NIS2 in ZInfV-1 za proizvodna podjetja v Sloveniji: elektronika, stroji, vozila, medicinski pripomočki
Zakonodaja: Slovenija · ZInfV-1
Kratek odgovor: da, proizvodnja je zajeta
Proizvodnja elektronike, električnih naprav, strojev, vozil in medicinskih pripomočkov je v Sloveniji zajeta v Zakon o informacijski varnosti (ZInfV-1, Uradni list RS, št. 40/25). Te dejavnosti so navedene v sektorju 5. Proizvodnja v Prilogi 2 zakona, ki nosi naslov »Drugi kritični sektorji«. Vrste subjektov iz Priloge 2 so v skladu s 7. členom razvrščene med pomembne subjekte.
Prvi korak za vodstvo proizvodnega podjetja je preprost: preverite, ali vaša dejavnost ustreza kateri od vrst subjektov iz Priloge 2 (oziroma iz Priloge 1, če izdelujete medicinske pripomočke, ki se štejejo za kritične v izrednih razmerah v javnem zdravju), nato pa primerjajte trenutno stanje varnostnih ukrepov z zahtevami iz 22. člena. Splošni krog zavezancev ureja 6. člen ZInfV-1, katerega vsebine to besedilo ne povzema — za dokončno potrditev statusa uporabite objavljene smernice pristojnega nacionalnega organa: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir).
Kako zakon poimenuje proizvodni sektor
Priloga 2 ZInfV-1 v sektorju 5. Proizvodnja loči naslednje podsektorje in vrste subjektov (besedilo priloge):
- (a) proizvodnja medicinskih pripomočkov ter in vitro diagnostičnih medicinskih pripomočkov — »subjekti, ki proizvajajo medicinske pripomočke, kot so opredeljeni v 1. točki 2. člena Uredbe 2017/745/EU, in subjekti, ki proizvajajo in vitro diagnostične medicinske pripomočke, kot so opredeljeni v 2. točki 2. člena Uredbe 2017/746/EU, razen subjektov, ki proizvajajo medicinske pripomočke iz pete alineje 5. točke Priloge 1 tega zakona«;
- (b) proizvodnja računalnikov, elektronskih in optičnih izdelkov — podjetja, ki opravljajo katero koli gospodarsko dejavnost s tega področja;
- (c) proizvodnja električnih naprav — podjetja, ki opravljajo katero koli gospodarsko dejavnost s tega področja;
- (č) proizvodnja drugih strojev in naprav — podjetja, ki opravljajo katero koli gospodarsko dejavnost s tega področja;
- (d) proizvodnja motornih vozil, prikolic in polprikolic — podjetja, ki opravljajo katero koli gospodarsko dejavnost s tega področja;
- (e) proizvodnja drugih vozil in plovil — podjetja, ki opravljajo katero koli gospodarsko dejavnost s tega področja.
Pomembna izjema velja za medicinske pripomočke: proizvajalci pripomočkov, ki se štejejo za kritične v času izrednih razmer v javnem zdravju, so uvrščeni v sektor 5. Zdravje v Prilogi 1 (visoko kritični sektorji) in ne v Prilogo 2.
Bistveni ali pomembni subjekt in pragovi velikosti
Razvrstitev ureja 7. člen ZInfV-1. Zakon uporablja dva zakonska izraza: bistveni subjekt in pomembni subjekt.
| Razvrstitev | Kdo (po 7. členu) |
|---|---|
| Bistveni subjekt | vrste subjektov iz Priloge 1, ki imajo vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov; subjekti, ki so določeni kot kritični na podlagi zakona, ki ureja kritično infrastrukturo; ter drugi subjekti, določeni v 7. členu |
| Pomembni subjekt | vrste subjektov iz Priloge 2, vključno s tistimi, ki jih z odločbo določi vlada; ter drugi subjekti ali organi iz 6. člena, ki niso bistveni subjekti |
Za proizvodna podjetja iz Priloge 2 to pomeni: praviloma so pomembni subjekti. Prag 250 zaposlenih oziroma 50 milijonov eurov letnega prometa ali 43 milijonov eurov letne bilančne vsote je v 7. členu vezan na vrste subjektov iz Priloge 1, ne na Prilogo 2.
Proizvajalec lahko postane bistveni subjekt na dva načina, ki ju predvideva 7. člen: če je določen kot kritični subjekt na podlagi zakona, ki ureja kritično infrastrukturo, ali če gre za proizvajalca medicinskih pripomočkov, uvrščenega v Prilogo 1, in dosega navedene pragove. Zoper odločbe vlade o določitvi zavezancev pritožba ni dovoljena, dovoljen pa je upravni spor.
