Nadzor in izvrševanje NIS2 v Sloveniji: kaj sme storiti pristojni organ

Kdo je pristojni nacionalni organ za nadzor

Slovenija je pravila NIS2 prenesla z Zakonom o informacijski varnosti (ZInfV-1), objavljenim v Uradnem listu RS št. 40/25. Pristojni nacionalni organ za informacijsko varnost je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (10. člen).

Zakon določa širok nabor nalog URSIV. Za nadzor je ključno, da URSIV opravlja naloge inšpekcijskega nadzora po tem zakonu prek Inšpekcije za informacijsko varnost, ki je njegova notranja organizacijska enota (26. točka drugega odstavka 10. člena).

Poleg nadzora URSIV opravlja tudi podporne in usmerjevalne naloge, na primer:

• nudi strokovno podporo zavezancem na področju informacijske varnosti,
• zagotavlja analize, metodološko podporo in preventivno delovanje ter daje mnenja,
• sodeluje z regulatorji in nadzorniki sektorjev iz Prilog 1 in 2, s skupinami CSIRT ter z organi kazenskega pregona.

Za VKE to pomeni, da URSIV ni le "kaznovalni" organ, temveč tudi vir strokovne podpore pri vzpostavljanju skladnosti.

Bistveni in pomembni subjekti: kdo sploh je pod nadzorom

ZInfV-1 zavezance deli na dve statutarni kategoriji (7. člen):

• bistveni subjekt (essential entity),
• pomembni subjekt (important entity).

Bistveni subjekti so med drugim (2. odstavek 7. člena):

• vrste subjektov iz Priloge 1, ki imajo vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov,
• ponudniki kvalificiranih storitev zaupanja, registri TLD imen in ponudniki storitev DNS, ne glede na velikost,
• ponudniki javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev z vsaj 50 zaposlenimi in letnim prometom ali bilančno vsoto vsaj 10 milijonov eurov,
• subjekti javne uprave na državni ravni,
• subjekti, določeni kot kritični po zakonu, ki ureja kritično infrastrukturo.

Pomembni subjekti so praviloma vrste subjektov iz Priloge 2 ter drugi zavezanci, ki niso bistveni subjekti (3. odstavek 7. člena).

Zakaj je razvrstitev pomembna? Ker se od razvrstitve odvijajo tako obseg obveznosti kot tudi višina globe v primeru kršitve (52. in 53. člen). Natančno razmejitev, ali vaše podjetje sodi med bistvene ali pomembne subjekte in po katerem sektorju iz Priloge 1 ali 2, [TÄPSUSTAB PARTNER-JURIST] za konkreten primer.

> Nasvet: Prvi korak je določiti, ali sploh spadate med zavezance in v katero kategorijo. Naše brezplačno orodje za scoping vam pomaga hitro oceniti izhodišče.

Kaj sme pristojni organ v praksi

Nadzor po ZInfV-1 se izvaja prek inšpekcijskega nadzora. Zakon posebej opredeljuje inšpekcijski varnostni pregled (11. točka 5. člena) kot postopek, v katerem inšpektor pri zavezancu:

• izvede identifikacijo in oceno morebitnih ranljivosti v omrežnih in informacijskih sistemih,
• opravi preizkus učinkovitosti varnostnih ukrepov oziroma mehanizmov in izpostavljenosti kibernetskim grožnjam,
• preveri ustreznost učinkovitega zaznavanja in obravnavanja kibernetskih incidentov.

Pomembna praktična posledica izhaja iz zahtev za varnostne ukrepe (22. člen): ti morajo biti med drugim preverljivi, tako da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi (6. točka 13. odstavka 22. člena). Z drugimi besedami, subjekt mora znati dokumentirano izkazati, da ukrepe dejansko izvaja.

Dodatno morajo bistveni in pomembni subjekti najmanj enkrat letno (ali v rednih obdobjih, opredeljenih v svojih politikah) in ob zaznanih ranljivostih preverjati izpolnjevanje varnostnih ukrepov; ob ugotovljenih pomanjkljivostih morajo nemudoma sprejeti vse potrebne, ustrezne in sorazmerne popravne ukrepe (5. odstavek 22. člena).

Glede razlike med nadzorom bistvenih in pomembnih subjektov (ex-ante proti ex-post) priloženi zakonski izvlečki ne vsebujejo izrecne ureditve, zato natančen režim nadzora po posamezni kategoriji [TÄPSUSTAB PARTNER-JURIST].

Poročanje o incidentih: rok, ki ga nadzor preverja

Ena najbolj neposredno preverljivih obveznosti je priglasitev pomembnih incidentov (30. člen). Bistveni in pomembni subjekti pristojni skupini CSIRT predložijo:

Ponudniki storitev zaupanja morajo pomemben incident, ki vpliva na njihove storitve, priglasiti v 24 urah (2. odstavek 30. člena).

Pristojna skupina CSIRT nemudoma in po možnosti v 24 urah po prejemu zgodnjega sporočila odgovori priglasitvenemu subjektu z začetnimi povratnimi informacijami in na zahtevo z usmeritvami ali operativnim nasvetom (3. odstavek 30. člena).

Točen elektronski kanal za priglasitev pri pristojni skupini CSIRT [TÄPSUSTAB PARTNER-JURIST].

Globe: kaj tvegate ob kršitvi

ZInfV-1 razlikuje sankcije glede na kategorijo subjekta.

Bistveni subjekti (52. člen): za kršitve navedenih obveznosti (med drugim ukrepov za obvladovanje tveganj iz 22. člena in priglasitve incidentov iz 30. člena) se pravna oseba kaznuje z globo v višini od 0,5 % do 2 % skupnega letnega prometa v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji.

Pomembni subjekti (53. člen): za primerljive kršitve se pravna oseba kaznuje z globo od 0,3 % do 1,4 % skupnega letnega prometa, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji.

Oba člena določata tudi ločene globe za samostojne podjetnike posameznike in za odgovorne osebe. Poleg tega 20. člen Direktive (EU) 2022/2555 določa, da poslovodni organi odobrijo ukrepe za obvladovanje tveganj, nadzirajo njihovo izvajanje in so lahko odgovorni za kršitve — kar poudarja vlogo vodstva pri skladnosti.

Za oceno, katere obveznosti so za vaše podjetje najbolj tvegane in kje so vrzeli, uporabite naše brezplačno orodje za gap-analizo.