ISO/IEC 27001 pokriva velik del vsebinskih ukrepov upravljanja tveganj, ki jih zahteva ZInfV-1, na primer tveganja, incidente, dobavitelje in neprekinjenost. Ne nadomešča pa registracije, prijave incidentov v zakonskih rokih in odgovornosti vodstva po zakonu. Certifikat zato ne pomeni skladnosti z zakonom.
Dva različna dokumenta
ZInfV-1 je zakon, ki prenaša direktivo NIS2 v slovenski pravni red. Zavezanost določata sektor in velikost subjekta. ISO/IEC 27001 je mednarodni prostovoljni standard za sistem upravljanja informacijske varnosti (ISMS). Prvi pove, kaj morate narediti, ker vas obvezuje zakon. Drugi pove, kako lahko varnost sistematično urejate.
Zato vprašanje »ali smo skladni z ZInfV-1, če imamo ISO 27001?« nima enostavnega odgovora. Standard pomaga, a ne nadomesti zakona.
Kje se zahteve prekrivajo
Direktiva NIS2 v 21. členu našteva ukrepe obvladovanja tveganj. Večina ima vsebinsko ustreznico v standardu:
| Področje po NIS2 | Kje ga običajno obravnava ISO/IEC 27001 |
|---|---|
| analiza tveganj in varnostne politike | ocena in obravnava tveganj, politike |
| obravnava incidentov | kontrole za upravljanje incidentov |
| neprekinjenost poslovanja, varnostne kopije | kontrole neprekinjenosti in kopiranja |
| varnost dobavne verige | odnosi z dobavitelji |
| varnost pri razvoju in vzdrževanju | razvoj, upravljanje sprememb |
| ocena učinkovitosti ukrepov | spremljanje, notranja presoja, vodstveni pregled |
| usposabljanje in ozaveščenost | kadri, ozaveščenost |
| kriptografija, nadzor dostopa | tehnološke in organizacijske kontrole |
Za organizacijo z vzpostavljenim ISMS je to velika prednost, ker večina zapisov, politik in postopkov že obstaja.
Česa standard ne pokrije
Naslednje obveznosti so zakonske in niso del standarda:
- Ugotovitev zavezanosti: ali ste ključni ali pomemben subjekt, glede na sektor in velikost.
- Registracija pri pristojnem organu.
- Prijava incidentov v rokih, ki jih določa zakon (zgodnje opozorilo, prijava, končno poročilo).
- Odgovornost vodstva: zakon vodstvo izrecno zavezuje k odobritvi ukrepov in nadzoru njihovega izvajanja.
- Obseg: ISMS lahko pokriva samo del organizacije, zakon pa zadeva subjekt in njegove omrežne in informacijske sisteme kot celoto.
Če se zanašate na obstoječi certifikat, preverite, ali obseg certifikata zajema vse sisteme, ki jih zakon zadeva.
Roki
Po besedilu zakona (Uradni list RS, št. 40/25) velja od 19. junija 2025, za ukrepe obvladovanja tveganj pa je v 62. členu predviden rok 18 mesecev od uveljavitve, torej okoli 19. decembra 2026. Za bistvene subjekte, ki so bili že izvajalci bistvenih storitev po prejšnjem zakonu, velja krajši rok enega leta. Natančne roke in izjeme preverite v besedilu zakona in v uradnih navodilih.
Kaj to pomeni za presojo in pripravo
Če ste ISMS že vpeljali, ima smisel izvesti notranjo presojo z razširjenimi kriteriji: poleg zahtev standarda presojate tudi izbrane zahteve zakona. Tako ugotovite, kje obstoječi sistem zakonsko zahtevo pokriva in kje ne.
Če sistema še nimate, je smiselna GAP analiza, ki zahteve zakona in standarda primerja hkrati. Tako se izognete dvojnemu delu.
Predlagani pristop:
- Preverite zavezanost in obseg omrežnih in informacijskih sistemov.
- Naredite GAP analizo glede na zakon in standard.
- Obstoječi ISMS uporabite kot osnovo, vrzeli zakona zapolnite posebej.
- Uredite registracijo, postopek prijave incidentov in poročanje vodstvu.
- Preverite delovanje z notranjo presojo.
Razmejitev naših storitev
Naš pregled je strokovna ocena skladnosti z izbranimi zahtevami in ni pravno mnenje. Ne izdajamo certifikatov in nismo certifikacijski organ. Ali ste zavezanec in kakšne so pravne posledice, ugotovite pri pravnem svetovalcu ali pristojnem organu.
Pregled zakona je na strani ZInfV-1 / NIS2. Orientacijsko oceno lahko dobite s samooceno, za dogovor o obsegu pa nam pošljite povpraševanje.
Pogosta vprašanja
Ali certifikat ISO/IEC 27001 pomeni skladnost z ZInfV-1?
Ne. Certifikat potrjuje sistem upravljanja informacijske varnosti v določenem obsegu. Obveznosti zakona, kot sta registracija in prijava incidentov, pa so ločene in zadevajo subjekt kot celoto.
Ali je ISO/IEC 27001 po ZInfV-1 obvezen?
Standard sam po sebi ni obvezen. Zakon zahteva ustrezne ukrepe obvladovanja tveganj. Standard je eden od načinov, kako jih organizirati, in ni edini.
Ali vaša storitev vključuje pravno mnenje o zavezanosti?
Ne. Naš pregled je strokovna ocena skladnosti z izbranimi zahtevami, ne pravno mnenje. Za presojo zavezanosti in pravnih posledic se posvetujte s pravnim svetovalcem ali pristojnim organom.
Kdaj izvesti pregled glede na ZInfV-1?
Čim prej, ker je rok za ukrepe obvladovanja tveganj po uradnih navodilih URSIV 18 mesecev od uveljavitve zakona. Točne roke preverite v veljavnem besedilu in navodilih.
Viri
Članek je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda. Nismo certifikacijski organ in ne izdajamo certifikatov.