Glavne obveznosti: varnostni ukrepi in vloga vodstva
Ključna vsebinska obveznost je v 22. členu. Bistveni in pomembni subjekti morajo sprejeti tehnične, operativne in organizacijske ukrepe za zagotavljanje celovitosti, avtentičnosti, zaupnosti in razpoložljivosti omrežnih in informacijskih sistemov. Zakon tu ne določa posebnih obveznosti za proizvodnjo — enak nabor ukrepov velja za vse zavezance, pri čemer se sorazmernost presoja glede na izpostavljenost tveganjem, velikost subjekta, verjetnost incidentov in njihovo resnost.
Ukrepi iz drugega odstavka 22. člena obsegajo najmanj:
- podporo vodstva subjekta pri zagotavljanju informacijske in kibernetske varnosti ter vključitev tega področja v letni načrt poslovanja ali letni program dela;
- zagotavljanje integritete kadrov pred zaposlitvijo, med njo in ob prenehanju ali spremembi;
- osnovne prakse kibernetske higiene in usposabljanje;
- varnost človeških virov, preverjanje identitete uporabnikov in upravljanje pooblastil za dostop;
- izvajanje in upravljanje varnostnih kopij podatkov;
- zagotavljanje in ohranjanje dnevniških zapisov;
- upravljanje omrežnih in informacijskih sistemov z določitvijo odgovornosti za njihovo zaščito;
- politike in postopke glede kriptografije in po potrebi šifriranja;
- upravljanje prometa in komunikacij;
- varnost dobavne verige z minimalnimi zahtevami za ključne dobavitelje ali ponudnike storitev;
- fizično in tehnično varovanje prostorov s ključnimi deli sistemov;
- varnostne mehanizme v aplikativni programski opremi, vključno z obravnavanjem in razkrivanjem ranljivosti;
- upravljanje in preprečevanje izrab tehničnih ranljivosti;
- zaščito pred zlonamerno programsko kodo ter zaznavanje vdorov;
- večfaktorsko avtentikacijo ali rešitve neprekinjene avtentikacije, kadar je to potrebno;
- varovane glasovne, video in besedilne komunikacije ter varne sisteme za komunikacije v sili, kadar je to primerno;
- politike in postopke v zvezi z uporabo oblačnih storitev.
Izpolnjevanje ukrepov je treba preverjati najmanj enkrat letno ali v rednih obdobjih iz lastne politike in ob zaznanih ranljivostih; ob ugotovljenem pomanjkljivem izvajanju je treba nemudoma sprejeti popravne ukrepe (peti odstavek 22. člena). Ukrepi morajo biti tudi preverljivi, tako da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi. Na ravni direktive velja, da vodstveni organi odobrijo ukrepe za obvladovanje tveganj, nadzorujejo njihovo izvajanje in lahko odgovarjajo za kršitve (Direktiva (EU) 2022/2555, art 20(1)).
Podrobnosti o vpisu oziroma registraciji zavezancev to besedilo ne povzema — preverite objavljene smernice organa Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir).
Priglasitev incidentov in roki
Postopek priglasitve pomembnih incidentov ureja 30. člen. Bistveni in pomembni subjekti priglasitve predložijo pristojni skupini CSIRT:
- zgodnje sporočilo — nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta; iz njega je po potrebi razvidno, ali je bil incident domnevno povzročen z nezakonitim ali zlonamernim dejanjem in ali bi lahko imel čezmejni vpliv;
- priglasitev incidenta — nemudoma, najpozneje pa v 72 urah po zaznavi; posodobi prejšnje informacije in navede začetno oceno incidenta, vključno z resnostjo in vplivom ter kazalniki ogroženosti, kadar so na voljo;
- vmesno poročilo — na zahtevo skupine CSIRT;
- končno poročilo — najpozneje v enem mesecu po predložitvi priglasitve incidenta, s podrobnim opisom incidenta, vrsto grožnje ali temeljnega vzroka, izvedenimi blažilnimi ukrepi in po potrebi čezmejnim vplivom;
- če incident ob predložitvi končnega poročila še poteka, subjekt predloži poročilo o napredku, končno poročilo pa najpozneje en mesec po rešitvi incidenta.
Pristojna skupina CSIRT nemudoma in po možnosti v 24 urah po prejemu zgodnjega sporočila odgovori z začetnimi povratnimi informacijami ter na zahtevo z usmeritvami ali operativnim nasvetom. Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (10. člen), ki naloge inšpekcijskega nadzora opravlja prek Inšpekcije za informacijsko varnost. Točen elektronski kanal za priglasitev preverite v objavljenih smernicah tega organa (uradni vir).
