Ali vaše podjetje zadeva zakon o informacijski varnosti (ZInfV-1)?

Zakon o informacijski varnosti (ZInfV-1) prenaša evropsko direktivo NIS2 v slovenski pravni red. Velja od 19. junija 2025. Zavezancem nalaga ukrepe za obvladovanje kibernetskih tveganj, prijavo incidentov in skrb za varnost dobavne verige.

Kdo je zavezanec?

Zakon velja za podjetja in organizacije v kritičnih sektorjih, ki dosegajo določeno velikost:

• Visoko kritični sektorji: energetika, promet, bančništvo, infrastruktura finančnih trgov, zdravstvo, pitna in odpadna voda, digitalna infrastruktura, upravljanje storitev IKT, javna uprava in vesolje.
• Drugi kritični sektorji: poštne in kurirske storitve, ravnanje z odpadki, kemikalije, živila, proizvodnja, ponudniki digitalnih storitev in raziskave.

Praviloma gre za srednja in velika podjetja: vsaj 50 zaposlenih ali več kot 10 milijonov evrov letnega prometa oziroma bilančne vsote. Nekateri subjekti so zavezanci ne glede na velikost, na primer ponudniki javnih elektronskih komunikacij, storitev zaupanja in registracije domen.

Kaj morajo zavezanci narediti?

1. Registracija pri Uradu Vlade RS za informacijsko varnost (URSIV). Kdor je izpolnjeval merila ob uveljavitvi zakona, je moral to storiti v šestih mesecih, drugi v 30 dneh od dneva, ko začnejo izpolnjevati merila.
2. Ukrepi za obvladovanje tveganj v 18 mesecih od uveljavitve zakona, torej do decembra 2026. Med njimi so večfaktorska prijava, redne varnostne kopije, zaščita pred zlonamerno kodo, upravljanje ranljivosti in dostopov, hramba dnevnikov in usposabljanje zaposlenih.
3. Prijava incidentov: zgodnje opozorilo v 24 urah po zaznavi pomembnega incidenta, priglasitev v 72 urah in končno poročilo v enem mesecu.
4. Varnost dobavne verige: določiti morajo minimalne varnostne zahteve za ključne dobavitelje.

Zakaj vas zadeva, tudi če niste zavezanec

Ker morajo zavezanci preverjati varnost svojih dobaviteljev, bodo zahteve prenesli naprej. Če dobavljate blago ali storitve bolnišnici, energetskemu podjetju, proizvajalcu ali občini, lahko pričakujete vprašalnike o varnosti in zahteve po dokazilih.

Članek je informativen in ni pravni nasvet. Zavezujoče je besedilo zakona v Uradnem listu RS (št. 40/25).