ZInfV-1 in NIS2: Kako bo nova zakonodaja spremenila kibernetsko varnost v Sloveniji

ZInfV-1 in NIS2 prinašata strožje zahteve na področju kibernetske varnosti, visoke kazni za neskladnost ter nove odgovornosti za podjetja. Ste pripravljeni?

Ura ne tiktaka več. Zvoni na alarm.

Od tega meseca velja Zakon o informacijski varnosti (ZInfV-1), slovenska implementacija evropske direktive NIS2. Ta zakon bo v prihodnjih mesecih bistveno spremenil pristop do kibernetske varnosti v do 8.000 slovenskih podjetjih. Kazni za neupoštevanje lahko dosežejo do 10 milijonov evrov ali 2 % globalnega letnega prometa podjetja — ob tem pa se prvič uvaja tudi osebna odgovornost vodstva. Vprašanje ni več, ali morate ukrepati, temveč kako hitro.

Kaj sta NIS2 in ZInfV-1?

Direktiva NIS2 predstavlja obsežno nadgradnjo obstoječe EU zakonodaje na področju kibernetske varnosti. Cilj: enotno visoka raven varnosti v vsej EU. Slovenska izvedba, zakon ZInfV-1, pa temu dodaja še Direktivo EU o odpornosti kritičnih entitet (CER).

Kaj se spreminja?

Prej so bila zavezana le določena podjetja. Zdaj zakon zadeva širši krog srednje velikih in velikih podjetij, ki delujejo v ključnih sektorjih, kot so:

• Energija
• Promet
• Bančništvo in finančna infrastruktura
• Zdravstvo in farmacija
• Pitna voda in odpadne vode
• Digitalna infrastruktura
• Javna uprava
• Poštne in kurirske storitve
• Ravnanje z odpadki
• Proizvodnja kritičnih izdelkov
• Proizvodnja in predelava hrane
• Digitalne storitve (spletne tržnice, iskalniki, platforme družbenih medijev)
• Raziskovalne in visokošolske ustanove (edinstveno v Sloveniji)

Če imate najmanj 50 zaposlenih in najmanj 10 mio € letnega prometa ali bilančne vsote, vas zakon skoraj zagotovo zadeva.

Vaše ključne odgovornosti

ZInfV-1 in NIS2 zahtevata proaktiven in ne reaktiven pristop k varnosti. Vaše obveznosti se osredotočajo na štiri bistvene vidike:

1. Upravljanje tveganj

Izvajanje sorazmernih tehničnih, operativnih in organizacijskih ukrepov za zaščito omrežja in informacijskih sistemov. To vključuje redne ocene tveganj, varnostne politike in nadzor ukrepov.

2. Odgovornost podjetja

Vodstvo mora aktivno sodelovati v obvladovanju kibernetskih tveganj. Več ni dovolj, da to prepustite IT-oddelku.

3. Poročanje o incidentih

To je ključnega pomena. Pomembni incidenti na področju kibernetske varnosti morajo biti prijavljeni nacionalni skupini CSIRT (Computer Security Incident Response Team) najkasneje v 24 urah od prvega zaznavanja (zgodnje opozorilo), podrobno poročilo pa je treba predložiti v 72 urah.

4. Neprekinjeno poslovanje

Pripraviti morate celovite načrte za odzivanje na večje incidente in za obnovo delovanja po njih. Ti načrti morajo vključevati upravljanje varnostnih kopij, postopke obnovitve po nesrečah ter strategije za krizno upravljanje.

Zakaj potrebujete SOC?

ZInfV-1 od podjetij zahteva 24/7 nadzor, hitro zaznavanje incidentov in strokoven odziv, kar je za večino notranjih IT-ekip velika in zahtevna naloga. Prav zato je varnostni-operativni center (SOC) kot storitev najbolj učinkovita in zanesljiva rešitev za izpolnjevanje teh zahtev.

Sodobni SOC kot storitev združuje ljudi, procese in tehnologijo, da zagotovi:

• neprestano spremljanje varnostnih groženj;
• hitro odkrivanje in takojšnje poročanje o incidentih;
• strokovno zajezitev incidentov ter usmerjanje procesa obnove;
• pripravo celovitih poročil za zagotavljanje skladnosti in nadzora.

Vzpostavitev lastnega notranjega varnostno-operativnega centra je pogosto kompleksna, časovno zahtevna in draga. Zato je sodelovanje s specializiranim zunanjim ponudnikom najučinkovitejša pot do skladnosti z zahtevami ZInfV-1 ter zagotavljanja zanesljive zaščite vašega podjetja.

Kaj sledi? 

Zakon o informacijski varnosti (ZInfV-1) je bil objavljen v Uradnem listu Republike Slovenije št. 40/25 dne 4. junija 2025 in začne veljati 19. junija 2025.

Ključni roki so:

• 3 mesece za registracijo kot zavezana entiteta.
• 12 mesecev za dosego skladnosti na organizacijski ravni.

Zdaj je čas za ukrepanje. Kibernetska varnost ni več tehnična tema — je strateška odgovornost.

Za več informacij in podporo nam pišite na: cyops.si@comtrade.com