Globe
Prekrške ureja 52. člen (bistveni subjekti) in 53. člen (pomembni subjekti). Za proizvodna podjetja iz Priloge 2 je praviloma relevanten 53. člen.
| Bistveni subjekt (52. člen) | Pomembni subjekt (53. člen) | |
|---|---|---|
| Pravna oseba (npr. kršitev 22. ali 30. člena) | od 0,5 % do 2 % skupnega letnega prometa v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji | od 0,3 % do 1,4 % skupnega letnega prometa v preteklem poslovnem letu, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji |
| Samostojni podjetnik posameznik | od 5.000 do 25.000 eurov | od 3.000 do 20.000 eurov |
| Odgovorna oseba | od 1.000 do 10.000 eurov | od 1.000 do 7.000 eurov |
Globe se med drugim nanašajo na neizpolnitev obveznosti iz 22. člena (varnostni ukrepi) in iz prvega ali drugega odstavka 30. člena (priglasitev pomembnih incidentov). Za nekatere druge kršitve zakon določa nižje razpone: za pravno osebo, ki je pomembni subjekt, od 1.000 do 10.000 eurov (četrti odstavek 53. člena), za odgovorno osebo pa od 200 do 2.000 eurov.
Šifre dejavnosti (NACE Rev. 2)
Vnosi tega sektorja v prilogah NIS2 ustrezajo ena proti ena naslednjim šifram dejavnosti NACE Rev. 2. Seznam zajema samo enoznačna ujemanja — nekateri vnosi so opredeljeni z dejavnostjo samo, ne s šifro.
NACE 26 — Proizvodnja računalnikov, elektronskih in optičnih izdelkovNACE 27 — Proizvodnja električnih napravNACE 28 — Proizvodnja drugih strojev in napravNACE 29 — Proizvodnja motornih vozil, prikolic in polprikolicNACE 30 — Proizvodnja drugih vozil in plovilNACE 32.50 — Proizvodnja medicinskih instrumentov, naprav in pripomočkov
Šifre dejavnosti SKD 2025 v tem sektorju
Šifre so povezane samodejno: šifre NACE Rev. 2 sektorja so prek uradne Eurostatove pretvorbene tabele povezane z razredi NACE Rev. 2.1 in od tam s šiframi SKD 2025. Kadar ujemanje ni enoznačno, je šifra izpuščena — seznam je namenoma prej ožji kot širši.
SKD 26.110 — Proizvodnja elektronskih komponentSKD 26.120 — Proizvodnja elektronskih ploščSKD 26.200 — Proizvodnja računalnikov in perifernih napravSKD 26.300 — Proizvodnja komunikacijskih napravSKD 26.400 — Proizvodnja elektronskih naprav za široko raboSKD 26.510 — Proizvodnja merilnih, preizkuševalnih in navigacijskih instrumentov in napravSKD 26.520 — Proizvodnja urSKD 26.600 — Proizvodnja sevalnih, elektromedicinskih in elektroterapevtskih napravSKD 26.700 — Proizvodnja optičnih instrumentov, magnetnih in optičnih nosilcev zapisa ter fotografske opremeSKD 27.110 — Proizvodnja elektromotorjev, generatorjev in transformatorjevSKD 27.120 — Proizvodnja naprav za distribucijo in krmiljenje elektrikeSKD 27.200 — Proizvodnja baterij in akumulatorjevSKD 27.310 — Proizvodnja kablov iz optičnih vlakenSKD 27.320 — Proizvodnja drugih električnih kablov in žicSKD 27.330 — Proizvodnja vtičnic, stikal in drugih naprav za ožičenjeSKD 27.400 — Proizvodnja naprav in opreme za razsvetljavoSKD 27.510 — Proizvodnja električnih gospodinjskih napravSKD 27.520 — Proizvodnja neelektričnih gospodinjskih napravSKD 27.900 — Proizvodnja drugih električnih napravSKD 28.110 — Proizvodnja motorjev in turbin, razen za letala in motorna vozilaSKD 28.120 — Proizvodnja naprav za fluidno tehnikoSKD 28.130 — Proizvodnja črpalk in kompresorjevSKD 28.140 — Proizvodnja pip in ventilovSKD 28.150 — Proizvodnja ležajev, zobnikov in elementov za mehanski prenos energijeSKD 28.220 — Proizvodnja dvigalnih in transportnih napravSKD 28.230 — Proizvodnja pisarniških strojev in naprav, razen računalnikov in perifernih napravSKD 28.240 — Proizvodnja ročnih strojev in napravSKD 28.250 — Proizvodnja klimatskih naprav, razen za gospodinjstvaSKD 28.290 — Proizvodnja drugih strojev in naprav za splošne namene, d. n.SKD 28.300 — Proizvodnja kmetijskih in