Z Zakonom o informacijski varnosti (ZInfV-1), ki velja od 19. junija 2025, je Slovenija v svoj pravni red prenesla evropsko direktivo NIS2. Zakon je bistveno razširil krog zavezancev, saj poleg velikih sistemov zdaj vključuje tudi številna srednje velika podjetja v proizvodnji, živilski industriji, ravnanju z odpadki, zdravstvu in drugih sektorjih.
Prvi mejnik je že za nami: rok za samoregistracijo pri Uradu Vlade RS za informacijsko varnost (URSIV) se je iztekel decembra lani. Pred nami pa je pomembnejši rok, saj morajo bistveni in pomembni subjekti do 19. decembra 2026 urediti varnostno dokumentacijo in vpeljati ukrepe za obvladovanje kibernetskih tveganj.
Do roka je ostalo približno sedem tednov. Za podjetja, ki so na tej poti šele na začetku, je to malo časa, a dovolj, da naredijo pomembne korake.
V nadaljevanju preberite:
- kaj je ZInfV-1 in koga zavezuje,
- kaj točno morate imeti urejeno do 19. decembra,
- kateri pristop je primeren za vaše podjetje glede na velikost,
- kaj lahko preverite še danes.
Kaj je ZInfV-1 in kako deluje?
ZInfV-1 določa minimalne zahteve za kibernetsko varnost organizacij, katerih delovanje je pomembno za družbo in gospodarstvo. Zavezance deli v dve skupini:
Osnovni pogoj za zavezanca je, da podjetje deluje v enem od sektorjev iz prilog zakona ter ima vsaj 50 zaposlenih in hkrati vsaj 10 milijonov evrov letnega prometa ali bilančne vsote.
- Bistveni subjekti: podjetja v visoko kritičnih sektorjih (npr. energija, promet, bančništvo, zdravje, pitna voda, digitalna infrastruktura), ki imajo vsaj 250 zaposlenih ali vsaj 50 milijonov evrov letnega prometa ali vsaj 43 milijonov evrov bilančne vsote. Sem spadajo tudi subjekti javne uprave na državni ravni.
- Pomembni subjekti: vsi drugi zavezanci, ki niso bistveni. To so manjši zavezanci iz visoko kritičnih sektorjev in subjekti iz drugih kritičnih sektorjev, kot so poštne storitve, ravnanje z odpadki, kemikalije, živila, proizvodnja, digitalni ponudniki in raziskave.
Nekateri subjekti so zavezanci ne glede na velikost, na primer subjekti javne uprave na državni ravni, mestne občine, ponudniki storitev DNS in edini ponudniki določene storitve v Sloveniji.
Zakon si lahko predstavljate kot tehnični pregled za vašo informacijsko infrastrukturo. Avtomobil mora imeti delujoče zavore, luči in pnevmatike, ne glede na to, kdo ga vozi. Podobno ZInfV-1 ne predpisuje, katero opremo morate kupiti, temveč zahteva, da so ključni varnostni mehanizmi vzpostavljeni, dokumentirani in redno preverjeni.
Zakaj prav 19. december?
Zakon je ob uveljavitvi zavezancem dal 18 mesecev za uskladitev. Za nekdanje izvajalce bistvenih storitev, organe državne uprave in operaterje elektronskih komunikacij je rok potekel že 19. junija 2026. Za vse ostale bistvene in pomembne subjekte pa se izteče 19. decembra 2026.
Kaj morate imeti urejeno do 19. decembra?
A) Varnostna dokumentacija – temelj, na katerem gradite
Po 21. členu morate pripraviti varnostne politike, popis sredstev, analizo tveganj, načrt neprekinjenega poslovanja, načrt obnovitve sistemov, načrt odzivanja na incidente in načrt varnostnih ukrepov. Dokumentacija mora odražati dejansko stanje in ne sme biti le predloga, ki se nabira v predalu.
B) Ukrepi za obvladovanje tveganj – tehnična zaščita v praksi
Med ukrepe po 22. členu med drugim sodijo:
- večfaktorska avtentikacija (MFA),
- varnostne kopije podatkov in preverjena obnova,
- zaščita pred zlonamerno kodo in zaznavanje poskusov vdorov,
- upravljanje ranljivosti (redno posodabljanje sistemov),
- kriptografija in šifriranje,
- upravljanje omrežnega prometa in fizično varovanje,
- varna uporaba oblačnih storitev.
C) Dnevniški zapisi – sled, ki omogoča odziv
Dnevniške zapise (log-e) morate hraniti najmanj šest mesecev. Brez njih po incidentu ne morete ugotoviti, kaj se je zgodilo, in ga tudi ne morete pravilno prijaviti.
D) Poročanje o incidentih – jasni roki
O pomembnem incidentu morate pristojne obvestiti v treh korakih:
- zgodnje opozorilo v 24 urah po zaznavi,
- priglasitev v 72 urah,
- končno poročilo v enem mesecu.
