NIS2 in ZInfV-1 za podjetja v pridelavi, predelavi in distribuciji živil v Sloveniji
Zakonodaja: Slovenija · ZInfV-1
Ali je živilska panoga zajeta v slovenskem zakonu?
Da, sektor je izrecno naveden. Pridelava, predelava in distribucija živil je kot sektor 4 uvrščena v Prilogo 2 Zakona o informacijski varnosti (ZInfV-1, Uradni list RS, št. 40/25), ki določa druge kritične sektorje. Vrste subjektov iz Priloge 2 so v skladu s prvo alinejo tretjega odstavka 7. člena ZInfV-1 pomembni subjekti.
Prvi korak za vaše podjetje je preprost: primerjajte svojo dejansko dejavnost z besedilom sektorja iz Priloge 2 (spodaj citirano dobesedno) in šele nato popišite ključne informacijske sisteme — torej tiste omrežne in informacijske sisteme s pripadajočimi podatki, brez katerih zavezanec ne more neprekinjeno izvajati storitev iz Priloge 1 ali 2 (20. točka 5. člena). Kratka notranja samoocena zavezanosti je hitrejša in cenejša od naknadnega inšpekcijskega postopka.
Kako ZInfV-1 poimenuje živilski sektor (dobesedno besedilo)
V Prilogi 2 ZInfV-1 je sektor 4. Pridelava, predelava in distribucija živil opisan z naslednjim besedilom, ki določa vrsto subjekta:
> "živilske dejavnosti, kot so opredeljene v 2. točki 3. člena Uredbe 178/2002/ES in ki se ukvarjajo s prodajo na debelo ter industrijsko pridelavo in predelavo"
Iz tega izhajata dve praktični merili, ki ju je treba preveriti skupaj:
- podjetje opravlja živilsko dejavnost v smislu 2. točke 3. člena Uredbe 178/2002/ES in
- se ukvarja s prodajo na debelo ter industrijsko pridelavo in predelavo.
Opis se torej nanaša na industrijsko raven in veleprodajo, ne pa na vsako gostinsko ali maloprodajno dejavnost. Če je vaša umestitev mejna, pravni učinek presoje ostaja pri pristojnem organu — v tem primeru se oprite na objavljene smernice Urada Vlade Republike Slovenije za informacijsko varnost (URSIV) kot uradni vir.
Bistveni ali pomembni subjekt — kdo odloča o razvrstitvi
ZInfV-1 zavezance v 7. členu deli na bistvene subjekte in pomembne subjekte. Razvrstitev je pomembna predvsem zaradi nadzora in višine glob, saj so vsebinske varnostne obveznosti za obe skupini praktično enake.
Kar zakon določa za vaš sektor:
- Vrste subjektov iz Priloge 2, kamor spada živilski sektor, so pomembni subjekti (prva alineja tretjega odstavka 7. člena).
- Pomembni subjekti so tudi drugi subjekti ali organi, ki niso bistveni subjekti na podlagi drugega odstavka 7. člena.
- Velikostni pragovi iz 1. točke drugega odstavka 7. člena — vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letna bilančna vsota vsaj 43 milijonov eurov — se nanašajo na vrste subjektov iz Priloge 1, ne na Prilogo 2.
- Ne glede na sektor je subjekt bistveni subjekt, če je določen kot kritični na podlagi zakona, ki ureja kritično infrastrukturo (6. točka drugega odstavka 7. člena).
- Vlada lahko z odločbo posamezne subjekte določi kot zavezance; zoper te odločbe pritožba ni dovoljena, dovoljen pa je upravni spor (peti odstavek 7. člena).
Za natančno uporabo meril velikosti pri konkretnem podjetju velja preveriti objavljene smernice pristojnega nadzornega organa: Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (uradni vir).
Temeljne obveznosti: varnostni ukrepi in vloga vodstva
Osrednja obveznost je v 22. členu ZInfV-1. Bistveni in pomembni subjekti morajo sprejeti tehnične, operativne in organizacijske varnostne ukrepe za zagotavljanje celovitosti, avtentičnosti, zaupnosti in razpoložljivosti omrežnih in informacijskih sistemov. Za živilski sektor zakon ne določa posebnih dodatnih ukrepov — 22. člen velja enako za vse bistvene in pomembne subjekte.
