Odvetniki-si.com 
Od 18. oktobra 2024 morajo podjetja in organizacije v Evropski uniji izpolnjevati zahteve Direktive NIS2 (2022/2555/EU). Slovenija jo je prenesla v nacionalno pravo z Zakonom o informacijski varnosti (ZInfV). Direktiva drastično razširja krog zavezancev, povečuje kazni in uvaja osebno odgovornost vodstva za kibernetske incidente. Podjetja, ki so menila, da NIS2 ni zanje, so se v marsikaterem primeru zmotila.
Rok za prenos NIS2 v EU
Zavezanci NIS2
Max kazen (bistveni subjekti)
Rok za prvo poročilo o incidentu
📋 Zakoni in uradni viri
Kaj je NIS2 in zakaj je prelomna?
NIS2 (Network and Information Security Directive 2) je evropska direktiva, ki nadgrajuje prvotno direktivo NIS iz leta 2016. Njen cilj je zagotoviti visoko skupno raven kibernetske varnosti po vsej EU. V primerjavi s predhodnico NIS2 prinese tri temeljne spremembe.
Prvič — bistveno razširjen krog zavezancev. Prejšnja NIS je zavezovala le operaterje bistvenih storitev in ponudnike digitalnih storitev. NIS2 vključuje podjetja v 18 sektorjih ter uvede ločitev na bistvene subjekte (essential entities) in pomembne subjekte (important entities). Skupaj to pomeni na tisoče novih zavezancev v EU, od katerih mnogi pred tem niso imeli nobenih zakonskih kibernetskih obveznosti.
Drugič — višje kazni. Za bistvene subjekte je maksimalna kazen 10 milijonov EUR ali 2 % globalnega letnega prometa (kar je višje). Za pomembne subjekte 7 milijonov EUR ali 1,4 % letnega prometa.
Tretjič — osebna odgovornost vodij. Direktorji in člani nadzornih svetov so osebno odgovorni za odobritev in nadzor ukrepov kibernetske varnosti. To ni zgolj korporativna obveznost — gre za poimensko odgovornost fizičnih oseb.
Kdo je zavezanec: bistveni in pomembni subjekti
Razvrstitev podjetja kot bistvenega ali pomembnega subjekta je odvisna od sektorja in velikosti podjetja.
| Kategorija | Sektorji | Velikost |
|---|---|---|
| Bistveni subjekti | Energetika, promet, bančništvo, infrastruktura finančnih trgov, zdravstvo, pitna voda, odpadne vode, digitalna infrastruktura, upravljanje IKT storitev, javna uprava, vesolje | Velika (≥250 zaposlenih ali ≥50 mio € prihodkov) in nekatere srednje podjetje v kritičnih sektorjih |
| Pomembni subjekti | Poštne in kurirske storitve, ravnanje z odpadki, kemična industrija, prehranska industrija, proizvodnja določenih izdelkov, ponudniki digitalnih storitev, raziskovalne organizacije | Srednje (≥50 zaposlenih ali ≥10 mio € prihodkov) |
Mikro podjetja (manj kot 10 zaposlenih, letni promet pod 2 mio €) in mala podjetja (manj kot 50 zaposlenih) so praviloma izvzeta — razen kadar delujejo v kritičnih sektorjih ali jih pristojni organ posebej označi. Kljub temu morajo dobavitelji bistvenih in pomembnih subjektov skrbeti za svojo varnostno verigo — NIS2 uvaja odgovornost za upravljanje dobaviteljskih tveganj.
Ključne obveznosti podjetij
Zavezanci po NIS2 morajo izvesti vrsto tehničnih in organizacijskih ukrepov za upravljanje kibernetskih tveganj. Minimalne zahteve vključujejo:
- Politike za analizo tveganj — pisna ocena tveganj in varnostne politike, redno posodobljene.
- Ravnanje z incidenti — vzpostavljeni postopki za zaznavanje, odziv in poročanje o incidentih.
- Kontinuiteta poslovanja — načrti za zagotavljanje neprekinjene dejavnosti (BCP) in okrevanje po katastrofah (DRP).
- Varnost dobaviteljske verige — ocena varnostnih tveganj v verigi dobaviteljev in partnerjev.
- Varnost pri pridobivanju, razvoju in vzdrževanju sistemov — varnostne zahteve vključene v razvojne procese.
- Usposabljanje in ozaveščanje — redno usposabljanje zaposlenih in vodstva o kibernetski varnosti.
