ZInfV-1 in direktiva NIS2
Slovenski zakon o informacijski varnosti, ki prenaša direktivo NIS2.
ZInfV-1 je slovenski zakon o informacijski varnosti, ki delno prenaša direktivo (EU) 2022/2555 (NIS2). Za zavezance določa ukrepe za obvladovanje tveganj, obveščanje o incidentih in odgovornost vodstva.
Katero težavo rešujemo
Zakon zajema širok nabor sektorjev in marsikatera organizacija se ne prepozna kot zavezanec. Tiste, ki se, pogosto ne vedo, kaj točno morajo dokazati, kdo v vodstvu odgovarja in do kdaj.
Zakaj je to pomembno
Zavezanost je treba ugotoviti za vsak subjekt posebej, na podlagi dejavnosti in velikosti. Brez jasne ugotovitve ni mogoče vedeti, ali morate ukrepati ali se registrirati.
Za koga je
- Organizacije v sektorjih, ki jih zajema NIS2 (na primer energetika, promet, bančništvo, zdravstvo, voda, digitalna infrastruktura, javna uprava).
- Ponudniki storitev in dobavitelji, ki jih zahtevajo zavezani naročniki.
- Vodstvo in odgovorne osebe, ki morajo razumeti svojo odgovornost za ukrepe.
Kaj obsega delo
- Pregled dejavnosti in sektorja ter opozorila, na kaj je treba biti pozoren pri ugotavljanju zavezanosti.
- Pregled stanja glede na zahteve zakona (GAP analiza).
- Pregled analize tveganj in ukrepov za obvladovanje tveganj.
- Pregled postopkov za obveščanje o incidentih in določenih vlog.
- Vloga vodstva: seznanitev, odgovornost in usposabljanje.
- Povezava z ISO/IEC 27001 in ISO 22301, kjer se zahteve prekrivajo.
Potek dela
Uvodni pogovor in zbiranje podatkov o dejavnosti.
GAP analiza glede na zahteve zakona.
Pregled obstoječe dokumentacije in ukrepov.
Poročilo z ugotovitvami in načrtom prednostnih ukrepov.
Kaj potrebujemo od vas
- Seznam dejavnosti in sektorjev, v katerih delujete.
- Število zaposlenih in letni promet ali bilanca stanja.
- Obstoječe politike, analize tveganj in pogodbe z dobavitelji IT, če obstajajo.
- Oseba, odgovorna za sodelovanje s pristojnim organom.
Kaj prejmete
- Poročilo GAP analize z ugotovitvami glede na zahteve zakona.
- Načrt ukrepov s prednostmi.
- Kratek pregled za vodstvo.
Kaj ni vključeno in kje so meje
- Pravno mnenje, dokončna ugotovitev zavezanosti ali zastopanje pred pristojnim organom.
- Tehnična izvedba ukrepov in testiranje sistemov.
- Registracija v imenu organizacije.
- Potrdilo o skladnosti z zakonom: takega potrdila ne izdajamo.
Pravnega svetovanja ne dajemo. Roki in obveznosti veljajo po stanju na dan zadnje preveritve ter se lahko spremenijo, zato jih preverite v uradnem besedilu predpisa.
Pogosta vprašanja
Kdaj je zakon začel veljati?
ZInfV-1 je začel veljati 19. junija 2025.
Kakšni so roki za registracijo in ukrepe?
Po 60. členu so se zavezanci, ki so ob uveljavitvi zakona izpolnjevali merila, morali prvič registrirati v šestih mesecih od uveljavitve (konec leta 2025). Po 62. členu morajo bistveni in pomembni subjekti ukrepe za obvladovanje tveganj sprejeti v osemnajstih mesecih od uveljavitve, torej okoli 19. decembra 2026. Za bistvene subjekte, ki so bili že izvajalci bistvenih storitev po prejšnjem ZInfV, in za operaterje po Zakonu o elektronskih komunikacijah velja krajši rok enega leta, torej junij 2026. Nove zavezance zavezuje samoregistracija v 30 dneh od nastanka zavezanosti (8. člen). Natančen datum izteka roka in izjeme preverite v uradnem besedilu zakona ali pri URSIV.
Ali certifikat ISO/IEC 27001 pomeni skladnost z ZInfV-1?
Ne samodejno. Standard pokriva velik del upravljanja tveganj in ukrepov, ZInfV-1 pa vsebuje samostojne obveznosti, na primer registracijo, prijavo incidentov in odgovornost vodstva. Prekrivanje je treba preveriti s primerjavo zahtev.
Ali je dovolj samo politika informacijske varnosti?
Ne. Politika je začetek. Zakon pričakuje konkretne ukrepe, upravljanje tveganj, postopke za incidente in odgovornost vodstva, ki jo mora organizacija znati dokazati.
Kako vem, ali sem zavezanec?
Zavezanost je odvisna od sektorja, velikosti in dejavnosti. Dokončno oceno poda pristojni organ ali pravnik. Mi lahko pomagamo pri pripravi podatkov in pregledu stanja.
Viri
- Zakon o informacijski varnosti (ZInfV-1), Uradni list RS, št. 40/25 (odpre se v novem zavihku)
- Direktiva (EU) 2022/2555 (NIS2), EUR-Lex (odpre se v novem zavihku)
- URSIV: ZInfV-1, odgovori na vprašanja (odpre se v novem zavihku)
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.