Ukrepi morajo temeljiti na pristopu upoštevanja vseh nevarnosti in obsegati najmanj (izbor iz drugega odstavka 22. člena):
- podporo vodstva subjekta ter vključitev informacijske in kibernetske varnosti v letni načrt poslovanja ali letni program dela;
- osnovne prakse kibernetske higiene in usposabljanje zaposlenih;
- preverjanje identitete uporabnikov in upravljanje pooblastil za dostop;
- izvajanje in upravljanje varnostnih kopij podatkov;
- zagotavljanje in ohranjanje dnevniških zapisov (skladno s 24. členom);
- varnost dobavne verige z minimalnimi zahtevami za ključne dobavitelje in ponudnike storitev;
- fizično in tehnično varovanje prostorov s ključnimi deli sistemov;
- upravljanje in preprečevanje izrab tehničnih ranljivosti ter zaščito pred zlonamerno programsko kodo;
- uporabo večfaktorske avtentikacije ali rešitev neprekinjene avtentikacije, kadar je to potrebno zaradi obvladovanja tveganj;
- politike in postopke v zvezi z uporabo oblačnih storitev in kriptografije.
Ukrepi morajo biti sorazmerni: upoštevajo se stopnja izpostavljenosti tveganjem, velikost subjekta, verjetnost pojava incidentov in resnost morebitnih incidentov (tretji odstavek 22. člena). Izpolnjevanje ukrepov je treba preverjati najmanj enkrat letno ali v rednih obdobjih iz lastne politike in ob zaznanih ranljivostih, ob ugotovljenih pomanjkljivostih pa nemudoma sprejeti popravne ukrepe (peti odstavek 22. člena). Ukrepi morajo biti tudi preverljivi, tako da je na zahtevo pristojnega organa mogoče predložiti dokazila o njihovi izvedbi (13. odstavek 22. člena).
Odgovornost vodstva potrjuje tudi art 20(1) Direktive (EU) 2022/2555: organi upravljanja odobrijo ukrepe za obvladovanje tveganj, nadzorujejo njihovo izvajanje in lahko odgovarjajo za kršitve.
Priglasitev incidentov in roki
Postopek priglasitve pomembnih incidentov ureja 30. člen ZInfV-1. Bistveni in pomembni subjekti priglasitve predložijo pristojni skupini CSIRT:
| Faza | Rok |
|---|---|
| Zgodnje sporočilo | nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta |
| Priglasitev incidenta z začetno oceno | nemudoma, najpozneje pa v 72 urah po zaznavi pomembnega incidenta |
| Vmesno poročilo | na zahtevo skupine CSIRT |
| Končno poročilo | najpozneje v enem mesecu po predložitvi priglasitve incidenta |
| Poročilo o napredku | če incident ob končnem poročilu še poteka; končno poročilo nato najpozneje en mesec po rešitvi incidenta |
Zgodnje sporočilo naj po potrebi pokaže, ali je bil incident domnevno povzročen z nezakonitim ali zlonamernim dejanjem in ali bi lahko imel čezmejni vpliv. Končno poročilo vsebuje podroben opis incidenta z resnostjo in vplivom, vrsto grožnje ali temeljnega vzroka, izvedene blažilne ukrepe in po potrebi čezmejni vpliv.
Incident je pomemben, če je povzročil ali lahko povzroči hude motnje v delovanju storitev ali finančno izgubo za subjekt oziroma če je vplival ali lahko vpliva na druge fizične ali pravne osebe s povzročitvijo znatne premoženjske ali nepremoženjske škode (art 23(3) Direktive (EU) 2022/2555).
Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (10. člen), ki prek Inšpekcije za informacijsko varnost opravlja tudi naloge inšpekcijskega nadzora. Točen elektronski kanal za priglasitev pri pristojni skupini CSIRT preverite v objavljenih smernicah pristojnega nadzornega organa.
Globe: koliko stane neizpolnjevanje
Ker so živilska podjetja iz Priloge 2 praviloma pomembni subjekti, se zanje uporablja 53. člen ZInfV-1; za bistvene subjekte velja 52. člen.
| Kršitelj | Pomembni subjekt (53. člen) | Bistveni subjekt (52. člen) |
|---|---|---|
| Pravna oseba | od 0,3 % do 1,4 % skupnega letnega prometa v preteklem poslovnem letu, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji | od 0,5 % do 2 % skupnega letnega prometa v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji |
| Samostojni podjetnik posameznik | od 3.000 do 20.000 eurov | od 5.000 do 25.000 eurov |
| Odgovorna oseba | od 1.000 do 7.000 eurov | od 1.000 do 10.000 eurov |
Te globe se med drugim nanašajo na neizpolnitev obveznosti iz 22. člena (varnostni ukrepi), 24. člena (dnevniški zapisi), 29. člena in 30. člena (priglasitev incidentov). Za lažje kršitve so v četrtem odstavku 53. člena predvidene globe od 1.000 do 10.000 eurov za pravno osebo (v 52. členu od 3.000 do 15.000 eurov).
Šifre dejavnosti (NACE Rev. 2)
Vnosi tega sektorja v prilogah NIS2 ustrezajo ena proti ena naslednjim šifram dejavnosti NACE Rev. 2. Seznam zajema samo enoznačna ujemanja — nekateri vnosi so opredeljeni z dejavnostjo samo, ne s šifro.
