NIS 2 in Zakon o informacijski varnosti: kaj morajo storiti organizacije in dobavitelji

01Kje je NIS 2 jeseni 2026

Direktiva NIS 2 (odpre zunanje spletno mesto), Direktiva (EU) 2022/2555, je bila v Uradnem listu EU objavljena 27. decembra 2022 in je začela veljati 16. januarja 2023. Države članice so morale nacionalne ukrepe sprejeti in objaviti do 17. oktobra 2024 ter jih uporabljati od 18. oktobra 2024, ko je bila razveljavljena prva direktiva NIS.

Ker je NIS 2 direktiva, organizacijo zavezuje nacionalni zakon, ki jo prenaša. Prenos je bil neenakomeren: nekatere države članice so zakon začele uporabljati pravočasno, druge šele v letih 2025 ali 2026, Evropska komisija pa je zoper države, ki so rok zamudile, začela postopke za ugotavljanje kršitev. Obveznosti registracije, portali za poročanje in nadzorniki se zato razlikujejo po državah.

V Sloveniji direktivo NIS 2 prenaša Zakon o informacijski varnosti (ZInfV-1, Uradni list RS, št. 40/25), ki velja od 19. junija 2025 in je nadomestil prejšnji ZInfV. Pristojni nacionalni organ in enotna kontaktna točka je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV), ki je tudi organ za obvladovanje obsežnih incidentov. Za sprejetje ukrepov za obvladovanje tveganj zakon določa prehodna obdobja.

02Bistveni in pomembni subjekti

NIS 2 velja za javne in zasebne subjekte v sektorjih iz Priloge I (sektorji visoke kritičnosti: energetika, promet, bančništvo, infrastruktura finančnega trga, zdravstvo, pitna voda, odpadna voda, digitalna infrastruktura, upravljanje storitev IKT, javna uprava in vesolje) in Priloge II (drugi kritični sektorji: poštne in kurirske storitve, ravnanje z odpadki, kemikalije, hrana, proizvodnja, digitalni ponudniki in raziskave). Praviloma zajema srednje velike in velike organizacije. Nekateri subjekti so zajeti ne glede na velikost, na primer ponudniki storitev zaupanja, ponudniki storitev DNS in subjekti javne uprave na osrednji državni ravni.

3. člen jih nato razvrsti v dve kategoriji:

• Bistveni subjekti: predvsem velike organizacije v sektorjih iz Priloge I ter subjekti, ki so bistveni ne glede na velikost, kot so kvalificirani ponudniki storitev zaupanja, registri vrhnjih domen, ponudniki storitev DNS in subjekti javne uprave na osrednji državni ravni. Nadzor je proaktiven in lahko vključuje revizije in preglede na kraju samem.
• Pomembni subjekti: druge organizacije v obsegu prilog I in II. Nadzor je naknaden: organ ukrepa, ko obstajajo znaki, da subjekt zahtev ne izpolnjuje.

Obe kategoriji imata enake temeljne dolžnosti: ukrepe za obvladovanje tveganj (21. člen), poročanje o incidentih (23. člen) in odgovornost vodstva (20. člen). Razlika je v nadzoru in globah. Za kršitve 21. ali 23. člena direktiva določa najnižje zgornje meje glob, ki so za bistvene subjekte višje kot za pomembne in se računajo kot fiksni znesek ali delež svetovnega letnega prometa, kar je višje. Države članice odločijo, ali in v kolikšni meri globe veljajo za subjekte javne uprave.

Ali je vaš dobavitelj programske opreme sam zavezanec?

Razvoj programske opreme sam po sebi ni sektor NIS 2. Dobavitelj je kljub temu lahko neposredno zajet. Priloga I zajema ponudnike upravljanih storitev, NIS 2 pa jih opredeljuje široko: subjekti, ki za stranke nameščajo, upravljajo, izvajajo ali vzdržujejo proizvode IKT, omrežja, infrastrukturo ali aplikacije, na kraju samem ali na daljavo. Srednje velik ali večji dobavitelj, ki za stranke izvaja ali vzdržuje aplikacije, je zato lahko sam zavezanec po NIS 2, prav tako ponudniki storitev računalništva v oblaku in podatkovnih centrov. Za te ponudnike tehnične zahteve podrobno določa Izvedbena uredba (EU) 2024/2690 (odpre zunanje spletno mesto).

Večina dobaviteljev programske opreme pa se z NIS 2 sreča prek strank, ki svojo dolžnost glede dobavne verige spremenijo v pogodbene določbe, vprašalnike in revizije. Programske izdelke ureja tudi Akt o kibernetski odpornosti (odpre zunanje spletno mesto), Uredba (EU) 2024/2847: njegove obveznosti poročanja o aktivno izrabljenih ranljivostih in hudih incidentih se uporabljajo od 11. septembra 2026, druge obveznosti pa od 11. decembra 2027.

