Zakon o kiber­netičkoj sigurnosti i vaši dobavljači softvera: što moraju obje strane

01Gdje je NIS 2 u jesen 2026.

Direktiva NIS 2 (otvara vanjsku stranicu), Direktiva (EU) 2022/2555, objavljena je u Službenom listu 27. prosinca 2022. i stupila je na snagu 16. siječnja 2023. Države članice morale su donijeti i objaviti nacionalne mjere do 17. listopada 2024. i primjenjivati ih od 18. listopada 2024., kada je prva Direktiva NIS stavljena izvan snage.

Budući da je NIS 2 direktiva, organizaciju obvezuje nacionalni zakon kojim je prenesena. Prenošenje je bilo neujednačeno: neke su države članice zakon primijenile na vrijeme, druge tek 2025. ili 2026., a Europska komisija pokrenula je postupke zbog povrede protiv država koje su propustile rok. Obveze registracije, portali za prijavu i nadzorna tijela zato se razlikuju od države do države.

02U Hrvatskoj: Zakon o kibernetičkoj sigurnosti

Hrvatska je direktivu prenijela Zakonom o kibernetičkoj sigurnosti (otvara vanjsku stranicu) (NN 14/2024), koji je na snazi od 15. veljače 2024. Uredba o kibernetičkoj sigurnosti (NN 135/2024) uređuje pojedinosti nadzora i obveze samoprocjene. Nacionalni centar za kibernetičku sigurnost, ustrojen u Sigurnosno-obavještajnoj agenciji (SOA (otvara vanjsku stranicu)), koordinira sektorska nadležna tijela. Ulogu CSIRT-a imaju Nacionalni CERT (CERT.hr (otvara vanjsku stranicu)), kojim upravlja CARNET, i CSIRT pri SOA-i za tijela javnog sektora i kritične sektore.

Za dobavljače softvera to znači da se pitanja koja dobivaju od hrvatskih kupaca temelje na tom zakonu i uredbi, a ne izravno na direktivi. Javni naručitelji iste zahtjeve mogu ugraditi i u dokumentaciju o nabavi.

03Ključni i važni subjekti

Direktiva NIS 2 primjenjuje se na javne i privatne subjekte u sektorima iz Priloga I. (sektori visoke kritičnosti: energetika, promet, bankarstvo, infrastrukture financijskog tržišta, zdravstvo, voda za ljudsku potrošnju, otpadne vode, digitalna infrastruktura, upravljanje uslugama IKT-a, javna uprava i svemir) i Priloga II. (drugi kritični sektori: poštanske i kurirske usluge, gospodarenje otpadom, kemikalije, hrana, proizvodnja, digitalni pružatelji i istraživanje). U pravilu obuhvaća srednje i velike organizacije. Neke su obuhvaćene bez obzira na veličinu, kao što su pružatelji usluga povjerenja, pružatelji usluga DNS-a i subjekti središnje državne uprave.

Članak 3. te organizacije zatim razvrstava u dvije kategorije:

• Ključni subjekti: uglavnom velike organizacije u sektorima iz Priloga I. te subjekti koji su ključni bez obzira na veličinu, kao što su kvalificirani pružatelji usluga povjerenja, registri naziva vršnih domena, pružatelji usluga DNS-a i subjekti središnje državne uprave. Nadziru se proaktivno, što može uključivati revizije i izravne nadzore.
• Važni subjekti: ostale obuhvaćene organizacije iz Priloga I. i II. Nadzor je naknadni: tijelo djeluje kad postoje naznake da subjekt ne ispunjava obveze.

Obje kategorije imaju iste temeljne obveze: mjere upravljanja rizicima (članak 21.), prijavljivanje incidenata (članak 23.) i odgovornost uprave (članak 20.). Razlika je u nadzoru i novčanim kaznama. Za povrede članaka 21. ili 23. direktiva traži da nacionalno pravo omogući najviše kazne od najmanje 10 milijuna eura ili 2 % ukupnoga svjetskog godišnjeg prometa za ključne subjekte te najmanje 7 milijuna eura ili 1,4 % za važne subjekte, ovisno o tome koji je iznos veći. Države članice odlučuju primjenjuju li se kazne na subjekte javne uprave i u kojoj mjeri.