- Kriptografija — politike šifriranja podatkov tam, kjer je potrebno.
- Večfaktorska avtentikacija (MFA) — obvezna za dostop do kritičnih sistemov.
Poročanje o incidentih: roki in vsebina
Eden najpomembnejših novih elementov NIS2 je strukturirano poročanje o varnostnih incidentih. Zavezanci morajo ob zaznavi bistvenega incidenta (tj. incidenta z znatnim vplivom na delovanje ali na stranke) spoštovati naslednje roke:
| Faza | Rok | Vsebina poročila |
|---|---|---|
| Zgodnje opozorilo | 24 ur od zaznave | Kratko obvestilo: ali gre za napad, kakšen je obseg, ali ima čezmejni vpliv |
| Obvestilo o incidentu | 72 ur od zaznave | Začetna ocena: resnost, kazalniki ogrožanja (IoC), povzetek ukrepov |
| Vmesno poročilo | Na zahtevo CSIRT | Stanje ukrepov, napredek pri sanaciji |
| Končno poročilo | 1 mesec po incidentu | Celotna analiza: vzrok, škoda, izvedeni ukrepi, priporočila |
Neupoštevanje rokov za poročanje je samostojna kršitev, ki se kaznuje ne glede na to, ali je bil incident sicer obvladovan. Pristojni organ (v Sloveniji SI-CERT in AKOS) mora biti obveščen — zamuda se šteje za kršitev ZInfV.
Osebna odgovornost vodstva
NIS2 uvaja določilo, ki je za slovensko korporativno pravo novost: člani vodstvenih organov (direktorji, člani nadzornih svetov, prokuristi) so osebno odgovorni za odobritev ukrepov kibernetske varnosti in nadzor nad njihovim izvajanjem. Konkretno to pomeni:
- Vodstvo mora biti ustrezno usposobljeno za razumevanje kibernetskih tveganj — neveljavna je obramba »nisem vedel«.
- V primeru hude kršitve NIS2 je mogoče vodstvenemu članu začasno prepovedati opravljanje vodstvenih funkcij.
- Pristojni organ lahko od vodstva zahteva pisno potrditev, da so se seznanili z varnostnimi politikami in jih odobrili.
Ni ste prepričani, ali je vaše podjetje zavezanec po NIS2?
Odvetnik za korporacijsko pravo vam pomaga oceniti, ali ste bistveni ali pomembni subjekt, in sestaviti načrt za uskladitev z ZInfV — preden vas doseže inšpekcija.
Kazni za kršitve NIS2
| Kategorija zavezanca | Maksimalna kazen | Alternativa |
|---|---|---|
| Bistveni subjekti | 10.000.000 EUR | 2 % celotnega letnega prometa (kar je višje) |
| Pomembni subjekti | 7.000.000 EUR | 1,4 % celotnega letnega prometa (kar je višje) |
Poleg denarnih kazni so na voljo nefinančni ukrepi: javna objava kršitve, začasna prepoved vodstvenih funkcij, obvezni varnostni reviziji. Cilj teh ukrepov je reputacijska grožnja, ki je za mnoga podjetja morda bolj boleča od globe.
Implementacija v Sloveniji: pristojni organi
V Republiki Sloveniji so za nadzor izvajanja NIS2 oziroma ZInfV pristojni:
- SI-CERT (Slovenian Computer Emergency Response Team) — nacionalna točka za odziv na varnostne incidente in prejemanje poročil.
- AKOS (Agencija za komunikacijska omrežja in storitve RS) — nadzorni organ za telekomunikacijski in digitalni sektor.
- Ministrstvo za digitalno preobrazbo — koordinacija in splošna politika informacijske varnosti.
Podjetja, ki menijo, da morda sodijo v krog zavezancev, se morajo sama identificirati in prijaviti pristojnemu organu. NIS2 ne predvideva, da bi organ sam poiskal vsa zavezana podjetja — odgovornost za samoprijavo je na strani subjekta.
Pogosta vprašanja
Ali se NIS2 nanaša na mala in srednja podjetja?
Mikro in mala podjetja (pod 50 zaposlenih in pod 10 mio € prihodkov) so praviloma izvzeta iz NIS2. Toda kadar delujejo kot dobavitelji bistvenim ali pomembnim subjektom, jih ti posredno zavezujejo s pogodbami. Srednja podjetja v 18 sektorjih so praviloma zavezanci.
