rešitev neprekinjene avtentikacije, kadar je to potrebno zaradi obvladovanja tveganj;
• politike in postopke glede uporabe oblačnih storitev.

Ukrepi morajo biti sorazmerni s stopnjo izpostavljenosti tveganjem, velikostjo subjekta, verjetnostjo incidentov in njihovo resnostjo (tretji odstavek 22. člena) ter preverljivi, tako da je na zahtevo pristojnega organa mogoče predložiti dokazila o njihovi izvedbi (13. odstavek). Izpolnjevanje ukrepov je treba preverjati najmanj enkrat letno in ob zaznanih ranljivostih, ob ugotovljenih pomanjkljivostih pa nemudoma sprejeti popravne ukrepe (peti odstavek). Osmi odstavek prepoveduje uporabo rešitev z aktivno izkoriščanimi ranljivostmi brez dodatne ocene tveganja in dodatnih ukrepov.

Na ravni direktive art 20(1) Direktive (EU) 2022/2555 določa, da vodstveni organi bistvenih in pomembnih subjektov ukrepe odobrijo, nadzorujejo njihovo izvajanje in lahko odgovarjajo za kršitve; uporaba tega odstavka ne posega v nacionalna pravila o odgovornosti javnih institucij ter javnih uslužbencev in izvoljenih ali imenovanih funkcionarjev.

Glede morebitne registracije zavezancev in točnega postopka prijave se obrnite na objavljene smernice pristojnega organa: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir).

Priglasitev pomembnih incidentov in roki

Pristojni nacionalni organ je po 10. členu Urad Vlade Republike Slovenije za informacijsko varnost. Priglasitve pomembnih incidentov pa bistveni in pomembni subjekti po prvem odstavku 30. člena predložijo pristojni skupini CSIRT, in sicer:

• zgodnje sporočilo – nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta; iz njega je po potrebi razvidno, ali je bil incident domnevno povzročen z nezakonitim ali zlonamernim dejanjem in ali bi lahko imel čezmejni vpliv;
• priglasitev incidenta – nemudoma, najpozneje pa v 72 urah po zaznavi pomembnega incidenta, z začetno oceno resnosti in vpliva ter, kadar so na voljo, s kazalniki ogroženosti;
• vmesno poročilo – na zahtevo skupine CSIRT;
• končno poročilo – najpozneje v enem mesecu po predložitvi priglasitve incidenta, s podrobnim opisom incidenta, vrsto grožnje ali temeljnega vzroka, izvedenimi blažilnimi ukrepi in po potrebi čezmejnim vplivom;
• poročilo o napredku, če incident ob predložitvi končnega poročila še poteka; končno poročilo se v tem primeru predloži najpozneje en mesec po rešitvi incidenta.

Pristojna skupina CSIRT nemudoma in po možnosti v 24 urah po prejemu zgodnjega sporočila odgovori priglasitvenemu subjektu z začetnimi povratnimi informacijami in na zahtevo z usmeritvami glede blažilnih ukrepov (tretji odstavek 30. člena). Incident je po 9. točki 5. člena dogodek, ki je ogrozil razpoložljivost, avtentičnost, celovitost ali zaupnost podatkov ali storitev. Točen elektronski kanal za priglasitev preverite v objavljenih smernicah pristojnega nadzornega organa: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir).

Globe za neizpolnjevanje obveznosti

Globe so vezane na razred subjekta. Za kršitve obveznosti iz 22. člena (varnostni ukrepi) in 30. člena (priglasitev incidentov) veljajo naslednji razponi:

Globe za odgovorno osebo so v 52. in 53. členu izrecno predvidene tudi za odgovorno osebo v državnem organu in samoupravni lokalni skupnosti.

Za lažje kršitve (na primer neizpolnitev obveznosti iz 25., 26., 28. ali 32. člena) četrti odstavek 52. člena določa globo od 3.000 do 15.000 eurov za bistvene subjekte, četrti odstavek 53. člena pa globo od 1.000 do 10.000 eurov za pomembne subjekte.