NIS2 v Sloveniji: kdo so zavezanci (bistveni in pomembni subjekti)?
Kaj ureja zakon ZInfV-1 in kdo nadzoruje področje
Slovenija je pravila EU o kibernetski varnosti (NIS2) prenesla v nacionalni pravni red z Zakonom o informacijski varnosti (ZInfV-1), objavljenim v Uradnem listu RS št. 40/25.
Zakon po 1. členu ureja področje informacijske in kibernetske varnosti ter določa nacionalni sistem informacijske varnosti v Republiki Sloveniji. Med drugim določa ukrepe za obvladovanje tveganj za informacijsko in kibernetsko varnost ter obveznost poročanja zavezancev.
Pristojni nacionalni organ je po 10. členu Urad Vlade Republike Slovenije za informacijsko varnost (URSIV). URSIV med drugim koordinira delovanje nacionalnega sistema informacijske varnosti, nudi strokovno podporo zavezancem in prek Inšpekcije za informacijsko varnost opravlja naloge inšpekcijskega nadzora.
Ključno vprašanje za vsako organizacijo je: ali sploh spadam med zavezance? Zakon zavezance deli na dve kategoriji — bistvene subjekte in pomembne subjekte (7. člen).
Bistveni subjekti: kdo so in kateri pragovi veljajo
Po drugem odstavku 7. člena ZInfV-1 so bistveni subjekti predvsem:
- vrste subjektov iz Priloge 1, ki imajo vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov;
- ponudniki kvalificiranih storitev zaupanja, registri TLD imen in ponudniki storitev DNS — ne glede na njihovo velikost;
- ponudniki javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev z vsaj 50 zaposlenimi in letnim prometom ali letno bilančno vsoto vsaj 10 milijonov eurov;
- subjekti javne uprave na državni ravni;
- subjekti, ki so določeni kot kritični na podlagi zakona, ki ureja kritično infrastrukturo;
- določene druge vrste subjektov iz Priloge 1, ki jih z odločbo določi vlada na predlog pristojnega nacionalnega organa;
- določeni subjekti iz sektorja 9. Upravljanje storitev IKT iz Priloge 1, ki jih na predlog pristojnega nacionalnega organa določi vlada.
Merila štetja zaposlenih, prometa in bilančne vsote uporabite skupaj s seznamom vrst subjektov iz Priloge 1. Natančno uvrstitev vaše dejavnosti v konkretno vrsto subjekta iz Priloge 1 velja preveriti — [TÄPSUSTAB PARTNER-JURIST].
Pomembni subjekti: kdo spada v to skupino
Po tretjem odstavku 7. člena ZInfV-1 so pomembni subjekti:
- vrste subjektov iz Priloge 2 tega zakona, vključno s tistimi, ki jih z odločbo določi vlada na predlog pristojnega nacionalnega organa;
- določeni ponudniki elektronskih komunikacijskih omrežij oziroma storitev, ki jih z odločbo določi vlada (na podlagi pobude Uprave Republike Slovenije za zaščito in reševanje s poimenskim seznamom);
- drugi subjekti ali organi, ki niso bistveni subjekti po drugem odstavku 7. člena.
Z drugimi besedami: če vaša dejavnost sodi v katero od zajetih vrst subjektov, a ne dosežete pragov ali pogojev za bistveni subjekt, boste praviloma uvrščeni med pomembne subjekte.
Pomembno: razlika med kategorijama ni le v poimenovanju. Vpliva na višino globe ob kršitvah (glej naslednji razdelek), medtem ko so temeljne varnostne obveznosti iz 22. člena za obe skupini v veliki meri enake.
