ISO/IEC 27001 pokriva velik del ukrepov upravljanja tveganj, ki jih zahteva ZInfV-1: tveganja, incidente, neprekinjenost, dobavitelje in dostope. Ne pokrije pa registracije, prijave incidentov v rokih ter odgovornosti vodstva po zakonu. Certifikat ISO 27001 zato ne pomeni popolne skladnosti z ZInfV-1.
Zakon in standard
ZInfV-1 prenaša direktivo NIS2 v slovenski pravni red in velja od 19. junija 2025. Zavezancev ni določil standard, temveč sektor in velikost subjekta. ISO/IEC 27001 je prostovoljen standard, ki lahko pomaga pri izpolnjevanju vsebinskih zahtev.
Katere zahteve se prekrivajo
NIS2 v 21. členu našteva ukrepe za obvladovanje tveganj. Večina jih ima ustreznico v ISO 27001:
| Področje po NIS2 | Ustreznica v ISO/IEC 27001 |
|---|---|
| politike analize tveganj in varnosti sistemov | točka 6.1, politika, ocena tveganj |
| obravnava incidentov | kontrole za upravljanje incidentov |
| neprekinjenost poslovanja, varnostne kopije, krizno upravljanje | kontrole za neprekinjenost in varnostne kopije |
| varnost dobavne verige | kontrole za odnose z dobavitelji |
| varnost pri pridobivanju, razvoju in vzdrževanju | kontrole razvoja in upravljanja sprememb |
| ocena učinkovitosti ukrepov | točka 9, spremljanje in notranja presoja |
| kibernetska higiena in usposabljanje | ozaveščenost, kadri |
| kriptografija | kontrole kriptografije |
| varnost kadrov, nadzor dostopa, upravljanje sredstev | kontrole kadrov, dostopov, sredstev |
| večfaktorska avtentikacija, zavarovane komunikacije | tehnološke kontrole |
Kaj ISO 27001 ne pokrije
- Ugotovitev zavezanosti: ali spadate v ključne ali pomembne subjekte.
- Registracija pri pristojnem organu.
- Prijava incidentov v rokih, ki jih določa zakon (zgodnje opozorilo, prijava, končno poročilo).
- Odgovornost vodstva: zakon vodstvo izrecno zavezuje k odobritvi ukrepov in nadzoru.
- Obseg: certifikat ISO 27001 lahko pokriva le del organizacije, zakon pa zadeva subjekt kot celoto in njegove omrežne in informacijske sisteme.
Pomembni datumi
- zakon velja od 19. 6. 2025,
- prva registracija v šestih mesecih (do 19. 12. 2025),
- novi zavezanci se registrirajo v 30 dneh,
- ukrepi za obvladovanje tveganj v 18 mesecih (do 19. 12. 2026),
- nekdanji izvajalci bistvenih storitev: eno leto (do 19. 6. 2026).
Roke vedno preverite v uradnem besedilu zakona.
Priporočen pristop
- Preverite zavezanost in obseg omrežnih in informacijskih sistemov.
- Naredite GAP analizo glede na zahteve zakona in standarda hkrati.
- Uporabite obstoječi ISMS kot osnovo, vrzeli zakona zapolnite posebej.
- Poskrbite za registracijo, postopek prijave incidentov in poročanje vodstvu.
Pregled zakona je na strani ZInfV-1 / NIS2. Naš pregled je strokovna ocena in ne pravno mnenje.
Pogosta vprašanja
Ali certifikat ISO 27001 pomeni skladnost z ZInfV-1?
Ne. Certifikat dokazuje delovanje sistema upravljanja informacijske varnosti v določenem obsegu, ne izpolnjuje pa vseh obveznosti zakona, na primer registracije in prijave incidentov.
Kdo je pristojni organ za ZInfV-1?
Registracija in nadzor potekata pri Uradu Vlade RS za informacijsko varnost (URSIV). Za podrobnosti glejte uradna navodila.
Do kdaj moramo izvesti ukrepe?
Po uradnem dokumentu URSIV je za ukrepe rok 18 mesecev od uveljavitve zakona, torej do 19. decembra 2026. Nekdanji izvajalci bistvenih storitev imajo rok eno leto, do 19. junija 2026.
Viri
Članek je strokovni povzetek in ne nadomešča pravnega mnenja. Obveznosti so odvisne od položaja posamezne organizacije.