NIS2 korak za korakom: energetika v Sloveniji
Vodnik povzema sedem korakov, ki izhajajo iz Zakona o informacijski varnosti (ZInfV-1, Uradni list RS, št. 40/25). Energetika je v Prilogi 1 uvrščena med visoko kritične sektorje, zavezanci pa se delijo na bistvene in pomembne subjekte (7. člen). Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (10. člen).
Brezplačno preverjanje uporabnosti traja približno tri minute. Celoten paket dokumentov NIS2 je običajno pripravljen v eni uri po plačilu — ne v dnevih ali tednih.
Ta vodnik opisuje zahteve zakona na splošni ravni in ni pravni nasvet. Uporabnost je odvisna od profila podjetja (sektor, velikost, storitve) — brezplačno preverjanje uporabnosti pokaže, ali in v kolikšni meri zakon velja za vaše podjetje.
1. Uvrstitev energetskega podjetja med zavezance
ZInfV-1 zavezance deli na bistvene in pomembne subjekte (7. člen). Energija je v Prilogi 1 navedena kot visoko kritični sektor s podsektorji elektrika, daljinsko ogrevanje in hlajenje, nafta, plin ter vodik, vrste subjektov pa so opredeljene z napotitvijo na sektorske predpise, med drugim na ZOEE in ZOP. Kot bistveni subjekt zakon obravnava vrsto subjekta iz Priloge 1, ki dosega 250 zaposlenih ali 50 milijonov eurov letnega prometa oziroma 43 milijonov eurov letne bilančne vsote (7. člen). Subjekti, ki meril za bistveni subjekt ne dosegajo, so po tretjem odstavku 7. člena pomembni subjekti, med katere sodijo tudi vrste subjektov iz Priloge 2.
SKD 06.100 — Pridobivanje surove nafteSKD 06.200 — Pridobivanje zemeljskega plinaSKD 19.200 — Proizvodnja rafiniranih naftnih proizvodov in proizvodov iz fosilnih gorivSKD 35.110 — Proizvodnja električne energije iz neobnovljivih virovSKD 35.120 — Proizvodnja električne energije iz obnovljivih virovSKD 35.130 — Prenos električne energije
Glejte tudi stran sektorja: Energetika · Kategorije subjektov NIS2 — Slovenija
2. Vloga vodstva in usposabljanje
Direktiva 2022/2555/EU v 20. členu določa, da upravljalni organi bistvenih in pomembnih subjektov odobrijo ukrepe za obvladovanje tveganj, nadzirajo njihovo izvajanje in lahko odgovarjajo za kršitve. V slovenskem pravu 22. člen med obvezne varnostne ukrepe uvršča podporo vodstva pri zagotavljanju informacijske in kibernetske varnosti, to področje pa se umesti v letni načrt poslovanja ali letni program dela. Isti člen med ukrepe šteje osnovne prakse kibernetske higiene in usposabljanje zaposlenih na tem področju. Za prekrške iz prvega odstavka 52. člena zakon predpisuje globo tudi odgovorni osebi pravne osebe.
Obveznost usposabljanja upravljalnih organov po NIS2 po državah
3. Obvladovanje tveganj kot podlaga
Zakon tveganje opredeljuje kot možnost izgube ali motnje zaradi incidenta ter kot kombinacijo razsežnosti in verjetnosti (5. člen). 22. člen nalaga tehnične, operativne in organizacijske ukrepe za obvladovanje tveganj v omrežnih in informacijskih sistemih, ki jih subjekt uporablja pri delovanju in pri opravljanju storitev. Pri presoji sorazmernosti ukrepov se upoštevajo stopnja izpostavljenosti tveganjem, velikost subjekta ter verjetnost in resnost morebitnih incidentov (22. člen). Izpolnjevanje ukrepov se preverja najmanj enkrat letno ali ob zaznanih ranljivostih, ob ugotovljenih pomanjkljivostih pa sledijo popravni ukrepi (22. člen).
Platforma ta dokument ustvari samodejno — vključen je v paket dokumentov. Storitve
4. Katalog varnostnih ukrepov
22. člen vsebuje katalog varnostnih ukrepov, ki temeljijo na pristopu upoštevanja vseh nevarnosti. Med naštetimi ukrepi so varnostne kopije podatkov, dnevniški zapisi, kriptografija in šifriranje, upravljanje pooblastil za dostop, varnost dobavne verige, fizično in tehnično varovanje prostorov s ključnimi deli sistemov, obvladovanje tehničnih ranljivosti, zaščita pred zlonamerno kodo, večfaktorska avtentikacija ter politike glede oblačnih storitev. Za energetiko zakon ne določa ločenega kataloga, saj enak nabor velja za vse bistvene in pomembne subjekte, razlike pa izhajajo iz sorazmernosti glede na tveganja in velikost subjekta. Ukrepi morajo biti med drugim učinkoviti, sorazmerni in preverljivi, tako da je mogoče pristojnemu organu na zahtevo predložiti dokazila o njihovi izvedbi (22. člen).
