NIS2 korak za korakom: javna uprava v Sloveniji
Vodnik v sedmih korakih povzema, kaj Zakon o informacijski varnosti (ZInfV-1) določa za javno upravo v Sloveniji. Subjekti javne uprave na državni ravni so po 7. členu uvrščeni med bistvene subjekte, mestne občine iz Priloge 2 pa med pomembne subjekte. Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (10. člen).
Brezplačno preverjanje uporabnosti traja približno tri minute. Celoten paket dokumentov NIS2 je običajno pripravljen v eni uri po plačilu — ne v dnevih ali tednih.
Ta vodnik opisuje zahteve zakona na splošni ravni in ni pravni nasvet. Uporabnost je odvisna od profila podjetja (sektor, velikost, storitve) — brezplačno preverjanje uporabnosti pokaže, ali in v kolikšni meri zakon velja za vaše podjetje.
1. Ali zakon velja za organ javne uprave
ZInfV-1 zavezance deli na bistvene in pomembne subjekte (7. člen). Med visoko kritične sektorje iz Priloge 1 je uvrščena javna uprava, in sicer subjekti javne uprave na državni ravni, ki jih 5. člen opredeljuje kot ministrstva in organe v njihovi sestavi, vladne službe ter upravne enote. Ti subjekti so po 7. členu bistveni subjekti, mestne občine iz podsektorja lokalne samouprave pa so navedene v Prilogi 2 in po istem členu spadajo med pomembne subjekte. Splošna velikostna merila iz 7. člena, torej 250 zaposlenih oziroma 50 milijonov eurov letnega prometa ali 43 milijonov eurov letne bilančne vsote, se nanašajo na vrste subjektov iz Priloge 1 po prvi točki drugega odstavka.
SKD 84.110 — Splošna dejavnost javne upraveSKD 84.120 — Urejanje zdravstva, izobraževanja, kulturnih in drugih socialnih storitevSKD 84.130 — Urejanje gospodarskih področij za učinkovitejše poslovanjeSKD 84.210 — Urejanje zunanjih zadevSKD 84.220 — ObrambaSKD 84.230 — Sodstvo
Glejte tudi stran sektorja: Javna uprava · Kategorije subjektov NIS2 — Slovenija
2. Odgovornost vodstva in usposabljanje
Po 20. členu Direktive (EU) 2022/2555 poslovodni organi bistvenih in pomembnih subjektov potrdijo ukrepe za obvladovanje tveganj za kibernetsko varnost, nadzorujejo njihovo izvajanje in lahko odgovarjajo za kršitve, pri čemer ta določba ne posega v nacionalna pravila o odgovornosti javnih institucij, javnih uslužbencev ter izvoljenih ali imenovanih funkcionarjev. ZInfV-1 med obvezne varnostne ukrepe iz 22. člena uvršča podporo vodstva subjekta pri zagotavljanju informacijske in kibernetske varnosti ter umestitev tega področja v letni načrt poslovanja oziroma letni program dela. Isti člen kot minimalni ukrep navaja osnovne prakse kibernetske higiene in usposabljanje s področja informacijske ter kibernetske varnosti. Zakon odgovornost naslavlja tudi na odgovorne osebe v državnem organu ali samoupravni lokalni skupnosti, za katere 52. člen predvideva globo.
Obveznost usposabljanja upravljalnih organov po NIS2 po državah
3. Analiza tveganj kot podlaga
Direktiva (EU) 2022/2555 v 21. členu med minimalne ukrepe uvršča politike o analizi tveganja in varnosti informacijskih sistemov. ZInfV-1 v 22. členu zahteva pristop upoštevanja vseh nevarnosti, ki varuje omrežne in informacijske sisteme skupaj z njihovim fizičnim okoljem pred incidenti. Pri presoji sorazmernosti ukrepov isti člen upošteva stopnjo izpostavljenosti tveganjem, velikost subjekta ter verjetnost in resnost morebitnih incidentov, vključno z njihovim družbenim in gospodarskim vplivom. Zakon določa tudi preverjanje izpolnjevanja varnostnih ukrepov najmanj enkrat letno ali v obdobjih iz lastne politike subjekta, ob ugotovljenih pomanjkljivostih pa sprejem popravnih ukrepov.
Platforma ta dokument ustvari samodejno — vključen je v paket dokumentov. Storitve
4. Katalog varnostnih ukrepov
22. člen ZInfV-1 določa nabor tehničnih, operativnih in organizacijskih ukrepov, ki je enak za bistvene in pomembne subjekte. Zakon našteva sedemnajst skupin obveznih ukrepov, med njimi integriteto kadrov, upravljanje dostopov, varnostne kopije, dnevniške zapise, kriptografijo, varnost dobavne verige, fizično varovanje prostorov, obvladovanje ranljivosti, zaščito pred zlonamerno kodo, večfaktorsko avtentikacijo in politike glede oblačnih storitev. Za organe, ki se povezujejo s centralnim državnim informacijsko-komunikacijskim sistemom, isti člen določa, da upravljavec tega sistema povezanim subjektom predpiše minimalne varnostne zahteve. Ukrepi morajo biti po istem členu med drugim učinkoviti, sorazmerni s tveganji in preverljivi, tako da je o njihovi izvedbi mogoče predložiti dokazila.