gozdarskih strojevSKD 28.410 — Proizvodnja strojev za oblikovanje in obdelavo kovinSKD 28.420 — Proizvodnja drugih obdelovalnih strojevSKD 28.910 — Proizvodnja metalurških strojevSKD 28.920 — Proizvodnja rudarskih in gradbenih strojevSKD 28.930 — Proizvodnja strojev za živilsko in tobačno industrijoSKD 28.940 — Proizvodnja strojev za tekstilno, oblačilno in usnjarsko industrijoSKD 28.950 — Proizvodnja strojev za industrijo papirja in kartonaSKD 28.960 — Proizvodnja strojev za plastiko in gumoSKD 28.970 — Proizvodnja strojev za aditivno proizvodnjoSKD 28.990 — Proizvodnja drugih strojev za posebne namene, d. n.SKD 29.100 — Proizvodnja motornih vozilSKD 29.200 — Proizvodnja karoserij za motorna vozila, proizvodnja prikolic, polprikolicSKD 29.310 — Proizvodnja električne in elektronske opreme za motorna vozilaSKD 30.110 — Gradnja civilnih ladij in plavajočih konstrukcijSKD 30.120 — Gradnja čolnov za razvedrilo in športSKD 30.130 — Gradnja vojaških ladij in plovilSKD 30.200 — Proizvodnja železniških in drugih tirnih vozilSKD 30.310 — Proizvodnja civilnih zračnih in vesoljskih plovilSKD 30.320 — Proizvodnja vojaških zračnih in vesoljskih plovilSKD 30.400 — Proizvodnja bojnih vozilSKD 30.910 — Proizvodnja motornih kolesSKD 30.920 — Proizvodnja koles in invalidskih vozičkovSKD 30.990 — Proizvodnja drugih prevoznih sredstev, d. n.
Je vaša šifra SKD na seznamu? Preverite, ali NIS2 velja za vas
Glejte tudi stran sektorja: Proizvodnja
Pogosta vprašanja
Je proizvajalec strojev ali elektronike bistveni ali pomembni subjekt?
Proizvodnja računalnikov, elektronskih in optičnih izdelkov, električnih naprav, drugih strojev in naprav, motornih vozil, prikolic in polprikolic ter drugih vozil in plovil je uvrščena v Prilogo 2 ZInfV-1. Vrste subjektov iz Priloge 2 so v skladu s 7. členom pomembni subjekti. Bistveni subjekt lahko podjetje postane, če je določeno kot kritični subjekt na podlagi zakona, ki ureja kritično infrastrukturo, ali če spada med vrste subjektov iz Priloge 1 in dosega pragove iz 7. člena.
V kakšnem roku moramo priglasiti pomemben incident?
Po 30. členu je treba pristojni skupini CSIRT predložiti zgodnje sporočilo nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta, in priglasitev incidenta nemudoma, najpozneje pa v 72 urah po zaznavi. Sledi še končno poročilo najpozneje v enem mesecu po predložitvi priglasitve incidenta, vmesno poročilo pa na zahtevo skupine CSIRT.
Ali za proizvodnjo veljajo posebne, sektorsko prilagojene obveznosti?
ZInfV-1 v 22. členu določa enak nabor varnostnih ukrepov za bistvene in pomembne subjekte, ne glede na sektor. Sorazmernost ukrepov se presoja glede na stopnjo izpostavljenosti tveganjem, velikost subjekta, verjetnost pojava incidentov in resnost morebitnih incidentov. Posebna pravila iz šestega odstavka 22. člena veljajo za določene ponudnike digitalnih in zaupanja vrednih storitev, ne za proizvodna podjetja.
Kje lahko potrdimo status zavezanca in način priglasitve?
Krog zavezancev ureja 6. člen, razvrstitev pa 7. člen ZInfV-1. Za dokončno potrditev statusa, način vpisa in točen elektronski kanal za priglasitev incidentov uporabite objavljene smernice pristojnega nacionalnega organa: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir). Zavezujoče je uradno besedilo zakona.
Preverite svojo skladnost z NIS2
Začnite brezplačno preverjanje področja uporabe
Izvedite brezplačno samooceno Zaženite brezplačen zunanji varnostni pregled
Celovit vodnik NIS2 — Slovenija →
Oglejte si brezplačen vzorčni paket →
Ta članek vsebuje splošne informacije, ne pravni nasvet. Za svojo konkretno situacijo se posvetujte s kvalificiranim strokovnjakom.
Vsebina temelji na različici zakona ZInfV-1, veljavni od 2025-06-04 (kontrolna vsota 56677e564512).