Je li vaš dobavljač softvera i sam obuhvaćen?

Pisanje softvera samo po sebi nije sektor iz Direktive NIS 2. Dobavljač ipak može biti izravno obuhvaćen. Prilog I. uključuje pružatelje upravljanih usluga, a direktiva ih definira široko: subjekti koji za kupce instaliraju, upravljaju, rukuju ili održavaju proizvode, mreže, infrastrukturu ili aplikacije IKT-a, na lokaciji ili na daljinu. Srednji ili veći dobavljač koji za kupce vodi ili održava aplikacije zato može i sam biti obuhvaćen, kao i pružatelji usluga računalstva u oblaku i podatkovnih centara. Za te pružatelje Provedbena uredba (EU) 2024/2690 (otvara vanjsku stranicu) detaljno razrađuje tehničke zahtjeve.

Većina dobavljača softvera ipak se s Direktivom NIS 2 susreće preko kupaca, koji vlastitu obvezu u lancu opskrbe pretvaraju u ugovorne odredbe, upitnike i revizije. Softverski proizvodi obuhvaćeni su i Aktom o kibernetičkoj otpornosti (otvara vanjsku stranicu), Uredbom (EU) 2024/2847: njegove obveze izvješćivanja o aktivno iskorištenim ranjivostima i ozbiljnim incidentima primjenjuju se od 11. rujna 2026., a ostale obveze od 11. prosinca 2027.

04Deset minimalnih mjera iz članka 21.

Članak 21. zahtijeva primjerene i razmjerne tehničke, operativne i organizacijske mjere, temeljene na pristupu koji uzima u obzir sve opasnosti. Moraju odražavati najnovija dostignuća i relevantne europske i međunarodne norme te biti razmjerne izloženosti subjekta riziku, njegovoj veličini i vjerojatnoj ozbiljnosti incidenata. U najmanju ruku obuhvaćaju:

1. 01politike analize rizika i sigurnosti informacijskih sustava;
2. 02postupanje s incidentima;
3. 03kontinuitet poslovanja, kao što su upravljanje sigurnosnim kopijama i oporavak od katastrofe, te upravljanje krizama;
4. 04sigurnost lanca opskrbe, uključujući sigurnosne aspekte odnosa s izravnim dobavljačima i pružateljima usluga;
5. 05sigurnost pri nabavi, razvoju i održavanju mrežnih i informacijskih sustava, uključujući postupanje s ranjivostima i njihovo otkrivanje;
6. 06politike i postupke za procjenu djelotvornosti tih mjera;
7. 07osnovne prakse kiberhigijene i osposobljavanje za kibernetičku sigurnost;
8. 08politike i postupke za kriptografiju i, prema potrebi, šifriranje;
9. 09sigurnost ljudskih potencijala, politike kontrole pristupa i upravljanje imovinom;
10. 10višefaktorsku ili kontinuiranu autentifikaciju te zaštićene glasovne, video i tekstualne komunikacije i komunikacije u hitnim slučajevima, prema potrebi.

Točke 4. i 5. mjesto su na kojem nastupaju dobavljači. Članak 21. stavak 3. traži od subjekata da uzmu u obzir ranjivosti specifične za svakog izravnog dobavljača, ukupnu kvalitetu njegovih proizvoda i praksi kibernetičke sigurnosti te njegove postupke sigurnog razvoja. Od vaših se kupaca očekuje da gledaju kako gradite softver, a ne samo što isporučujete. U Hrvatskoj Uredba o kibernetičkoj sigurnosti uz to uređuje pojedinosti nadzora i obveze samoprocjene.

05Uprava odobrava, nadzire i odgovara

Prema članku 20. upravljačka tijela ključnih i važnih subjekata moraju odobriti mjere upravljanja kibernetičkim sigurnosnim rizicima i nadzirati njihovu provedbu, a mogu se smatrati odgovornima za povrede. Njihovi članovi moraju pohađati osposobljavanje, a subjekte se potiče da redovito osposobljavaju i zaposlenike. Za tijela javnog sektora i dalje se primjenjuju nacionalna pravila o odgovornosti javnih institucija i službenika.