Ukrepi za obvladovanje tveganj po NIS2 v primerjavi z ISO 27001, DORA in GDPR
5. Priglasitev pomembnih incidentov
Pomembne incidente bistveni in pomembni subjekti priglasijo pristojni skupini CSIRT, pristojni nacionalni organ pa je Urad Vlade Republike Slovenije za informacijsko varnost (10. člen in 30. člen). Zgodnje sporočilo se predloži nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta (30. člen). Priglasitev incidenta z začetno oceno resnosti in vpliva se predloži nemudoma, najpozneje pa v 72 urah po zaznavi (30. člen). Vmesno poročilo se predloži na zahtevo skupine CSIRT, končno poročilo pa najpozneje v enem mesecu po predložitvi priglasitve incidenta (30. člen).
Roki za priglasitev incidentov po NIS2 po državah EU · Platforma ta dokument ustvari samodejno — vključen je v paket dokumentov. Storitve
6. Zapisi, politike in dokazila
Obveznosti zakona predpostavljajo zapisano in vzdrževano gradivo o varnosti. 22. člen med ukrepi navaja politike in postopke za uporabo kriptografije, za uporabo oblačnih storitev in za presojo učinkovitosti ukrepov obvladovanja tveganj. Isti člen zahteva zagotavljanje in ohranjanje dnevniških zapisov o delovanju sistemov, ukrepi pa morajo biti preverljivi, kar pomeni predložitev dokazil o izvedbi na zahtevo pristojnega organa. Za incidente 30. člen določa vsebino končnega poročila, ki obsega podroben opis incidenta z resnostjo in vplivom, vrsto grožnje ali temeljni vzrok, izvedene blažilne ukrepe in morebitni čezmejni vpliv.
Paket vključuje:
- Politika obvladovanja tveganj kibernetske varnosti
- Načrt obravnave incidentov
- Načrt neprekinjenega poslovanja
- Politika varnosti dobavne verige
- Izjava o odgovornosti vodstva in načrt usposabljanja
- Čarovnik za izpolnjevanje v portalu
Vzdrževanje (mesečno) — re-sign dokumentov po veljavnem pravu — 290 EUR/mesec — Storitve
7. Globe za prekrške
Za prekrške bistvenega subjekta 52. člen določa globo pravni osebi v razponu od 0,5 odstotka do 2 odstotkov skupnega letnega prometa iz preteklega poslovnega leta, pri čemer znesek ni nižji od 10.000 eurov in ne višji od 10.000.000 eurov. Za pomembni subjekt 53. člen določa razpon od 0,3 odstotka do 1,4 odstotka skupnega letnega prometa, z najnižjim zneskom 7.000 eurov in najvišjim zneskom 7.000.000 eurov. V obeh primerih se uporabi tisti znesek, ki je višji. Za odgovorno osebo pravne osebe je predvidena globa od 1.000 eurov do 10.000 eurov pri bistvenih subjektih in od 1.000 eurov do 7.000 eurov pri pomembnih subjektih (52. člen in 53. člen).
Pogosta vprašanja
Kdaj je energetsko podjetje bistveni subjekt?
Po 7. členu je bistveni subjekt vrsta subjekta iz Priloge 1, ki dosega 250 zaposlenih ali 50 milijonov eurov letnega prometa oziroma 43 milijonov eurov letne bilančne vsote. Energija je v Prilogi 1 uvrščena med visoko kritične sektorje. Subjekti, ki teh meril ne dosegajo, se po tretjem odstavku 7. člena štejejo za pomembne subjekte.
V kakšnih rokih se priglasi pomemben incident?
30. člen določa zgodnje sporočilo nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta. Priglasitev incidenta sledi nemudoma, najpozneje pa v 72 urah po zaznavi. Končno poročilo se predloži najpozneje v enem mesecu po predložitvi priglasitve incidenta.
Kdo izvaja nadzor nad informacijsko varnostjo?
Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (10. člen). Naloge inšpekcijskega nadzora po zakonu opravlja prek Inšpekcije za informacijsko varnost, ki je njegova notranja organizacijska enota. Priglasitve pomembnih incidentov sprejema pristojna skupina CSIRT (30. člen).
Vsebina temelji na različici zakona ZInfV-1, veljavni od 2025-06-04 (kontrolna vsota b5bb716b5d67).