Kdaj moram poročati o kibernetskem incidentu?
Zgodnje opozorilo pristojnemu organu (SI-CERT) morate poslati v 24 urah od zaznave bistvenega incidenta. V 72 urah sledi podrobno obvestilo. Rok 30 dni velja za končno poročilo z analizo.
Kaj je »bistven incident« po NIS2?
Incident je bistven, kadar povzroči znatne motnje v delovanju, finančno škodo, ogroža varnost podatkov ali ima čezmejni vpliv. Vsak CSIRT (SI-CERT) ima podrobnejša merila za ocenjevanje bistvenosti — kadar ste v dvomu, poročajte.
Ali je ZInfV enak za vse sektorje?
ZInfV je okvirni zakon — sektorsko specifične zahteve so urejene z dodatnimi predpisi za vsak sektor (npr. za bančništvo s predpisi Banke Slovenije, za zdravstvo z ministrskimi uredbami). Splošne zahteve ZInfV so skupne za vse zavezance.
Ali moramo imeti imenovanega varnostnega direktorja (CISO)?
NIS2 ne zahteva explicitno CISO-a po naslovu, toda zahteva, da ima vodstvo imenovanega odgovornega za upravljanje kibernetskih tveganj. V praksi mnoga podjetja to vlogo pokrijejo z CISO-m ali z zunanjim varnostnim svetovalcem.
Kdaj velja NIS2 za javno upravo?
Organi javne uprave na državni ravni so bistveni subjekti in so v celoti zavezani NIS2. Lokalne skupnosti so praviloma zajete kot pomembni subjekti. Priporočljiva je takojšnja revizija obstoječih varnostnih politik.
Kako poteka inšpekcijski postopek?
Pristojni organ (AKOS ali sektorski regulator) opravi vnaprej napovedano ali nenapovedano inšpekcijo. Zahteva dokumentacijo varnostnih politik, poročila o incidentih in dokazila o izvedenih ukrepih. Pomanjkljivosti so dokumentirane; podjetje dobi rok za odpravo; ponovne kršitve privedejo do glob.
Ali NIS2 zahteva penetracijske teste?
NIS2 direktno ne zahteva penetracijskih testov — toda zahteva redno testiranje in ocenjevanje varnostnih ukrepov. V praksi penetracijski testi postajajo de facto standard za dokazovanje skladnosti z NIS2, zlasti za bistvene subjekte.
Kibernetska varnost: od stroška do pravne obveznosti z osebno odgovornostjo
NIS2 je spremenila razmerje: kibernetska varnost ni več zgolj IT-vprašanje, ki ga rešuje oddelek za informatiko. Je pravna obveznost z globami do 10 milijonov EUR in z osebno odgovornostjo direktorjev. Podjetja, ki tega še niso vgradila v svojo upravljavsko strukturo, tvegajo tako regulatorno kazen kot reputacijsko škodo ob naslednjem incidentu — incidentu, ki bo pri slabše zavarovanem podjetju gotovo prišel.
Uskladitev z NIS2 — začnite zdaj
Odvetnik za korporacijsko pravo vam pomaga oceniti skladnost, pripraviti dokumentacijo in sestaviti načrt za uskladitev z ZInfV in Direktivo NIS2.
Viri
Članek je informativne narave in ne predstavlja pravnega svetovanja. Zakonodaja o kibernetski varnosti se hitro razvija — vedno preverite veljavno besedilo predpisov. Besedilo je aktualno do avgusta 2026.
Kako vzpostaviti skladnost z NIS2: Koraki v praksi
Zakon je jasen glede tega, kaj zahteva — manj pa glede tega, kako to doseči. Tukaj je praktičen pristop za podjetje, ki ugotovi, da spada med zavezance.
Korak 1: Samoprijava pristojnemu organu
Zavezanci se morajo sami prijaviti pri pristojnem organu — AKOS za telekomunikacije in digitalne storitve, SI-CERT za incidentno poročanje, sektorski regulatorji za zdravstvo, energetiko in finance. Samoprijava je predpogoj za dostop do smernic in tehničnih standardov, ki jih pristojni organ zagotavlja zavezancem.
Korak 2: Pisna ocena tveganj
Ocenite: kateri sistemi so kritični za vaše delovanje, kakšne so grožnje (zunanji napadi, insider threats, napake zaposlenih), kakšna je verjetnost in potencialni vpliv vsakega scenarija ter kateri ukrepi so že vzpostavljeni. Ocena mora biti dokumentirana in redno posodabljana — vsaj letno ali ob bistveni spremembi sistemov. To je osnova za inšpekcijski pregled.
