NIS2 v Sloveniji: celoten vodnik po Zakonu o informacijski varnosti (ZInfV-1)

Kaj je ZInfV-1 in kako se povezuje z direktivo NIS2

Če ste direktor ali direktorica podjetja v Sloveniji in ste zasledili pojem NIS2, je ključni domači predpis, ki vas zadeva, Zakon o informacijski varnosti (ZInfV-1), objavljen v Uradnem listu RS št. 40/25.

Zakon ureja področje informacijske in kibernetske varnosti ter določa nacionalni sistem informacijske varnosti v Republiki Sloveniji (1. člen). Med drugim določa ukrepe za obvladovanje tveganj za informacijsko in kibernetsko varnost, obveznost poročanja zavezancev, pravila glede izmenjave informacij ter nadzor.

ZInfV-1 je slovenski prenos evropske ureditve NIS2. V besedilu se zakon večkrat izrecno sklicuje na Direktivo 2022/2555/EU (na primer glede varnosti dobavne verige v četrtem odstavku 22. člena in izvedbenih aktov Evropske komisije).

Kaj to pomeni za vodstvo? Gre za pravno obveznost, ne za priporočilo. Prvi korak je ugotoviti, ali vaša organizacija sploh spada med zavezance — in če spada, ali kot bistveni ali pomembni subjekt.

Kdo je zavezanec: bistveni in pomembni subjekti

ZInfV-1 zavezance deli na dve kategoriji: bistveni subjekt (essential) in pomembni subjekt (important). Razvrstitev (7. člen) je odvisna od sektorja (Priloga 1 ali Priloga 2), velikosti in nekaterih posebnih meril.

Bistveni subjekti so med drugim:

• vrste subjektov iz Priloge 1, ki imajo vsaj 250 zaposlenih ali letni promet vsaj 50 milijonov eurov ali letno bilančno vsoto vsaj 43 milijonov eurov;
• ponudniki kvalificiranih storitev zaupanja, registri TLD imen in ponudniki storitev DNS — ne glede na velikost;
• ponudniki javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev z vsaj 50 zaposlenimi in letnim prometom ali bilančno vsoto vsaj 10 milijonov eurov;
• subjekti javne uprave na državni ravni;
• subjekti, določeni kot kritični na podlagi zakona, ki ureja kritično infrastrukturo.

Pomembni subjekti so med drugim:

• vrste subjektov iz Priloge 2;
• drugi subjekti ali organi, ki niso bistveni subjekti po drugem odstavku 7. člena.

Zakon uporablja pristop, po katerem velikost in sektor določata razvrstitev. Ker se natančni seznami sektorjev nahajajo v Prilogah 1 in 2, priporočamo strukturirano preverjanje (scoping), preden sklepate, da vas zakon ne zadeva.

Registracija zavezancev in rok

ZInfV-1 v V. poglavju ureja pristojnost in registracijo zavezancev. Registracija je pomemben upravni korak, s katerim se vaša organizacija formalno vpiše kot zavezanec pri pristojnem nacionalnem organu.

Točen postopek in rok za registracijo: [TÄPSUSTAB PARTNER-JURIST]. V zagotovljenem pravnem kontekstu natančen rok registracije ni izrecno naveden, zato ga tukaj namerno ne navajamo, da ne bi zavajali. Priporočamo, da ta rok in točen kanal registracije potrdi partnerski odvetnik ob konkretnem scopingu.

Ključno sporočilo za vodstvo: ne odlašajte z ugotavljanjem statusa. Šele ko veste, ali ste bistveni ali pomembni subjekt, lahko načrtujete registracijo, uvedbo varnostnih ukrepov in vzpostavitev priglasitvenih postopkov.

Varnostni ukrepi: preglednica po 22. členu ZInfV-1

Srce zakona je 22. člen — ukrepi za obvladovanje tveganj (slovenski ustreznik zahtev iz art 21(2) direktive). Bistveni in pomembni subjekti morajo sprejeti tehnične, operativne in organizacijske ukrepe na podlagi pristopa upoštevanja vseh nevarnosti.

Drugi odstavek 22. člena zahteva, da ukrepi obsegajo najmanj naslednje. Uporabite to kot pregledno kontrolno listo:

Ukrepi morajo biti sorazmerni — upoštevajo se stopnja izpostavljenosti tveganjem, velikost subjekta, verjetnost incidentov in resnost morebitnih incidentov. Subjekti morajo izpolnjevanje ukrepov preverjati najmanj enkrat letno in ob zaznanih ranljivostih ter nemudoma sprejeti popravne ukrepe (peti odstavek 22. člena).