03Deset minimalnih ukrepov iz 21. člena

21. člen zahteva ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe, ki temeljijo na pristopu, ki upošteva vse nevarnosti. Odražati morajo najnovejše stanje tehnike ter ustrezne evropske in mednarodne standarde in biti sorazmerni z izpostavljenostjo subjekta tveganjem, njegovo velikostjo in verjetno resnostjo incidentov. Zajemati morajo vsaj:

1. 01politike za analizo tveganj in varnost informacijskih sistemov;
2. 02obravnavo incidentov;
3. 03neprekinjeno poslovanje, na primer upravljanje varnostnih kopij in obnovo po nesreči, ter krizno upravljanje;
4. 04varnost dobavne verige, vključno z varnostnimi vidiki odnosov z neposrednimi dobavitelji in ponudniki storitev;
5. 05varnost pri pridobivanju, razvoju in vzdrževanju omrežnih in informacijskih sistemov, vključno z obravnavo in razkrivanjem ranljivosti;
6. 06politike in postopke za ocenjevanje učinkovitosti teh ukrepov;
7. 07osnovne prakse kibernetske higiene in usposabljanje na področju kibernetske varnosti;
8. 08politike in postopke za uporabo kriptografije in, kjer je primerno, šifriranja;
9. 09varnost človeških virov, politike nadzora dostopa in upravljanje sredstev;
10. 10večfaktorsko ali neprekinjeno avtentikacijo ter zavarovane glasovne, video in besedilne komunikacije in komunikacije v sili, kjer je primerno.

Pri točkah 4 in 5 pridejo na vrsto dobavitelji. Tretji odstavek 21. člena od subjektov zahteva, da upoštevajo ranljivosti, značilne za vsakega neposrednega dobavitelja, splošno kakovost njegovih proizvodov in praks kibernetske varnosti ter njegove postopke varnega razvoja. Od vaših strank se pričakuje, da bodo pogledale, kako razvijate programsko opremo, ne le, kaj dobavite.

04Vodstvo potrdi, nadzira in odgovarja

Po 20. členu morajo upravljalni organi bistvenih in pomembnih subjektov potrditi ukrepe za obvladovanje tveganj kibernetske varnosti in nadzirati njihovo izvajanje, za kršitve pa so lahko odgovorni. Njihovi člani se morajo usposabljati, subjekte pa direktiva spodbuja, da redno usposabljajo tudi zaposlene. Za javne organe še naprej veljajo nacionalna pravila o odgovornosti javnih institucij in javnih uslužbencev.

To spremeni pogovor z dobavitelji. Uprava, ki mora ukrepe potrditi, želi dokaze, ki jim lahko sledi: kateri dobavitelji podpirajo katere storitve, katera tveganja ostajajo in kaj je bilo dejansko preizkušeno.

05Poročanje o incidentih: 24 ur, 72 ur, en mesec

23. člen od subjektov zahteva, da o pomembnih incidentih poročajo svoji skupini CSIRT ali pristojnemu organu. Incident je pomemben, če je povzročil ali lahko povzroči hude motnje delovanja ali finančno izgubo za subjekt ali znatno premoženjsko ali nepremoženjsko škodo drugim. Poročanje poteka v fazah:

Kjer je primerno, morajo subjekti brez nepotrebnega odlašanja obvestiti tudi prejemnike svojih storitev o pomembnih incidentih, ki bodo verjetno vplivali na te storitve. Nacionalni zakoni dodajo svoje obrazce in portale.

Rok začne teči, ko se subjekt seznani z incidentom. Če se incident začne v sistemu dobavitelja, lahko stranka 24-urni rok izpolni le, če ga dobavitelj v nekaj urah odkrije, prepozna in sporoči naprej. Odkrivanje, beleženje in dogovorjen kanal za obveščanje so zato pogodbene določbe, ne le tehnične podrobnosti.

06Kaj bo zavezana stranka zahtevala od dobavitelja programske opreme

V praksi se 21. člen prevede v tehnične ukrepe in dokaze, ki bi jih dobavitelj moral pokazati, ne da bi zanje začel nov projekt. Najpogosteje vidimo naslednje:

• Varen razvojni cikel. Modeliranje groženj pri pomembnih spremembah, medsebojni pregledi, avtomatizirani varnostni testi in pregled odvisnosti v cevovodu, podpisane različice in seznam programskih komponent (SBOM) za vsako izdajo.
• Obravnava in razkrivanje ranljivosti. Objavljen način za prijavo ranljivosti, dogovorjeni odzivni časi glede na resnost in obvestilo stranki, ko ranljivost zadeva njeno okolje.
• Nadzor dostopa za osebje dobavitelja. Imenski računi, večfaktorska avtentikacija, najmanjše potrebne pravice, časovno omejen povišan dostop in zapis vsakega skrbniškega dejanja v okolju stranke.
• Dnevniki in dokazi ob incidentih. Varnostno pomembni dogodki, zabeleženi z zanesljivimi časovnimi žigi, hranjeni dogovorjeno obdobje in izvozljivi, da lahko stranka odgovori na vprašanja zgodnjega opozorila in končnega poročila.
• Sodelovanje ob incidentih. Določena kontaktna oseba in kanal, rok za obvestilo precej znotraj 24 ur stranke in podpora pri analizi temeljnega vzroka.
• Neprekinjenost in obnova. Varnostne kopije, preverjene z obnovitvijo, cilji obnove, usklajeni s strankinimi, in preizkušen postopek.
• Dokumentacija dobavne verige. Ažuren seznam podizvajalcev in lokacij gostovanja ter glavnih komponent in storitev tretjih oseb, od katerih je rešitev odvisna.
• Izhodni načrt. Izvoz podatkov v uporabnih oblikah, dokumentacija in podpora pri predaji, da lahko stranka zamenja dobavitelja, ne da bi izgubila nadzor nad storitvijo.

