Najpogostejša vprašanja o NIS2 v Sloveniji (FAQ 2026)

NIS2 je Direktiva EU 2022/2555 o ukrepih za visoko skupno raven kibernetske varnosti v Uniji, ki jo morajo države članice prenesti v nacionalno zakonodajo. Slovenija je direktivo prenesla z Zakonom o informacijski varnosti (ZInfV-1), ki določa konkretne obveznosti, pristojne organe in kazni za subjekte v Sloveniji. Direktiva sama po sebi ne velja neposredno za podjetja – zavezuje jih ZInfV-1, ki pa vsebinsko sledi zahtevam NIS2.

Zakon o informacijski varnosti (ZInfV-1) je začel veljati 19. junija 2025. Od tega datuma naprej so zavezani subjekti dolžni izpolnjevati obveznosti, ki jih zakon določa. Rok za registracijo je bil 19. december 2025, torej šest mesecev po začetku veljavnosti zakona.

Ocene se gibljejo med 1.000 in 8.000 subjekti, odvisno od metodologije štetja in končnih podzakonskih aktov. Razlika v ocenah odraža negotovost glede tega, koliko podjetij bo po samoprijavi uvrščenih med bistvene ali pomembne subjekte. Natančno število bo znano šele po zaključku postopka registracije in preverjanja s strani pristojnega organa URSIV.

Bistveni subjekti (angl. essential entities) delujejo v sektorjih, ki so za družbo in gospodarstvo najpomembnejši, kot so energetika, promet, zdravstvo in digitalna infrastruktura, ter so praviloma večja podjetja. Pomembni subjekti (angl. important entities) pokrivajo širši krog sektorjev in so pogosto srednje velika podjetja z nekoliko nižjimi pragovi glede velikosti ali pomena. Razlika se kaže tudi pri višini kazni: za bistvene subjekte je predvidena višja globa kot za pomembne.

Načeloma so mikro podjetja (manj kot 10 zaposlenih, letni promet do 2 milijona EUR) in mala podjetja (manj kot 50 zaposlenih, letni promet do 10 milijonov EUR) izvzeta iz področja uporabe direktive NIS2 oziroma ZInfV-1. Vendar pa obstajajo izjeme: če majhno podjetje deluje v kritičnem sektorju ali je edini ponudnik bistvene storitve v državi, je lahko vseeno zavezano. Priporočamo, da vsako podjetje preveri svojo uvrstitev glede na dejavnost in velikost, saj so izjeme od izvzetja možne.

Rok za registracijo zavezanih subjektov pri pristojnem organu URSIV je bil 19. december 2025, kar je šest mesecev po začetku veljavnosti ZInfV-1. Podjetja, ki so ta rok zamudila, tvegajo sankcije, zato se jim svetuje takojšnja ureditev registracije. Natančen postopek registracije je določen z ZInfV-1 in podzakonskimi akti URSIV.

Zavezani subjekti morajo tehnične in organizacijske ukrepe za obvladovanje tveganj uvesti do konca leta 2026, kar pomeni od 12 do 18 mesecev po začetku veljavnosti zakona. To vključuje vzpostavitev sistema upravljanja informacijske varnosti, varnostne politike, upravljanje incidentov in druge ukrepe iz ZInfV-1. Podjetja, ki bodo čakala do zadnjega trenutka, bodo imela malo časa za usposabljanje zaposlenih in morebitno revizijo.

ZInfV-1 zahteva, da zavezani subjekti določijo osebo, odgovorno za informacijsko varnost, ki skrbi za izvajanje varnostnih zahtev in sodelovanje s pristojnimi organi. Ta vloga ustreza funkciji CISO (Chief Information Security Officer), ki pa je ni nujno treba zapolniti z novo zaposlitvijo – nalogo lahko prevzame obstoječi zaposleni ali zunanji strokovnjak. Ključno je, da ima odgovorna oseba ustrezna znanja, pooblastila in dostop do vodstva podjetja.

V skladu z NIS2 in ZInfV-1 mora zavezani subjekt v primeru pomembnega varnostnega incidenta v 24 urah posredovati zgodnje opozorilo pristojnemu organu oziroma SI-CERT, ki je nacionalna točka za odzivanje na incidente. Celovito poročilo o incidentu je treba predložiti v 72 urah od zaznave. Poleg tega je treba v roku enega meseca pripraviti končno poročilo z analizo vzrokov in sprejetih ukrepov.

ZInfV-1 v skladu z NIS2 zahteva ukrepe, kot so upravljanje tveganj, varnostne politike, varnostne kopije in načrt za obnovo po incidentu, varnost dobavne verige, upravljanje dostopov in avtentikacija z več dejavniki, šifriranje podatkov ter redno testiranje in ocenjevanje varnostnih ukrepov. Prav tako so zahtevani izobraževanje zaposlenih, upravljanje ranljivosti in nadzor omrežij. Obseg in globina ukrepov sta odvisna od tega, ali je subjekt uvrščen med bistvene ali pomembne.

