NIS2 registracija v Sloveniji: kdo se mora prijaviti, kje in do kdaj

Kaj ureja ZInfV-1 in kdo je pristojni organ

Slovenski Zakon o informacijski varnosti (ZInfV-1), objavljen v Uradnem listu RS št. 40/25, prenaša evropsko direktivo NIS2 v nacionalni pravni red. Zakon ureja področje informacijske in kibernetske varnosti ter določa nacionalni sistem informacijske varnosti v Republiki Sloveniji (1. člen).

Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (10. člen). URSIV koordinira delovanje nacionalnega sistema informacijske varnosti, zavezancem nudi strokovno podporo, opravlja naloge inšpekcijskega nadzora prek Inšpekcije za informacijsko varnost ter je enotna kontaktna točka za kibernetsko varnost.

Če vodite podjetje, je prvi korak razumeti, ali vaša organizacija sploh sodi med zavezance po tem zakonu — in kakšen status ji zakon pripisuje.

Kdo mora izpolniti obveznosti: bistveni in pomembni subjekti

Zavezanci se delijo na bistvene subjekte in pomembne subjekte (7. člen).

Bistveni subjekti so med drugim:

• vrste subjektov iz Priloge 1, ki imajo vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov;
• ponudniki kvalificiranih storitev zaupanja, registri TLD imen ter ponudniki storitev DNS, ne glede na velikost;
• ponudniki javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev z vsaj 50 zaposlenimi in letnim prometom ali bilančno vsoto vsaj 10 milijonov eurov;
• subjekti javne uprave na državni ravni;
• subjekti, določeni kot kritični na podlagi zakona, ki ureja kritično infrastrukturo.

Pomembni subjekti so:

• vrste subjektov iz Priloge 2 tega zakona;
• drugi subjekti ali organi, ki niso bistveni subjekti po drugem odstavku 7. člena.

Klasifikacija je pomembna, ker določa obseg obveznosti in višino morebitnih glob. Za del zavezancev status določi vlada z odločbo na predlog pristojnega nacionalnega organa — zoper takšno odločbo pritožba ni dovoljena, dovoljen pa je upravni spor.

Niste prepričani, v katero kategorijo spadate? Uporabite naše brezplačno orodje za scoping in oceno vrzeli, da hitro preverite svoj možni status po ZInfV-1.

Registracija oz. prijava: kje in do kdaj

Poglavje o pristojnosti in registraciji se v zakonu začne za določbami o priglasitvi incidentov (V. poglavje: PRISTOJNOST IN REGISTRACIJA).

Točnega roka za samo registracijo subjekta ter natančen postopek vpisa v seznam zavezancev priloženi pravni kontekst ne opredeljuje. Zato: [TÁPSUSTAB PARTNER-JURIST].

Kar KB-kontekst jasno določa, so roki za priglasitev pomembnih incidentov pristojni skupini CSIRT (30. člen). Bistveni in pomembni subjekti morajo predložiti:

Ponudnik storitev zaupanja mora pomembni incident, ki vpliva na njegove storitve, priglasiti nemudoma, najpozneje v 24 urah po zaznavi (30. člen, drugi odstavek).

Priglasitve incidentov potekajo tudi po namenski digitalni platformi, ki jo vzpostavi pristojni nacionalni organ (30. člen, deseti odstavek). Točen elektronski kanal za vpis oziroma priglasitev pri pristojni skupini CSIRT naj potrdi partnerski odvetnik: [TÁPSUSTAB PARTNER-JURIST].

Zakaj se splača ukrepati pravočasno

Poleg jasne razmejitve statusa zakon predpisuje tudi vsebinske obveznosti. Bistveni in pomembni subjekti morajo sprejeti tehnične, operativne in organizacijske ukrepe za obvladovanje tveganj (22. člen), ki temeljijo na pristopu upoštevanja vseh nevarnosti in obsegajo najmanj podporo vodstva, kibernetsko higieno in usposabljanje, varnost dobavne verige, upravljanje varnostnih kopij, dnevniške zapise, večfaktorsko avtentikacijo ter druge ukrepe.

Zakon določa tudi prekrškovne sankcije:

• bistveni subjekti (52. člen): globa od 0,5 % do 2 % skupnega letnega prometa pravne osebe, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji;
• pomembni subjekti (53. člen): globa od 0,3 % do 1,4 % skupnega letnega prometa pravne osebe, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji.

Med sankcioniranimi kršitvami sta izrecno navedeni tudi neizpolnitev obveznosti iz 22. člena (ukrepi za obvladovanje tveganj) in iz 30. člena (priglasitev pomembnih incidentov).

Pravočasna določitev statusa in vzpostavitev skladnosti sta zato najboljša zaščita pred visokimi globami. Začnite z brezplačno oceno vrzeli in ugotovite, kje stoji vaša organizacija.