Korak 3: Implementacija tehničnih ukrepov
Za večino zavezancev je minimum: večfaktorska avtentikacija (MFA) za vse kritične sisteme, redno varnostno kopiranje podatkov z ločenimi lokacijami, segmentacija omrežij, upravljanje popravkov (patch management) in plan odziva na incidente. Nobeden od teh ukrepov ni revolucionaren — gre za prakse, ki bi jih morali imeti že prej.
Korak 4: Usposabljanje zaposlenih
Večina uspešnih kibernetskih napadov se začne z napako zaposlenega — phishing e-mailom, napačno nastavljenim geslom, klikanjem na zlonamerne povezave. Usposabljanje zaposlenih ni enkraten seminar — je kontinuiran program s periodičnimi simuliranimi napadi (phishing testi), osveženji in meritvijo uspešnosti. NIS2 zahteva dokazljivo usposabljanje — hranite evidence udeležbe.
Korak 5: Upravljanje dobaviteljske verige
NIS2 zahteva, da ocenite kibernetska tveganja vaših dobaviteljev in partnerjev. To pomeni pregled pogodb glede varnostnih zahtev, letne ocene varnostnih praks ključnih dobaviteljev ter zahtevo, da dobavitelji poročajo o incidentih, ki bi lahko vplivali na vas. To je zahtevno, toda neizpolnjevanje tega zahtevka je eden najpogostejših razlogov za ugotovljene kršitve pri inšpekcijah.
Korak 6: Dokumentacija in dokazila
Inšpekcijski pregled zahteva dokazila. Hranite: pisno oceno tveganj z datumom, politike in pravilnike, evidence usposabljanj zaposlenih, poročila o izvedenih penetracijskih testih ali ranljivostnih skeniranju ter vso korespondenco z dobavitelji glede varnosti. Brez dokumentacije se šteje, da ukrepi niso bili vzpostavljeni — čeprav dejansko so. Dokumentacija ni birokracija — je vaša obramba pri inšpekcijskem pregledu.
Katera slovenska podjetja so v praksi zavezana NIS2?
Abstraktna definicija »18 sektorjev in srednje podjetje« je za mnoge direktorje premalo konkretna. Tukaj je praktičen pregled, katera podjetja v Sloveniji so v praksi pogosto zajeta:
Energetika
Elektrarne, distribucijska podjetja za električno energijo in zemeljski plin, dobavitelji energije. V Sloveniji to vključuje Elektro distribucijska podjetja, ELES, Geoplin in njihove ključne podizvajalce pri upravljanju sistemov.
Promet
Upravljavci letališke infrastrukture, železniška podjetja, podjetja za upravljanje pristanišč, ponudniki cestne infrastrukture z digitalnimi sistemi. V Sloveniji: DARS, SŽ, Fraport Slovenija.
Bančništvo in finančne storitve
Banke, hranilnice, investicijske firme, plačilne institucije. Bančni sektor je bil že pred NIS2 strogo reguliran s strani Banke Slovenije — toda NIS2 dodaja kibernetske zahteve, ki jih predhodna regulativa ni pokrivala.
Zdravstvo
Bolnišnice, klinični centri, laboratoriji, dobavitelji medicinskih naprav z digitalno komponento. V Sloveniji: UKC Ljubljana, UKC Maribor, splošne bolnišnice. Kibernetski napadi na zdravstvene institucije so v EU postali eden najpogostejših varnostnih incidentov — NIS2 temu namenja posebno pozornost.
Digitalna infrastruktura in IT storitve
Ponudniki gostovanja (hosting), oblačnih storitev, internetnih izmenjav (IXP), ponudniki domenske registracije. V Sloveniji to zajema večje ponudnike spletnih storitev in podatkovnih centrov.
Javna uprava
Državni organi na nacionalni ravni so bistveni subjekti. Ministrstva, Vlada RS, agencije z digitalno infrastrukturo — vsi morajo vzpostaviti NIS2-skladne sisteme upravljanja kibernetske varnosti.
