Kot telekomunikacijski operater, ISP, mobilni operator ali CDN ponudnik v Sloveniji spadate med obvezne subjekte po Zakonu o informacijski varnosti (ZInfV-1). Ta stran vam pojasnjuje konkretne obveznosti, tveganja in roke za polno skladnost do konca 2026.
Med zavezance sodijo vsi operaterji javnih telekomunikacijskih omrežij v Sloveniji, internetni ponudniki (ISP), mobilni operaterji ter ponudniki storitev dostavnih omrežij (CDN), ki zagotavljajo storitve za več kot 100.000 uporabnikov ali so ključni za nemoteno delovanje kritične infrastrukture. Tudi manjši operaterji postanejo zavezanci, če so vključeni v kritični oskrbni verigi ali obslužujejo javne naročnike.
Kot telekomunikacijski operator morate vzpostaviti kontrole za zavarovanje osnovne omrežne infrastrukture, vključno s čelnimi usmerjevalniki, varnim usmerjanjem BGP in zaščito pred razvodom BGP poti. Implementirajte filtriranje BGP poti, RPKI (Resource Public Key Infrastructure) validacijo in spremljanje anomalij v protokolu usmerjanja, da preprečite napadne scenarije kot so BGP hijacking in route leaking.
Incident, ki vpliva na območni ali nacionalni obseg, morate prijaviti SI-CERTu (Slovenskega nacionalnega centra za odziv na incidente) v roku 24 ur kot zgodnjo opozorilo, nato pa v celoti notificirati v roku 72 ur od odkritja. Obveznost vključuje tudi poročanje o izpadih, ki segajo na več sto tisoč uporabnikov, in vseh incident povezanih s kritično infrastrukturo.
Morate vzpostaviti kontrole nad vsemi dobavitelji ključne opreme (usmerjevalniki, stikala, bazne postaje, DNS strežniki). Zahtevajte od dobaviteljev dokumentacijo varnostnih preizkušenj, informacije o verzijah firmware-ja in napovedih o zaključku dobave (end-of-support). Prepovedani so usmerjevalniki in druga kritična omrežna oprema, ki teče s firmware-jem brez aktivne varnostne podpore.
Implementirajte stroga kontrola dostopa za kadre, ki imajo dostop do omrežne infrastrukture in sistemov zakonitega prestrezanja (lawful interception). Vodite dnevnike dostopa (audit logs), izvajajte večfaktorsko preverjanje (MFA) in redne preglede dodelitev pravic. Posebej varujte ključe za šifriranje komunikacijskih poti in dostope do sistemov zakonitega prestrezanja.
Vzpostavite proces upravljanja tveganj, ki vključuje redne ocene varnosti kritične infrastrukture in dobavne verige. Leto 2026 je rok za polno implementacijo sistema: ocenjevanje tveganj za vse ključne dobavitelje, redno spremljanje stanja varnosti in dokumentirane odločitve o ublažitvi tveganj za vsak segment omrežne infrastrukture.
Zgodnja opozorila (early warning) v 24 urah je osnovni vpogled: kaj se je zgodilo, koliko uporabnikov je vpletenih, kako resen je vpliv. Notifikacija v 72 urah vključuje tudi uraden opis incidenta, naprave oz. sisteme, ki so bili prizadeti, in prvi predlog ublažitve. Za telekomunikacijske operaterje je to pogosto izguba dostopa do BGP, DNSa ali glavnih связavca.
Zakon dopušča »aktivno upravljanje tveganj«: upoštevate lahko starejšo opremo, če ste dokumentirali tveganja, sprejeli odločitve o nadzoru (npr. omejeni dostop, izolirani segment) in jih redoma pregledali. Vendar je »end-of-support firmware« nedopusten: vsak usmerjevalnik mora prejemati varnostne posodobitve od proizvajalca ali biti zaposedovano zamenjati do konca leta 2026.
Obvezni subjekti (Annex I) so lahko globljeni do 10 milijonov evrov ali 2 % vrstnega letnega prometa, kar je za velike operaterje pomemben znesek. Podjetja z manj kot 50 milijoni evrov prometa so globljena do 7 milijonov evrov ali 1,4 %. Ročnik za skladno poročanje in spremljavo je 31. december 2026; od tega datuma URSIV pričakuje dokaze o polni implementaciji obveznosti.