NACE 10 — Proizvodnja živil
Šifre dejavnosti SKD 2025 v tem sektorju
Šifre so povezane samodejno: šifre NACE Rev. 2 sektorja so prek uradne Eurostatove pretvorbene tabele povezane z razredi NACE Rev. 2.1 in od tam s šiframi SKD 2025. Kadar ujemanje ni enoznačno, je šifra izpuščena — seznam je namenoma prej ožji kot širši.
SKD 10.110 — Proizvodnja mesa, razen perutninskegaSKD 10.120 — Proizvodnja perutninskega mesaSKD 10.130 — Proizvodnja mesnih izdelkovSKD 10.200 — Predelava in konzerviranje rib, rakov in mehkužcevSKD 10.310 — Predelava in konzerviranje krompirjaSKD 10.320 — Proizvodnja sadnih in zelenjavnih sokovSKD 10.390 — Druga predelava in konzerviranje sadja in zelenjaveSKD 10.410 — Proizvodnja olja in maščobSKD 10.420 — Proizvodnja margarine in podobnih jedilnih maščobSKD 10.510 — Proizvodnja mlečnih izdelkovSKD 10.520 — Proizvodnja sladoleda in drugih ledenih sladicSKD 10.610 — MlinarstvoSKD 10.620 — Proizvodnja škroba in škrobnih izdelkovSKD 10.710 — Proizvodnja kruha, svežega peciva in slaščicSKD 10.720 — Proizvodnja prepečenca, piškotov, trajnega peciva in slaščicSKD 10.730 — Proizvodnja testeninSKD 10.810 — Proizvodnja sladkorjaSKD 10.820 — Proizvodnja kakava, čokolade in sladkornih izdelkovSKD 10.830 — Predelava čaja in kaveSKD 10.840 — Proizvodnja začimb, dišav in drugih dodatkovSKD 10.850 — Proizvodnja pripravljenih jedi in obrokovSKD 10.860 — Proizvodnja homogeniziranih in dietetičnih živilSKD 10.890 — Proizvodnja drugih živil, d. n.SKD 10.910 — Proizvodnja krmilSKD 10.920 — Proizvodnja hrane za hišne živali
Je vaša šifra SKD na seznamu? Preverite, ali NIS2 velja za vas
Glejte tudi stran sektorja: Živila
Pogosta vprašanja
Ali je majhno živilsko podjetje samodejno zavezanec po ZInfV-1?
Priloga 2 ZInfV-1 sektor opisuje kot živilske dejavnosti, ki se ukvarjajo s prodajo na debelo ter industrijsko pridelavo in predelavo. Vrste subjektov iz Priloge 2 so po tretjem odstavku 7. člena pomembni subjekti. Merila velikosti za konkretno podjetje preverite v objavljenih smernicah Urada Vlade Republike Slovenije za informacijsko varnost (URSIV) kot uradnem viru.
Kakšna je razlika med bistvenim in pomembnim subjektom za živilsko podjetje?
Vsebinske obveznosti iz 22. člena veljajo enako za obe skupini. Razlika je predvsem v razponu glob: 53. člen za pomembne subjekte določa od 0,3 % do 1,4 % skupnega letnega prometa (najmanj 7.000 in največ 7.000.000 eurov), 52. člen za bistvene subjekte pa od 0,5 % do 2 % (najmanj 10.000 in največ 10.000.000 eurov).
V kakšnem roku moramo priglasiti pomemben incident?
Po 30. členu ZInfV-1 je treba pristojni skupini CSIRT nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta, poslati zgodnje sporočilo, nato pa nemudoma, najpozneje pa v 72 urah, priglasitev incidenta z začetno oceno. Končno poročilo je treba predložiti najpozneje v enem mesecu po tej priglasitvi.
Ali ima živilski sektor posebne varnostne zahteve?
Ne. ZInfV-1 v 22. členu določa enak nabor varnostnih ukrepov za vse bistvene in pomembne subjekte; sorazmernost se prilagodi glede na izpostavljenost tveganjem, velikost subjekta ter verjetnost in resnost incidentov (tretji odstavek 22. člena).
Preverite svojo skladnost z NIS2
Začnite brezplačno preverjanje področja uporabe
Izvedite brezplačno samooceno Zaženite brezplačen zunanji varnostni pregled
Celovit vodnik NIS2 — Slovenija →
Oglejte si brezplačen vzorčni paket →
Ta članek vsebuje splošne informacije, ne pravni nasvet. Za svojo konkretno situacijo se posvetujte s kvalificiranim strokovnjakom.
Vsebina temelji na različici zakona ZInfV-1, veljavni od 2025-06-04 (kontrolna vsota f5ea732963c3).