Postopek mora biti vnaprej določen, saj ga sredi incidenta ni časa izumljati.
E) Odgovornost vodstva – ni le formalnost
Odgovorne osebe morajo odobriti ukrepe, nadzorovati njihovo izvajanje in se izobraževati vsaj enkrat v štirih letih. Za neizpolnjevanje obveznosti po zakonu odgovarjajo neposredno.
F) Varnost dobavne verige – zahteve za vaše partnerje
Zavezanec mora določiti minimalne varnostne zahteve za ključne dobavitelje. Tako zakon posredno vpliva tudi na manjša podjetja, ki sicer niso zavezanci.
Katera pot do skladnosti z ZInfV-1 je primerna za vaše podjetje?
Mala podjetja (do 50 zaposlenih)
- Priporočena rešitev: osnovna kibernetska higiena po načelu »najprej temelji«.
- Ključni ukrepi: MFA za vse uporabnike, zaščita končnih točk, avtomatizirane varnostne kopije z ločeno kopijo, redne posodobitve in usposabljanje zaposlenih.
- Zakaj? Večina malih podjetij ni neposredni zavezanec, vendar od velikih strank že prejema vprašalnike o varnosti. Kdor jih izpolni prepričljivo, ohrani posel.
Srednje velika podjetja (50–250 zaposlenih)
- Priporočena rešitev: strukturiran program skladnosti z jasno določenim lastnikom in časovnico.
- Ključni ukrepi: analiza tveganj, celotna varnostna dokumentacija, segmentacija omrežja in sodoben požarni zid, centralizirano zbiranje dnevniških zapisov, rešitev za zaznavanje in odzivanje (XDR/MDR) ter nespremenljive varnostne kopije (immutable backup).
- Zakaj? V tem segmentu je največ novih zavezancev, IT-ekipe pa so pogosto majhne. Zunanja podpora pri nadzoru in odzivu zato pogosto pomeni razliko med skladnostjo na papirju in v praksi.
Velika podjetja (nad 250 zaposlenih)
- Priporočena rešitev: celovit sistem upravljanja informacijske varnosti, usklajen z ISO/IEC 27001.
- Ključni ukrepi: formalna ocena skladnosti, upravljanje dobavne verige, napredno spremljanje varnostnih dogodkov (SIEM/SOC), upravljanje identitet in privilegiranih dostopov ter redno testiranje načrtov obnove.
- Zakaj? Velika podjetja so praviloma bistveni subjekti. Zanje velja strožji nadzor, oceno skladnosti pa morajo opraviti najmanj vsaki dve leti.
Poslovne koristi, ki presegajo izpolnjevanje zakona
- Večja odpornost: manjša verjetnost uspešnega napada in hitrejša obnova, če do napada vseeno pride.
- Manj izpadov: preizkušen načrt neprekinjenega poslovanja skrajša čas, ko proizvodnja ali storitve stojijo.
- Skladnost na več področjih hkrati: isti ukrepi pomagajo pri GDPR, ISO 27001 in zahtevah zavarovalnic.
- Zaupanje strank in partnerjev: urejena varnost postaja pogoj za sodelovanje v dobavnih verigah.
- Manjše finančno tveganje: direktiva NIS2 predvideva zgornje meje glob do 10 milijonov evrov ali 2 % svetovnega letnega prometa za bistvene subjekte in do 7 milijonov evrov ali 1,4 % za pomembne subjekte.
- Razbremenitev IT-ekipe: jasni postopki in avtomatizacija zmanjšajo količino ročnega dela.
Preverite še danes:
☐ Ste opravili samoregistracijo pri URSIV?
☐ Imate pripravljeno analizo tveganj in popis sredstev?
☐ Ali MFA uporabljajo vsi uporabniki, tudi skrbniki?
☐ Kdaj ste nazadnje preizkusili obnovo iz varnostne kopije?
☐ Ali hranite dnevniške zapise vsaj šest mesecev?
☐ Ali veste, kdo in kako v 24 urah sporoči incident?
☐ Je vodstvo formalno potrdilo varnostne ukrepe?
19. december ni konec, temveč začetek
Rok za uskladitev z ZInfV-1 je pomemben mejnik, ne pa ciljna črta. Zakon zahteva redno preverjanje ukrepov ter ponovno oceno ali samooceno skladnosti najmanj vsaki dve leti.
Podjetja, ki skladnost razumejo kot stalen proces in ne kot enkraten projekt, so dolgoročno bolj odporna in bolj zaupanja vredna za partnerje.
Izkoristite preostale tedne: preverite seznam zgoraj, določite odgovorno osebo, zapolnite največje vrzeli in dokumentirajte, kar že deluje.
Če potrebujete pomoč pri izbiri ustreznega ponudnika ali rešitve za posamezne ukrepe, nas kontaktirajte. Ekipa GOV-IS vam bomo z veseljem svetovali.