Ukrepi za obvladovanje tveganj po NIS2 v primerjavi z ISO 27001, DORA in GDPR
5. Priglasitev pomembnih incidentov
Bistveni in pomembni subjekti pomembne incidente priglasijo pristojni skupini CSIRT, pristojni nacionalni organ pa je Urad Vlade Republike Slovenije za informacijsko varnost (10. člen). Po 30. členu subjekt zgodnje sporočilo predloži nemudoma, najpozneje v 24 urah po zaznavi pomembnega incidenta. Priglasitev incidenta z začetno oceno resnosti in vpliva isti člen umešča nemudoma, najpozneje v 72 urah po zaznavi. Končno poročilo z opisom incidenta, vrsto grožnje ali temeljnim vzrokom in izvedenimi blažilnimi ukrepi sledi najpozneje v enem mesecu po priglasitvi incidenta, vmesno poročilo pa lahko skupina CSIRT zahteva sproti.
Roki za priglasitev incidentov po NIS2 po državah EU · Platforma ta dokument ustvari samodejno — vključen je v paket dokumentov. Storitve
6. Dokumentiranje in dokazila
Iz 22. člena ZInfV-1 izhaja, da so del varnostnih ukrepov tudi zapisane politike in postopki, na primer glede uporabe kriptografije in šifriranja ter glede uporabe oblačnih storitev. Isti člen predvideva politiko in postopke za presojo učinkovitosti ukrepov za obvladovanje tveganj, na podlagi katerih se izvaja redno preverjanje. Zakon zahteva, da so ukrepi preverljivi in da se na zahtevo pristojnega organa predložijo dokazila o njihovi izvedbi. Vsebina končnega poročila o incidentu je določena v 30. členu in obsega opis incidenta z resnostjo in vplivom, vzrok ter izvedene in tekoče blažilne ukrepe.
Paket vključuje:
- Politika obvladovanja tveganj kibernetske varnosti
- Načrt obravnave incidentov
- Načrt neprekinjenega poslovanja
- Politika varnosti dobavne verige
- Izjava o odgovornosti vodstva in načrt usposabljanja
- Čarovnik za izpolnjevanje v portalu
Vzdrževanje (mesečno) — re-sign dokumentov po veljavnem pravu — 290 EUR/mesec — Storitve
7. Globe po zakonu
Za prekrške bistvenih subjektov 52. člen ZInfV-1 določa globo pravni osebi v razponu od 0,5 odstotka do 2 odstotka skupnega letnega prometa iz preteklega poslovnega leta, pri čemer znesek ni nižji od 10.000 eurov in ne višji od 10.000.000 eurov, upošteva pa se višji od obeh zneskov. Za prekrške pomembnih subjektov 53. člen določa razpon od 0,3 odstotka do 1,4 odstotka skupnega letnega prometa, z najnižjim zneskom 7.000 eurov in najvišjim 7.000.000 eurov. Oba člena se nanašata med drugim na neizpolnitev obveznosti iz 22. člena in 30. člena. Za odgovorno osebo pravne osebe oziroma odgovorno osebo v državnem organu ali samoupravni lokalni skupnosti 52. člen določa globo od 1.000 eurov do 10.000 eurov.
Pogosta vprašanja
Ali ZInfV-1 zajema tudi občine?
Priloga 2 ZInfV-1 v okviru javne uprave navaja podsektor lokalne samouprave z mestnimi občinami. Po 7. členu vrste subjektov iz Priloge 2 spadajo med pomembne subjekte, subjekti javne uprave na državni ravni pa so po istem členu bistveni subjekti.
V kakšnih rokih se priglasi pomemben incident?
Po 30. členu se pristojni skupini CSIRT predloži zgodnje sporočilo nemudoma, najpozneje v 24 urah po zaznavi pomembnega incidenta. Priglasitev incidenta sledi najpozneje v 72 urah po zaznavi, končno poročilo pa najpozneje v enem mesecu po tej priglasitvi.
Kateri organ je pristojen za nadzor?
Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (10. člen). Naloge inšpekcijskega nadzora po zakonu opravlja prek Inšpekcije za informacijsko varnost, ki je njegova notranja organizacijska enota.
Vsebina temelji na različici zakona ZInfV-1, veljavni od 2025-06-04 (kontrolna vsota 5830e7963ef9).