Zakon o informacijski varnosti (ZInfV-1), ki prenaša evropsko direktivo NIS2 (Direktiva 2022/2555) v slovenski pravni red, je začel veljati 19. junija 2025. Za razliko od prejšnjega zakona, ki je zajemal približno 100 subjektov, ZInfV-1 obveznosti razširja na okoli 1.000 podjetij in javnih organizacij v Sloveniji, med njimi so energetika, prevoz, zdravstvo, bančništvo, digitalna infrastruktura, proizvodne dejavnosti in javna uprava. Za mnoga od teh podjetij se leto 2026 izkaže za odločilno, saj se izteka rok za vzpostavitev in dokumentiranje ukrepov obvladovanja tveganj, ne le za registracijo pri pristojnem organu.
Kdo je zavezanec in kaj se je že zgodilo v letu 2025
Subjekti, ki so ob uveljavitvi zakona izpolnjevali pogoje iz 6. in 7. člena ZInfV-1 (predvsem podjetja z več kot 50 zaposlenimi ali letnim prihodkom nad 10 milijonov EUR v določenih sektorjih), so morali prvo samoregistracijo pri Uradu Vlade RS za informacijsko varnost (URSIV) opraviti najpozneje do 19. decembra 2025. Podjetja, ki so pogoje izpolnila kasneje, se morajo registrirati v 30 dneh od nastanka okoliščin. Registracija poteka prek spletnega obrazca, izpolnjeno CSV datoteko in elektronsko podpisan PDF pa je treba posredovati na naslov gp.uiv@gov.si.
Registracija je bila zgolj prvi korak. Bistveno bolj obsežna naloga sledi v letu 2026, ko morajo zavezanci dejansko vzpostaviti in dokumentirati ukrepe za obvladovanje tveganj.
Rok, ki se izteka konec leta 2026
ZInfV-1 zavezancem nalaga, da ukrepe za obvladovanje tveganj vzpostavijo in dokumentirajo v obdobju od 12 do 18 mesecev od uveljavitve zakona, torej najpozneje do konca leta 2026. To pomeni, da samo registracija na seznamu URSIV ne zadošča. Podjetje mora imeti pripravljeno:
- oceno tveganj za informacijske sisteme in podatke,
- varnostno politiko in interne postopke za upravljanje dostopov,
- načrt odzivanja na incidente s protokolom obveščanja,
- dokazila o nadzoru nad dobavitelji in zunanjimi izvajalci (obvladovanje tveganj v verigi),
- zapise o rednem usposabljanju zaposlenih na področju kibernetske varnosti.
URSIV je za lažjo pripravo objavil vzorčno dokumentacijo, namenjeno predvsem malim in srednjim organizacijam, vključno z vzorcem načrta odzivanja na incidente. Vendar opozarja, da gre za izhodišče, ki ga mora vsak zavezanec prilagoditi svoji infrastrukturi, sektorju in ugotovitvam lastne analize tveganj, ne za enotno rešitev, ki jo je mogoče prekopirati.
Roki za prijavo incidentov
Poleg dokumentacije zakon določa tudi natančne časovne roke za obveščanje o pomembnih incidentih. Bistveni in pomembni subjekti morajo pristojno skupino CSIRT obvestiti po naslednjem zaporedju:
| Faza | Rok | Vsebina |
|---|---|---|
| Zgodnje opozorilo | do 24 ur od zaznave | osnovno obvestilo, da je prišlo do incidenta |
| Uradna priglasitev | do 72 ur od zaznave | ocena resnosti, vpliva in začetnih ugotovitev |
| Vmesno poročilo | na zahtevo | posodobitev stanja obravnave incidenta |
| Končno poročilo | 1 mesec od priglasitve | podroben opis incidenta, vzroka, obsega in izvedenih ukrepov |
Ponudniki storitev zaupanja imajo za zgodnje opozorilo krajši, 24-urni rok za vse faze. Ker se ti roki nanašajo na dokumentirano dogajanje, mora podjetje imeti urejen sistem za sledenje incidentom, ki omogoča hitro pripravo poročil brez naknadnega rekonstruiranja dogodkov iz razpršenih virov.
Globe in kako inšpekcija presoja urejenost dokumentacije
Nadzor izvaja inšpekcija za informacijsko varnost pri URSIV, sankcije pa so za bistvene subjekte določene v razponu do 10 milijonov EUR ali 2 odstotka letnega svetovnega prihodka, za pomembne subjekte pa do 7 milijonov EUR ali 1,4 odstotka letnega prihodka, odvisno od tega, kateri znesek je višji. Za manjše kršitve in odgovorne osebe zakon predvideva nižje globe, prekrškovni postopek pa lahko vključuje tudi opomin, kadar je kršitev manjša in okoliščine to opravičujejo.
Pri odmeri globe inšpekcija po pojasnilih URSIV upošteva celoten okvir ravnanja podjetja: ali je izvedlo oceno tveganj, ali je imelo urejeno in dostopno dokumentacijo, ali je šlo za malomarnost pri pristopu k varnosti ali le za manjše, delne odmike od zahtev. To pomeni, da urejena in ažurna dokumentacija ni le formalna zahteva, temveč dejansko vpliva na izid morebitnega nadzora.
Kaj to pomeni za podjetja do konca leta
Podjetja, ki so se samoregistrirala konec leta 2025, imajo v letu 2026 na voljo še nekaj mesecev, da dokumentacijo iz zakona dejansko pripravijo, uskladijo z realnim stanjem infrastrukture in jo ohranjajo posodobljeno. Glede na to, da inšpekcija pri odločanju o globi neposredno preverja, ali je dokumentacija urejena in dostopna, je smiselno, da podjetja ne odlašajo do zadnjih tednov leta. Enako velja za sledenje incidentom, kjer kratki roki za obveščanje CSIRT (24 in 72 ur) puščajo malo prostora za improvizacijo, če zapisi o dogodkih niso urejeni sproti.