Priglasitev incidentov: roki 24 ur, 72 ur, mesec dni

Za priglasitev pomembnih incidentov velja 30. člen ZInfV-1. Bistveni in pomembni subjekti predložijo pristojni skupini CSIRT naslednje:

• Zgodnje sporočilo — nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta. Iz njega je po potrebi razvidno, ali je bil incident domnevno povzročen z nezakonitim ali zlonamernim dejanjem in ali bi lahko imel čezmejni vpliv.
• Priglasitev incidenta — nemudoma, najpozneje pa v 72 urah po zaznavi. Posodobi informacije iz zgodnjega sporočila in navede začetno oceno resnosti in vpliva ter, kadar so na voljo, kazalnike ogroženosti.
• Vmesno poročilo — na zahtevo skupine CSIRT.
• Končno poročilo — najpozneje v enem mesecu po predložitvi priglasitve incidenta, s podrobnim opisom incidenta, vrsto grožnje ali temeljnega vzroka, izvedenimi blažilnimi ukrepi in po potrebi čezmejnim vplivom.
• Če incident ob predložitvi končnega poročila še vedno poteka, se predloži poročilo o napredku, končno poročilo pa najpozneje en mesec po rešitvi incidenta.

Posebnost za ponudnike storitev zaupanja: ti morajo pomembne incidente, ki vplivajo na njihove storitve, priglasiti nemudoma, najpozneje pa v 24 urah po zaznavi (drugi odstavek 30. člena).

Pristojna skupina CSIRT nemudoma in po možnosti v 24 urah po prejemu zgodnjega sporočila odgovori priglasitvenemu subjektu z začetnimi povratnimi informacijami. Točen elektronski kanal za priglasitev pri pristojni skupini CSIRT: [TÄPSUSTAB PARTNER-JURIST].

Globe in odgovornost vodstva

Zakon določa različne razpone glob glede na to, ali gre za bistveni ali pomembni subjekt.

Bistveni subjekti (52. člen) — za neizpolnitev ključnih obveznosti (med drugim iz 22. člena o varnostnih ukrepih ter 29. in 30. člena o priglasitvi incidentov) se pravna oseba kaznuje z globo od 0,5 % do 2 % skupnega letnega prometa v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji.

Pomembni subjekti (53. člen) — v primerljivih primerih se pravna oseba kaznuje z globo od 0,3 % do 1,4 % skupnega letnega prometa, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji.

Oba člena predvidevata tudi ločene globe za odgovorne osebe:

Odgovornost vodstva je pri NIS2 poudarjena. Direktiva 2022/2555 v art 20(1) določa, da poslovodni organi bistvenih in pomembnih subjektov odobrijo ukrepe za obvladovanje tveganj, nadzorujejo njihovo izvajanje in so lahko odgovorni za kršitve. Zaradi tega informacijska varnost ni več le tema oddelka IT — je odgovornost vodstva.

Nadzorni organ URSIV in kako izgleda nadzor

Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) (10. člen).

URSIV med drugim:

• koordinira delovanje nacionalnega sistema informacijske varnosti;
• zavezancem nudi strokovno podporo na področju informacijske varnosti;
• opravlja naloge inšpekcijskega nadzora prek Inšpekcije za informacijsko varnost, ki je njegova notranja organizacijska enota;
• pripravlja predloge predpisov s področja informacijske in kibernetske varnosti;
• je enotna kontaktna točka in Nacionalni koordinacijski center za kibernetsko varnost;
• vsaj vsaki dve leti pregleduje ustreznost določitve nekaterih zavezancev in lahko vladi predlaga posodobitev seznama.

Nadzor lahko vključuje inšpekcijski varnostni pregled, v katerem inšpektor pri zavezancu izvede identifikacijo in oceno morebitnih ranljivosti v omrežnih in informacijskih sistemih, preizkus učinkovitosti varnostnih ukrepov ter preveri ustreznost zaznavanja in obravnavanja kibernetskih incidentov (5. člen, 11. točka).

Varnostni ukrepi morajo biti tudi preverljivi: na zahtevo pristojnega organa je treba predložiti dokazila o njihovi izvedbi (13. odstavek 22. člena). Dokumentacija zato ni birokratski dodatek, temveč pogoj za dokazovanje skladnosti pri nadzoru.

Naslednji korak: preverite svoj status in vrzeli

Za vodstvo je pot do skladnosti z ZInfV-1 logična in obvladljiva:

1. Ugotovite, ali ste zavezanec ter ali ste bistveni ali pomembni subjekt (7. člen, Prilogi 1 in 2). 2. Uredite registracijo pri pristojnem nacionalnem organu ([TÄPSUSTAB PARTNER-JURIST] glede točnega roka in kanala). 3. Uvedite 17 področij varnostnih ukrepov iz 22. člena in poskrbite za odobritev na ravni vodstva. 4. Vzpostavite priglasitvene postopke z roki 24 ur, 72 ur in enega meseca (30. člen). 5. Redno preverjajte izpolnjevanje ukrepov (najmanj enkrat letno) in vzdržujte dokazila za nadzor.

Dober začetek je strukturiran pregled obsega (scoping) in analiza vrzeli (gap analysis). S tem hitro vidite, kje ste skladni in kje vas čaka delo — še preden pride do inšpekcijskega pregleda ali incidenta.

Preizkusite naše brezplačno orodje za scoping in analizo vrzeli, da v nekaj korakih ocenite svoj status po ZInfV-1 in pripravite načrt ukrepov.