NIS2 v Sloveniji: ZInfV-1 velja od junija 2025, prvi rok za registracijo pri URSIV je že potekel, rok za varnostne ukrepe pa se izteka konec 2026. Poročilo o obsegu, organu in obveznostih

Ura že teče: obveznosti veljajo, marsikateri zavezanec pa tega še ne ve

Najpomembnejše sporočilo za slovenska podjetja v letu 2026 ni prihodnji datum, ampak dejstvo, da zakon velja že od sredine leta 2025. Zaradi tega je najpogostejša in hkrati najcenejša napaka administrativna, ne tehnična: subjekt je lahko „pripravljen“ po vsebini, a formalno neskladen zgolj zato, ker ni pravočasno opravil samoregistracije pri URSIV. Prvi rok za to (19. december 2025) je ob objavi tega poročila že potekel.

Ker zakon temelji na samoidentifikaciji, odgovornost ne nastopi šele takrat, ko organ vpiše subjekt v register — nastopi, ko subjekt zaradi svojega sektorja in velikosti izpolni merila. Spodnja tabela povzema ključne mejnike; natančne dodatne roke urejajo podzakonski akti in odločitve URSIV.

Vir: Cyberday (2025/2026); NIS-2-Directive.com (2025). Natančni dodatni roki so odvisni od podzakonskih aktov in odločitev URSIV.

Kdo je zajet in zakaj je razširitev tolikšna

Prejšnja ureditev je zavezance določala predvsem posamično in je zajemala razmeroma majhno število organizacij. ZInfV-1 uvaja samodejno pokritje glede na sektor in velikost podjetja: če subjekt deluje v enem od sektorjev iz prilog direktive NIS2 in je srednje ali večje podjetje, praviloma sodi v obseg zakona — bodisi kot „bistveni“ bodisi kot „pomembni“ subjekt. Prav ta sprememba večkratno poveča krog zavezancev.

Nekatere kategorije so zajete ne glede na velikost — na primer ponudniki storitev DNS, registri vrhnjih domen in ponudniki storitev zaupanja. Natančno število zavezancev v Sloveniji bo znano šele po dokončni identifikaciji; javno navedene ocene se razlikujejo (od okoli 1.000 do 6.000–8.000) in jih je treba obravnavati kot ocene, ne kot uradni register.

Vir: NIS-2-Directive.com (2025); Copla — NIS2 implementation in Slovenia.

Nadzor in sankcije

ZInfV-1 daje URSIV podrobnejša pooblastila, kot izhajajo iz splošnega okvira direktive — vključno z inšpekcijskim nadzorom in širšimi možnostmi ukrepanja. Zakon ureja upravne globe za neizpolnjevanje obveznosti; v duhu direktive NIS2 poudarja tudi odgovornost vodstva za odobritev in nadzor ukrepov informacijske varnosti, s čimer se kibernetska varnost seli z ravni IT-oddelka na raven poslovodstva. To poročilo namerno ne navaja konkretnih zneskov globe, saj jih v uporabljenih virih ni bilo mogoče preveriti do prvotnega vira; podrobnosti o višini glob določata besedilo zakona in podzakonski akti.

Vir: NIS-2-Directive.com (2025); Križanec & partnerji — Nov Zakon o informacijski varnosti (ZInfV-1).