To mijenja razgovor s dobavljačima. Uprava koja mora odobriti mjere želi dokaze koje može pratiti: koji dobavljači podupiru koje usluge, koji rizici ostaju i što je stvarno testirano.

06Prijavljivanje incidenata: 24 sata, 72 sata, mjesec dana

Članak 23. obvezuje subjekte da značajne incidente prijave svojem CSIRT-u ili nadležnom tijelu. Incident je značajan ako je prouzročio ili može prouzročiti ozbiljne poremećaje u radu ili financijske gubitke za subjekt, ili znatnu materijalnu ili nematerijalnu štetu drugima. Prijavljivanje teče u fazama:

Kad je to primjereno, subjekti moraju i primatelje svojih usluga bez nepotrebne odgode obavijestiti o značajnim incidentima koji bi mogli utjecati na te usluge. Nacionalni propisi dodaju vlastite obrasce i kanale; provjerite ih u hrvatskom zakonu, uredbi i uputama nadležnih tijela.

Rok počinje teći kad subjekt sazna za incident. Ako incident počne u sustavu dobavljača, kupac može ispuniti rok od 24 sata samo ako ga dobavljač otkrije, prepozna i proslijedi u roku od nekoliko sati. Otkrivanje, bilježenje događaja i dogovoreni kanal obavješćivanja zato su ugovorne odredbe, a ne samo inženjerske pojedinosti.

07Što će obuhvaćeni kupac tražiti od dobavljača softvera

U praksi se članak 21. pretvara u tehničke mjere i dokaze koje dobavljač mora moći pokazati bez pokretanja zasebnog projekta. Najčešće viđamo ove:

• Siguran životni ciklus razvoja. Modeliranje prijetnji za značajne promjene, recenzija koda, automatski sigurnosni testovi i skeniranje ovisnosti u procesu izgradnje, potpisane izgradnje i popis softverskog materijala (SBOM) za svako izdanje.
• Postupanje s ranjivostima i njihovo otkrivanje. Objavljen način prijave ranjivosti, rokovi odgovora dogovoreni prema ozbiljnosti i obavijest kupcu kad ranjivost pogađa njegovo okruženje.
• Kontrola pristupa za osoblje dobavljača. Imenovani korisnički računi, višefaktorska autentifikacija, najmanje potrebne ovlasti, vremenski ograničen povlašteni pristup i zapis svake administratorske radnje u okruženju kupca.
• Bilježenje događaja i dokazi o incidentima. Sigurnosno relevantni događaji bilježe se s pouzdanim vremenskim oznakama, čuvaju se dogovoreno razdoblje i mogu se izvesti, kako bi kupac mogao odgovoriti na pitanja iz ranog upozorenja i završnog izvješća.
• Suradnja pri incidentima. Imenovana kontaktna osoba i kanal, rok obavješćivanja znatno kraći od 24 sata koliko ima kupac i pomoć pri analizi temeljnog uzroka.
• Kontinuitet i oporavak. Sigurnosne kopije provjerene vraćanjem podataka, ciljevi oporavka usklađeni s ciljevima kupca i uvježban postupak.
• Dokumentacija lanca opskrbe. Ažuran popis podizvođača i lokacija smještaja podataka te glavnih komponenata i usluga trećih strana o kojima rješenje ovisi.
• Izlazni plan. Izvoz podataka u upotrebljivim formatima, dokumentacija i pomoć pri primopredaji, kako bi kupac mogao promijeniti dobavljača bez gubitka kontrole nad uslugom.

Ništa od toga nije novo zrelim inženjerskim timovima. Direktiva NIS 2 mijenja to što kupac sve to mora moći dokazati. Naša stranica Povjerenje i usklađenost opisuje kako radimo kao dobavljač, uključujući naš certificirani sustav upravljanja informacijskom sigurnošću (ISO/IEC 27001).