Nič od tega ni novo za zrele razvojne ekipe. NIS 2 spremeni to, da mora stranka to znati dokazati. Na strani Zaupanje in skladnost opisujemo, kako delamo kot dobavitelj, vključno z našim sistemom upravljanja informacijske varnosti s certifikatom ISO/IEC 27001.

07Kontrolni seznam za pogodbe in javna naročila

1. 01Povežite dobavitelje s storitvami. Zabeležite, kateri dobavitelji podpirajo katere zajete storitve in kateri imajo dostop do vaših sistemov ali podatkov.
2. 02Razvrstite po kritičnosti. Najstrožje zahteve uporabite za dobavitelje, ki izvajajo ali lahko spreminjajo kritične sisteme.
3. 03Ukrepe zapišite v pogodbo. Varnostne zahteve, rok in kanal za obvestilo o incidentu, obravnava ranljivosti, beleženje in hramba dnevnikov, pravice do revizije ali dokazov, pravila za podizvajanje in lokacije. Pri javnem naročilu jih vključite že v dokumentacijo v zvezi z oddajo javnega naročila.
4. 04Zahtevajte dokaze, ne izjav. Certifikati z obsegom, rezultati testov, SBOM, datum zadnjega testa obnovitve.
5. 05Izhod dogovorite vnaprej. Vračilo podatkov, podpora pri prehodu in obdobje, v katerem dobavitelj še zagotavlja storitev.
6. 06Vadite skupaj. S kritičnimi dobavitelji izvedite vajo odziva na incident, vključno s 24-urnim zgodnjim opozorilom.
7. 07Redno pregledujte. Dobavitelji, storitve in grožnje se spreminjajo; register dobaviteljev, ki ga posodobite enkrat na leto, je večino leta zastarel.

08Podrobnosti določa nacionalni zakon

Registracija, portali za poročanje, obrazci, pristojni organ in morebitne dodatne zahteve izhajajo iz nacionalnega zakona. Nekatere države članice ukrepe iz 21. člena povezujejo z nacionalnim okvirom ali certificiranjem. Praviloma subjekt spada pod državo članico, v kateri ima sedež. 26. člen določa izjeme: ponudniki javnih elektronskih komunikacij spadajo pod vsako državo, v kateri zagotavljajo storitve, ponudniki storitev v oblaku, podatkovnih centrov in upravljanih storitev ter več drugih digitalnih ponudnikov pod državo glavnega sedeža, subjekti javne uprave pa pod državo, ki jih je ustanovila.

V Sloveniji je to ZInfV-1, pristojni nacionalni organ pa URSIV. Organizacija, ki je v Sloveniji bistveni ali pomembni subjekt, svoje obveznosti, prehodna obdobja in postopke preveri v tem zakonu.

09Na kaj biti pozorni v prihodnjih mesecih

• Izvajanje ZInfV-1 v Sloveniji in nacionalni zakoni drugih držav, v katerih delujete: registracija, podzakonski akti in usmeritve pristojnih organov.
• Predlog zbirnega svežnja za digitalno področje (odpre zunanje spletno mesto) Komisije z dne 19. novembra 2025, COM(2025) 837, po katerem bi poročila o incidentih po NIS 2, GDPR, DORA in drugih predpisih tekla prek enotne vstopne točke, ki bi jo upravljala agencija ENISA. Oktobra 2026 je bil še v obravnavi v Evropskem parlamentu (odpre zunanje spletno mesto)); dokler ni sprejet in se ne začne uporabljati, ostajajo sedanji kanali in roki.
• Usklajene ocene tveganja EU za kritične dobavne verige IKT po 22. členu, ki jih morajo subjekti upoštevati pri izbiri ukrepov za dobavitelje.
• Časovnica Akta o kibernetski odpornosti za programske izdelke, s polno uporabo od 11. decembra 2027.

Za finančne subjekte DORA nadomešča pravila NIS 2 o obvladovanju tveganj IKT, poročanju o incidentih in nadzoru; glejte članek DORA in tretji ponudniki storitev IKT: kaj finančni subjekti potrebujejo od dobaviteljev. Komisija pregled NIS 2 in izvedbenih aktov vodi na svoji strani o direktivi NIS 2 (odpre zunanje spletno mesto).