ZInfV-1 in direktiva NIS2
Slovenski zakon o informacijski varnosti, ki prenaša direktivo NIS2.
Katero težavo rešujemo
Zakon se nanaša na širok nabor sektorjev in mnoge organizacije se ne prepoznajo kot zavezanci. Tiste, ki se prepoznajo, pogosto ne vedo, kaj točno morajo dokazati, kdo v vodstvu odgovarja in do kdaj.
Zakaj je to pomembno
Zavezanost je treba ugotoviti za vsak subjekt posebej, na podlagi dejavnosti in velikosti. Brez jasne ugotovitve ne veste, ali morate ukrepati, ali se morate registrirati in kateri del zakona je za vas najbolj tvegan.
Za koga je
- Organizacije v sektorjih, ki jih zajema NIS2 (energetika, promet, bančništvo, zdravstvo, voda, digitalna infrastruktura, javna uprava in drugi).
- Ponudniki digitalnih storitev in dobavitelji, ki jih zahtevajo zavezani naročniki.
- Vodstvo in odgovorne osebe, ki morajo razumeti svojo odgovornost za izvajanje ukrepov.
Kaj obsega delo
- Ugotovitev zavezanosti glede na sektor, velikost in dejavnost organizacije.
- Pregled stanja glede na zahteve zakona in direktive NIS2 (GAP analiza).
- Priprava ali prenova analize tveganj in nabora ukrepov za obvladovanje tveganj.
- Postopki za obveščanje o incidentih in določitev vlog za odziv.
- Vloga vodstva: seznanitev, odgovornost in usposabljanje odgovornih oseb.
- Priprava dokazil, ki jih lahko predložite pristojnemu organu.
Potek dela
Pregled dejavnosti in ugotovitev, ali ste zavezanec.
GAP analiza glede na zahteve zakona.
Načrt ukrepov s prioritetami in odgovornimi osebami.
Izvedba ključnih dokumentov in postopkov z vami.
Pregled pripravljenosti pred izpolnitvijo obveznosti ali pred preverjanjem.
Kaj potrebujemo od vas
- Seznam dejavnosti in sektorjev, v katerih delujete.
- Število zaposlenih in letni promet ali bilanca stanja.
- Obstoječe politike, analize tveganj in pogodbe z dobavitelji IT, če obstajajo.
- Ime osebe, ki bo odgovorna za sodelovanje s pristojnim organom.
Kaj prejmete
- Poročilo o ugotovitvi zavezanosti in GAP analiza.
- Načrt ukrepov s prioritetami in roki.
- Predloge dokumentov: politika, postopki za incidente in upravljanje tveganj.
- Kratek pregled za vodstvo, ki povzema odgovornosti in tveganja.
Kaj ni vključeno in kje so meje
- Pravno mnenje ali zastopanje pred pristojnim organom.
- Tehnična izvedba ukrepov, konfiguracija sistemov in izvedba testiranj.
- Registracija v imenu organizacije, če tega ne prevzamete sami.
Pravnega svetovanja ne dajemo. Obveznosti so odvisne od položaja posamezne organizacije, zato se pri zavezujočih odločitvah posvetujte s pristojnim organom ali odvetnikom. Roke preverite v uradnem besedilu zakona.
Pogosta vprašanja
Kdaj je zakon začel veljati?
ZInfV-1 je začel veljati 19. junija 2025.
Kakšni so roki za registracijo in ukrepe?
Zavezanci, ki so ob uveljavitvi zakona izpolnjevali merila, so se morali prvič registrirati v šestih mesecih, torej do 19. decembra 2025. Ukrepe za obvladovanje tveganj morajo bistveni in pomembni subjekti sprejeti v osemnajstih mesecih od uveljavitve, torej do 19. decembra 2026. Nekdanji izvajalci bistvenih storitev po starem zakonu imajo rok eno leto, torej do 19. junija 2026. Nove zavezance zavezuje registracija v 30 dneh od nastanka zavezanosti. Roke preverite v uradnem besedilu zakona.
Kako vem, ali sem zavezanec?
Zavezanost je odvisna od sektorja, velikosti in dejavnosti. Ugotovitev je prvi korak in je pogosto krajša, kot se zdi.
Ali je dovolj samo politika informacijske varnosti?
Ne. Politika je začetek. Zakon pričakuje konkretne ukrepe, upravljanje tveganj, postopke za incidente in odgovornost vodstva, ki jo morate dokazati.
Ali certifikat ISO/IEC 27001 pomeni skladnost z ZInfV-1?
Ne samodejno. Standard pokriva velik del upravljanja tveganj in ukrepov, ZInfV-1 pa vsebuje samostojne obveznosti, na primer registracijo, prijavo incidentov in odgovornost vodstva. Prekrivanje je treba preveriti s primerjavo zahtev.
Ali ISO 22301 pomaga pri zahtevah zakona?
Zakon zahteva neprekinjenost poslovanja in obvladovanje kriz. Sistem po ISO 22301 je lahko dobra podlaga za ta del, ni pa dokaz skladnosti z zakonom.
Uradni viri
Potrebujete svetovalni pregled ali pomoč pri pripravi na skladnost?
Opišite organizacijo in izziv. Predlagamo smiseln obseg dela, brez obvezujočih obljub o rezultatu.