Ne – certifikat ISO 27001 ne pomeni samodejne izvzetosti iz obveznosti po ZInfV-1 oziroma NIS2. Kljub temu ISO 27001 znatno olajša izpolnjevanje zahtev, saj pokriva številna prekrivanja na področju upravljanja tveganj, varnostnih politik in notranjih revizij. Podjetje s certifikatom ISO 27001 bo lažje dokazalo skladnost, mora pa še vedno izpolniti vse specifične zahteve ZInfV-1, vključno z registracijo in poročanjem o incidentih.

Zakon ne predpisuje nakupa določene programske opreme – podjetje samo izbere, kako bo izpolnilo zahteve zakona. Ustrezna orodja za upravljanje informacijske varnosti (GRC-orodja, sistemi za upravljanje incidentov, orodja za oceno tveganj) so sicer priporočljiva, saj olajšajo dokumentiranje in sledenje zahtevam. Manjša podjetja lahko začnejo z enostavnejšimi rešitvami ali celo preglednicami, pomembno pa je, da so ukrepi dejansko vzpostavljeni in dokumentirani.

ISMS (Information Security Management System oziroma sistem upravljanja informacijske varnosti) je sistematičen okvir politik, procesov in kontrol, s katerim organizacija upravlja tveganja za informacijsko varnost. NIS2 oziroma ZInfV-1 de facto zahtevata vzpostavitev ISMS, saj brez sistemskega pristopa ni mogoče trajno izpolnjevati zahtev glede upravljanja tveganj, poročanja o incidentih in revizij. ISO 27001 je najpogosteje uporabljen standard za vzpostavitev in certificiranje ISMS.

Stroški so zelo odvisni od velikosti podjetja, obstoječe ravni kibernetske varnosti in tega, ali podjetje angažira zunanje svetovalce ali se opre na lastne vire. Za srednje podjetje, ki začenja praktično od ničle, so realni stroški svetovalnih storitev, orodij in usposabljanj med 10.000 in 50.000 EUR ali več, medtem ko imajo podjetja z obstoječim ISO 27001 bistveno nižje dodatne stroške. Priporočamo, da si podjetja pridobijo vsaj dve ali tri ponudbe in najprej opravijo analizo vrzeli (gap analizo).

Zakon ne zahteva, da podjetje uporablja slovenskega ali lokalnega ponudnika programske opreme – izbira orodja je prosta, dokler so izpolnjene zahteve glede varnosti in po potrebi hrambe podatkov v EU. Vsekakor pa je priporočljivo, da ima izbrani ponudnik podporo v slovenščini ali vsaj angležini ter razume specifike slovenskega pravnega okvira. Pri obdelavi osebnih podatkov je treba upoštevati tudi zahteve GDPR glede lokacije strežnikov.

Malo podjetje bi moralo izbrati orodje, ki je cenovno dostopno, enostavno za uporabo in pokriva ključne zahteve, kot so ocena tveganj, upravljanje incidentov in dokumentacija varnostnih politik. Na trgu so prosto dostopna orodja, kot je ENISA-in okvir za oceno tveganj, pa tudi komercialne rešitve, kot so Conformio, Advisera ali podobna GRC-orodja, ki so prilagojena manjšim organizacijam. Pred nakupom je priporočljivo preveriti, ali orodje podpira slovensko zakonodajo in ali so podatki hranjeni v EU.

Med pogosto omenjenimi EU-temeljnimi rešitvami so na primer Advisera oziroma njena platforma Conformio (Hrvaška/EU), DataGuard (Nemčija), Cynoia in nekateri drugi ponudniki, ki izrecno zagotavljajo hrambo podatkov na strežnikih v EU. Pri vsakem ponudniku je treba preveriti pogodbo o obdelavi podatkov (DPA) in potrditi, da podatki ne zapuščajo EU/EGP. Izogibajte se rešitvam, ki hranijo podatke izključno zunaj EU, saj to prinaša dodatna tveganja pri GDPR-skladnosti.

Za bistvene subjekte so predvidene globe do 10 milijonov EUR ali do 2 % letnega svetovnega prometa podjetja, odvisno od tega, kateri znesek je višji. Za pomembne subjekte so globe nižje – do 7 milijonov EUR ali do 1,4 % letnega svetovnega prometa. Kazni niso samodejne; pristojni organ URSIV upošteva resnost kršitve, stopnjo malomarnosti in sprejetih ukrepov, preden odmeri globo.

Pristojna nadzorna organa v Sloveniji sta URSIV (Urad Republike Slovenije za informacijsko varnost) kot glavni regulatorni organ ter SI-CERT (Slovenian Computer Emergency Response Team) za področje obravnave in poročanja o incidentih. URSIV je pooblaščen za inšpekcijski nadzor, nalaganje korektivnih ukrepov in izrekanje glob zavezanim subjektom. Nadzor se izvaja tako na podlagi prijav tretjih oseb kot po uradni dolžnosti.

Da – NIS2 in ZInfV-1 izrecno predvidevata odgovornost poslovodstva, kar pomeni, da so direktorji in člani uprave osebno odgovorni za zagotavljanje, da podjetje izpolnjuje zahteve zakona. Vodstvo mora odobriti varnostne ukrepe, biti usposobljeno za področje kibernetske varnosti in aktivno nadzirati izvajanje politik. V primeru hujših kršitev so možne osebne sankcije, vključno z začasno prepovedjo opravljanja vodstvenih funkcij.