NIS2 in ZInfV-1 za prometna podjetja v Sloveniji: kaj morate vedeti

Ali promet spada na področje slovenskega zakona o NIS2?

Da. Promet je v Zakonu o informacijski varnosti (Uradni list RS, št. 40/25; ZInfV-1) uvrščen v Prilogo 1 med visoko kritične sektorje, in sicer kot sektor »2. Promet« s podsektorji zračni, železniški, vodni in cestni. Ali je vaše podjetje zavezanec in v kateri razred spada – bistveni subjekt ali pomembni subjekt – določa 7. člen ZInfV-1.

Prvi korak je zato preprost: preverite, ali vaša dejavnost ustreza eni od vrst subjektov, naštetih v Prilogi 1 pri sektorju Promet, in šele nato uporabite merila velikosti iz 7. člena. Kratka samoocena po teh dveh korakih vam pove, ali morate izpolnjevati varnostne ukrepe iz 22. člena in obveznost priglasitve incidentov iz 30. člena.

Kako ZInfV-1 poimenuje prometni sektor (Priloga 1)

Zakon zavezanosti ne veže na splošno oznako »prevoznik«, ampak na natančno opisane vrste subjektov. Priloga 1 ZInfV-1 pri sektorju Promet navaja:

(a) zračni

• »letalski prevozniki, kot so opredeljeni v 4. točki 3. člena Uredbe št. 300/2008/ES in ki se uporabljajo v komercialne namene«
• »letališča, kot so opredeljena v 25. točki 5. člena Zakona o letalstvu (Uradni list RS, št. 85/24; ZLet-1)«
• »kontrolorji upravljanja prometa, ki zagotavljajo kontrolo zračnega prometa (ATC), kot je opredeljena v 1. točki 2. člena Uredbe št. 549/2004/ES«

(b) železniški

• »upravljavci javne železniške infrastrukture, kot so opredeljeni v 27. točki 2. člena Zakona o železniškem prometu (ZZelP)«
• »prevozniki v železniškem prometu, kot so opredeljeni v 18. točki 2. člena ZZelP, vključno z upravljavci objektov za izvajanje železniških storitev, kot so opredeljeni v 28. točki 2. člena ZZelP«

(c) vodni

• »prevozna podjetja za potniški in tovorni promet po kopenskih vodah, morju in obalnih vodah, kot so za področje vodnega prometa opredeljena v Prilogi I Uredbe št. 725/2004/ES, brez posameznih plovil, ki jih upravljajo ta podjetja«
• »upravni organi pristanišč, kot so opredeljena v 32. členu Pomorskega zakonika (PZ), ter subjekti, ki izvajajo dela in upravljajo opremo v pristaniščih«
• »upravljavci sistemov za nadzor plovbe (VTS), kot so opredeljeni v 17. točki 3. člena Uredbe o nadzoru pomorskega prometa«

(č) cestni (upravljanje prometa)

• »cestni organi, kot so opredeljeni v 12. točki 2. člena Delegirane uredbe Komisije 2015/962/EU in ki so odgovorni za nadzor upravljanja prometa, razen javnih subjektov, za katere je upravljanje prometa ali upravljanje inteligentnih prometnih sistemov le nebistveni del splošne dejavnosti«
• »upravljavci inteligentnih prometnih sistemov, kot so opredeljeni v 24. točki 2. člena Zakona o cestah (ZCes-2)«

Bistveni ali pomembni subjekt: razredi in pragovi po 7. členu

Zavezanci se po prvem odstavku 7. člena delijo na bistvene subjekte in pomembne subjekte. Za prometna podjetja sta pomembni predvsem dve pravili:

Z drugimi besedami: velik letalski prevoznik, upravljavec javne železniške infrastrukture ali upravni organ pristanišča, ki dosega enega od navedenih pragov, je praviloma bistveni subjekt. Manjše prometno podjetje, ki spada med vrste subjektov iz Priloge 1, a pragov ne dosega, s tem še ni samodejno zunaj zakona – tretji odstavek 7. člena med pomembne subjekte uvršča tudi druge subjekte ali organe, ki niso bistveni subjekti.

Vlada lahko z odločbo posamezne subjekte iz Priloge 1 določi kot zavezance tudi na predlog pristojnega nacionalnega organa (peta točka drugega odstavka 7. člena). Zoper te odločbe pritožba ni dovoljena, dovoljen pa je upravni spor (peti odstavek 7. člena).

Temeljne obveznosti: varnostni ukrepi in odgovornost vodstva (22. člen)

ZInfV-1 za prometna podjetja ne določa posebnih, sektorsko specifičnih varnostnih ukrepov – 22. člen enako zavezuje vse bistvene in pomembne subjekte. Ti morajo sprejeti tehnične, operativne in organizacijske ukrepe za zagotavljanje celovitosti, avtentičnosti, zaupnosti in razpoložljivosti omrežnih in informacijskih sistemov.