08Kontrolni popis za ugovore i nabavu

1. 01Povežite dobavljače s uslugama. Zabilježite koji dobavljači podupiru koje obuhvaćene usluge i koji imaju pristup vašim sustavima ili podacima.
2. 02Razvrstajte prema kritičnosti. Najstrože zahtjeve primijenite na dobavljače koji vode kritične sustave ili ih mogu mijenjati.
3. 03Upišite mjere u ugovor. Sigurnosni zahtjevi, rok i kanal obavješćivanja o incidentima, postupanje s ranjivostima, bilježenje i čuvanje zapisa, prava na reviziju ili dokaze, pravila o podizvođačima i lokacije.
4. 04Tražite dokaze, a ne izjave. Certifikate s opsegom, rezultate testova, SBOM, datum posljednjeg testa vraćanja podataka.
5. 05Izlaz dogovorite unaprijed. Povrat podataka, pomoć pri prijelazu i razdoblje u kojem dobavljač i dalje održava uslugu.
6. 06Vježbajte zajedno. S kritičnim dobavljačima provedite vježbu incidenta, uključujući rano upozorenje u roku od 24 sata.
7. 07Redovito preispitujte. Dobavljači, usluge i prijetnje mijenjaju se; registar dobavljača koji se ažurira jednom godišnje veći je dio godine zastario.

09Pojedinosti određuje nacionalno pravo

Registracija, portali za prijavu, obrasci, nadležno tijelo i eventualni dodatni zahtjevi proizlaze iz nacionalnog prava. Neke države članice mjere iz članka 21. povezuju s nacionalnim okvirom ili certifikacijom. U pravilu je subjekt u nadležnosti države članice u kojoj ima poslovni nastan. Članak 26. propisuje iznimke: pružatelji javnih elektroničkih komunikacija u nadležnosti su svake države u kojoj pružaju usluge, pružatelji usluga računalstva u oblaku, podatkovnih centara i upravljanih usluga te nekoliko drugih digitalnih pružatelja u nadležnosti države glavnog poslovnog nastana, a subjekti javne uprave u nadležnosti države koja ih je osnovala.

U Hrvatskoj su to Zakon o kibernetičkoj sigurnosti i Uredba o kibernetičkoj sigurnosti, a Nacionalni centar za kibernetičku sigurnost koordinira sektorska nadležna tijela. Dobavljač iz druge države koji radi za hrvatske subjekte s tim se pravilima susreće preko ugovora sa svojim kupcima.

10Što pratiti sljedećih mjeseci

• Upute i odluke hrvatskih nadležnih tijela na temelju Zakona o kibernetičkoj sigurnosti i Uredbe o kibernetičkoj sigurnosti te, ako radite u više država, nacionalne zakone tih država.
• Prijedlog Digitalnog omnibusa (otvara vanjsku stranicu) Komisije od 19. studenoga 2025., COM(2025) 837, kojim bi se prijave incidenata prema Direktivi NIS 2, Općoj uredbi o zaštiti podataka, DORA-i i drugim propisima usmjeravale kroz jedinstvenu ulaznu točku kojom upravlja ENISA. U listopadu 2026. prijedlog je još bio pred Europskim parlamentom (otvara vanjsku stranicu)); dok ne bude donesen i ne počne se primjenjivati, vrijede postojeći kanali i rokovi.
• Koordinirane procjene rizika EU-a za kritične lance opskrbe IKT-a prema članku 22., koje subjekti moraju uzeti u obzir pri odabiru mjera za dobavljače.
• Raspored Akta o kibernetičkoj otpornosti za softverske proizvode, s potpunom primjenom od 11. prosinca 2027.

Za financijske subjekte Uredba o digitalnoj operativnoj otpornosti (DORA) zamjenjuje pravila Direktive NIS 2 o upravljanju IKT rizicima, prijavljivanju incidenata i nadzoru; pogledajte naš članak o DORA-i i trećim stranama pružateljima IKT usluga. Komisija održava pregled Direktive NIS 2 i provedbenih akata na svojoj stranici o Direktivi NIS 2 (otvara vanjsku stranicu).