Kaj zajema uvrstitev: obveznosti in sankcije
Ne glede na to, ali ste bistveni ali pomembni subjekt, po 22. členu ZInfV-1 morate sprejeti tehnične, operativne in organizacijske ukrepe za obvladovanje tveganj. Ti temeljijo na pristopu upoštevanja vseh nevarnosti in vključujejo najmanj:
- podporo vodstva ter vključitev kibernetske varnosti v letni načrt poslovanja;
- osnovne prakse kibernetske higiene in usposabljanje;
- upravljanje dostopov, varnostne kopije in vodenje dnevniških zapisov;
- varnost dobavne verige;
- fizično in tehnično varovanje, zaščito pred zlonamerno kodo ter uporabo večfaktorske avtentikacije, kadar je to potrebno.
Pri sorazmernosti ukrepov se upoštevajo stopnja izpostavljenosti tveganjem, velikost subjekta, verjetnost pojava incidentov in resnost morebitnih incidentov.
Velja tudi obveznost priglasitve pomembnih incidentov (30. člen): pristojni skupini CSIRT je treba predložiti zgodnje sporočilo najpozneje v 24 urah in priglasitev incidenta najpozneje v 72 urah po zaznavi.
Sankcije se razlikujejo po kategoriji zavezanca:
| Kategorija | Najvišja globa za pravno osebo |
|---|---|
| Bistveni subjekt (52. člen) | od 0,5 % do 2 % skupnega letnega prometa, ne manj kot 10.000 EUR in ne več kot 10.000.000 EUR (kar je višje) |
| Pomembni subjekt (53. člen) | od 0,3 % do 1,4 % skupnega letnega prometa, ne manj kot 7.000 EUR in ne več kot 7.000.000 EUR (kar je višje) |
Zaradi tega razlikovanja je pravilna samoidentifikacija prvi in najpomembnejši korak.
Pogosta vprašanja
Kakšna je razlika med bistvenim in pomembnim subjektom?
Bistveni subjekti (bistveni subjekt) so praviloma večje ali kritične organizacije iz Priloge 1, ki dosegajo določene pragove (npr. vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov), ter nekateri subjekti ne glede na velikost. Pomembni subjekti (pomembni subjekt) so vrste subjektov iz Priloge 2 in drugi zavezanci, ki niso bistveni. Kategorija med drugim vpliva na najvišjo globo — do 10.000.000 EUR oziroma 2 % prometa za bistvene ter do 7.000.000 EUR oziroma 1,4 % prometa za pomembne subjekte.
Kateri velikostni pragovi določajo, ali sem bistveni subjekt?
Po drugem odstavku 7. člena ZInfV-1 med bistvene subjekte spadajo vrste subjektov iz Priloge 1 z vsaj 250 zaposlenimi ali letnim prometom vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov. Za ponudnike javnih elektronskih komunikacij velja poseben prag (vsaj 50 zaposlenih in vsaj 10 milijonov eurov prometa ali bilančne vsote). Nekateri subjekti, kot so ponudniki kvalificiranih storitev zaupanja in ponudniki storitev DNS, so bistveni ne glede na velikost.
Kdo je pristojni nadzorni organ v Sloveniji?
Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV), kot določa 10. člen ZInfV-1. URSIV med drugim koordinira nacionalni sistem informacijske varnosti in prek Inšpekcije za informacijsko varnost opravlja inšpekcijski nadzor.
Kaj moram storiti, če ugotovim, da spadam med zavezance?
Zavezanci morajo po 22. členu ZInfV-1 sprejeti tehnične, operativne in organizacijske varnostne ukrepe ter po 30. členu priglasiti pomembne incidente (zgodnje sporočilo v 24 urah, priglasitev v 72 urah). Priporočljivo je, da najprej opravite oceno obsega in vrzeli ter uvrstitev v konkretno vrsto subjekta potrdite s pravnim svetovanjem.
Preverite svojo skladnost z NIS2
Začnite brezplačni scoping test
Izvedite brezplačno gap analizo Zaženite brezplačno površinsko skeniranje
Celovit vodnik NIS2 — Slovenija →
Ta članek je splošna informacija, ne pravni nasvet. Partnerski odvetnik potrdi vaš konkretni položaj.