NIS2 in priglasitev incidentov v Sloveniji: roki in obveznosti

Zakaj je priglasitev incidentov ključna obveznost po ZInfV-1

Zakon o informacijski varnosti (Zakon o informacijski varnosti, Uradni list RS št. 40/25, ZInfV-1) je slovenski prenos evropskih pravil o kibernetski varnosti (NIS2). Poleg ukrepov za obvladovanje tveganj določa tudi obveznost poročanja zavezancev in prostovoljno priglasitev incidentov (1. člen).

Zavezanci se delijo v dve kategoriji (7. člen):

• bistveni subjekt (essential),
• pomembni subjekt (important).

Obe kategoriji imata obveznost priglasitve pomembnih incidentov. Incident je po zakonu opredeljen kot dogodek, ki je ogrozil razpoložljivost, avtentičnost, celovitost ali zaupnost shranjenih, prenesenih ali obdelanih podatkov ali storitev (5. člen).

Za vodstvo malih in srednjih podjetij je bistveno razumeti dvoje: v kakšnih rokih je treba poročati in komu. Oboje določa 30. člen ZInfV-1.

Roki za priglasitev pomembnega incidenta (24 ur, 72 ur, en mesec)

Za priglasitev pomembnih incidentov bistveni in pomembni subjekti pristojni skupini CSIRT predložijo dokumente v naslednjih rokih (30. člen):

Če pomemben incident ob predložitvi končnega poročila še vedno poteka, priglasitveni subjekt predloži poročilo o napredku, končno poročilo pa najpozneje en mesec po rešitvi incidenta (30. člen, prvi odstavek, 5. točka).

Posebnost za ponudnike storitev zaupanja: ti morajo za pomembne incidente, ki vplivajo na njihove storitve, priglasiti incident pristojni skupini CSIRT nemudoma, najpozneje pa v 24 urah po zaznavi (30. člen, drugi odstavek).

Komu poročate: CSIRT in pristojni nacionalni organ (URSIV)

Priglasitve gredo pristojni skupini CSIRT (30. člen). CSIRT je skupina, ki se odziva na incidente, sprejema prijave o kršitvah varnosti, izvaja analize in pomaga priglasiteljem pri obvladovanju incidentov (5. člen).

Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (10. člen). URSIV koordinira nacionalni sistem informacijske varnosti in med drugim opravlja naloge nadzora prek Inšpekcije za informacijsko varnost.

Kako poteka odziv po priglasitvi:

• Pristojna skupina CSIRT nemudoma in po možnosti v 24 urah po prejemu zgodnjega sporočila odgovori priglasitvenemu subjektu z začetnimi povratnimi informacijami in na zahtevo z usmeritvami glede blažilnih ukrepov (30. člen, tretji odstavek).
• CSIRT o pomembnem incidentu nemudoma obvesti pristojni nacionalni organ.
• V primeru čezmejnega ali medsektorskega incidenta enotna kontaktna točka po potrebi obvesti enotne kontaktne točke drugih prizadetih držav in agencijo ENISA.

Priglasitve potekajo tudi po namenski digitalni platformi, ki jo vzpostavi pristojni nacionalni organ (30. člen, deseti odstavek).

Opomba: točen elektronski kanal za priglasitev oziroma vpis pri pristojni skupini CSIRT naj potrdi [TÄPSUSTAB PARTNER-JURIST].

Kaj je pomemben incident in kaj se zgodi ob neizpolnjevanju

Obveznost priglasitve nastopi pri pomembnem incidentu. Merila za resnost izhajajo iz opredelitev v zakonu — incident, ki ogrozi razpoložljivost, avtentičnost, celovitost ali zaupnost podatkov ali storitev (5. člen).

Neizpolnjevanje obveznosti priglasitve iz 30. člena je prekršek:

• Bistveni subjekt (52. člen): globa od 0,5 % do 2 % skupnega letnega prometa pravne osebe, vendar ne manj kot 10.000 EUR in ne več kot 10.000.000 EUR, odvisno od tega, kateri znesek je višji.
• Pomembni subjekt (53. člen): globa od 0,3 % do 1,4 % skupnega letnega prometa pravne osebe, vendar ne manj kot 7.000 EUR in ne več kot 7.000.000 EUR, odvisno od tega, kateri znesek je višji.

Oba člena med naštetimi kršitvami izrecno navajata neizpolnjevanje obveznosti iz prvega ali drugega odstavka 30. člena.

Praktični nasvet: pripravite postopek obravnave incidentov vnaprej — z odgovornimi osebami, kontakti in predlogami za zgodnje sporočilo (24 ur), priglasitev (72 ur) in končno poročilo (en mesec). Tako se izognete zamudam, ki lahko pomenijo prekršek. Za oceno, ali ste zavezanec in kje so vaše vrzeli, uporabite naš brezplačni pripomoček za scoping in analizo vrzeli.