Certifikacija kot orodje za dokazovanje skladnosti
Čeprav NIS2 ne zahteva obvezne certifikacije, je pridobitev certifikata ISO 27001 (Information Security Management Systems) v praksi eden najmočnejših argumentov za dokazovanje skladnosti z NIS2. ISO 27001 pokriva upravljanje informacijske varnosti z zahtevami, ki se v veliki meri prekrivajo z zahtevami NIS2. Podjetja, ki so pridobila ISO 27001 certifikat, so praviloma v bistveno boljšem položaju pri inšpekcijskem pregledu, ker imajo vzpostavljene dokumentirane procese, notranje revizije in nadzorstvene mehanizme. Certifikacijski postopek traja 3–12 mesecev in vključuje predhodni presek stanja, odpravljanje vrzeli in zunanjo revizijo pri akreditiranem certifikacijskem organu.
Kaj pričakovati pri inšpekcijskem pregledu NIS2 v Sloveniji
Inšpekcijski pregledi po NIS2 niso le formalnost — so resnična grožnja za podjetja, ki niso vzpostavila ustreznih ukrepov. Na podlagi izkušenj iz EU držav, ki so NIS2 implementirale, je mogoče oceniti, kako bo inšpekcijski postopek potekal v praksi.
Inšpektor najprej zahteva predložitev dokumentacije: politike upravljanja kibernetske varnosti, ocene tveganj, plani odziva na incidente in evidence usposabljanj. Na podlagi prejetih dokumentov opravi analizo in oceni, ali dokumentacija ustreza zahtevam ZInfV. V drugem koraku, kadar dokumentacija kaže na pomanjkljivosti, inšpektor opravi pregled na kraju — intervjuje z odgovornimi osebami, pregled tehničnih sistemov in dostopnih politik. Ugotovljene pomanjkljivosti se dokumentirajo v inšpekcijskem zapisniku. Podjetje dobi rok za odpravo — praviloma 30 do 90 dni, odvisno od resnosti kršitve. Kadar podjetje pomanjkljivosti ne odpravi v danem roku ali gre za hujšo kršitev, sledi globa. Višina globe se določi glede na resnost kršitve, obseg škode ali tveganja, ter stopnjo krivde vodstva.
Ključna razlika od prejšnje NIS direktive: inšpektor ima sedaj pristojnost zahtevati informacije neposredno od vodstvenih oseb — ne zgolj od IT oddelka. Direktor mora osebno potrditi, da pozna varnostne politike in jih je odobril. To je nova dimenzija osebne odgovornosti, ki je bila v prejšnji ureditvi odsotna.
Kibernetsko zavarovanje kot dopolnilo NIS2 skladnosti
NIS2 ne zahteva kibernetskega zavarovanja — toda v praksi je postalo de facto standard za podjetja, ki resno jemljejo upravljanje kibernetskih tveganj. Kibernetsko zavarovanje pokrije: stroške odzivanja na incident (forenzika, sanacija), izgubo dohodka med izpadom sistemov, odškodnine tretjim osebam in obvezne obvestilne stroške regulatorju. Kadar imate kibernetsko zavarovanje in pride do incidenta, zavarovalnica pogosto zagotovi ekipo za krizno upravljanje — kar bistveno olajša izpolnitev 24-urnega roka za poročanje SI-CERT-u. Zavarovalnica bo pred sklenitvijo police zahtevala oceno vaše kibernetske zrelosti — to je dodatna motivacija za vzpostavitev ustreznih NIS2 ukrepov.
NIS2 in dobaviteljska veriga: Posredni vpliv na manjša podjetja
Čeprav mala podjetja praviloma niso neposredni zavezanci NIS2, jih direktiva posredno prizadene — prek zahtev bistvenih in pomembnih subjektov do svojih dobaviteljev. Kadar vaše podjetje dobavlja storitve ali blago bistvenemu subjektu (npr. bolnišnici, banki, distributerju energije), bo ta od vas zahteval dokazila o kibernetski varnosti: vprašalnike o varnostnih praksah, certifikate (ISO 27001), pogodbene klavzule o varnostnih standardih in obveznost poročanja o incidentih, ki bi lahko vplivali na naročnika. Podjetja, ki teh zahtev ne bodo zmogla izpolniti, tvegajo izgubo pogodb z zavezanci NIS2. Priporočamo: četudi niste neposredni zavezanec, se pozanimajte o zahtevah vaših ključnih naročnikov in se proaktivno prilagodite. Stroški vzpostavitve osnovnih ukrepov (MFA, varnostna kopiranja, pravilnik o geslih, plan odziva na incidente) so neprimerljivi s stroški izgubljenega ključnega poslovnega partnerja.