Ukrepi morajo temeljiti na pristopu upoštevanja vseh nevarnosti in obsegati najmanj (drugi odstavek 22. člena), med drugim:

• podporo vodstva subjekta pri zagotavljanju informacijske in kibernetske varnosti ter vključitev tega področja v letni načrt poslovanja ali letni program dela;
• integriteto kadrov pred zaposlitvijo, med njo in ob prenehanju (v skladu s 23. členom);
• osnovne prakse kibernetske higiene in usposabljanje;
• upravljanje dostopov in preverjanje identitete uporabnikov;
• izvajanje in upravljanje varnostnih kopij podatkov;
• dnevniške zapise o delovanju sistemov (v skladu s 24. členom);
• politike glede kriptografije in šifriranja;
• varnost dobavne verige z minimalnimi zahtevami za ključne dobavitelje in ponudnike storitev;
• fizično in tehnično varovanje prostorov s ključnimi deli sistemov;
• upravljanje tehničnih ranljivosti, zaščito pred zlonamerno kodo in zaznavanje vdorov;
• večfaktorsko avtentikacijo, kadar je to potrebno zaradi obvladovanja tveganj;
• politike glede uporabe oblačnih storitev.

Ukrepi morajo biti sorazmerni: upoštevajo se stopnja izpostavljenosti tveganjem, velikost subjekta, verjetnost incidentov in njihova resnost (tretji odstavek 22. člena). Izpolnjevanje ukrepov je treba preverjati najmanj enkrat letno ter ob zaznanih ranljivostih, ob ugotovljenih pomanjkljivostih pa nemudoma sprejeti popravne ukrepe (peti odstavek 22. člena). Odgovornost vodstva za odobritev in nadzor nad izvajanjem ukrepov izhaja tudi iz art 20(1) Direktive (EU) 2022/2555.

Glede načina in rokov vpisa oziroma registracije pri pristojnem nacionalnem organu preverite objavljene smernice: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir).

Priglasitev pomembnih incidentov in roki (30. člen)

Bistveni in pomembni subjekti pomembne incidente priglasijo pristojni skupini CSIRT po naslednjem zaporedju iz prvega odstavka 30. člena:

1. zgodnje sporočilo – nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta; po potrebi je iz njega razvidno, ali je bil incident domnevno povzročen z nezakonitim ali zlonamernim dejanjem in ali bi lahko imel čezmejni vpliv; 2. priglasitev incidenta – nemudoma, najpozneje pa v 72 urah po zaznavi; posodobi prejšnje informacije in navede začetno oceno incidenta, vključno z resnostjo in vplivom ter kazalniki ogroženosti, kadar so na voljo; 3. vmesno poročilo – na zahtevo skupine CSIRT; 4. končno poročilo – najpozneje v enem mesecu po predložitvi priglasitve incidenta, s podrobnim opisom incidenta, vrsto grožnje ali temeljnega vzroka, izvedenimi blažilnimi ukrepi in po potrebi čezmejnim vplivom; 5. če incident ob predložitvi končnega poročila še poteka, subjekt predloži poročilo o napredku, končno poročilo pa najpozneje en mesec po rešitvi incidenta.

Skupina CSIRT na zgodnje sporočilo odgovori nemudoma in po možnosti v 24 urah po prejemu, vključno z začetnimi povratnimi informacijami ter na zahtevo z usmeritvami glede blažilnih ukrepov (tretji odstavek 30. člena). Točen elektronski kanal za priglasitev preverite v objavljenih smernicah, ki jih izda Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) kot pristojni nacionalni organ (10. člen).

Globe za neizpolnjevanje obveznosti (52. člen in 53. člen)

Sankcije so vezane na razred zavezanca, ne na prometni podsektor.

Bistveni subjekti (52. člen) – med drugim za neizpolnjevanje obveznosti iz 22. člena ali 30. člena:

• pravna oseba: globa od 0,5 odstotka do 2 odstotkov skupnega letnega prometa, doseženega v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji;
• samostojni podjetnik posameznik: od 5.000 do 25.000 eurov;
• odgovorna oseba: od 1.000 do 10.000 eurov.

Pomembni subjekti (53. člen) – za primerljive kršitve:

• pravna oseba: globa od 0,3 odstotka do 1,4 odstotka skupnega letnega prometa, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji;
• samostojni podjetnik posameznik: od 3.000 do 20.000 eurov;
• odgovorna oseba: od 1.000 do 7.000 eurov.

Naloge inšpekcijskega nadzora po zakonu opravlja pristojni nacionalni organ prek Inšpekcije za informacijsko varnost, ki je njegova notranja organizacijska enota (10. člen).