Kibernetička sigurnost: Hrvatska (2026)
Hrvatska je prenijela Direktivu EU NIS2 (2022/2555) prije europskog roka u listopadu 2024., donijevši Zakon o kibernetičkoj sigurnosti 26. siječnja 2024. (na snazi od 15. veljače 2024.) i provedbenu Uredbu o kibernetičkoj sigurnosti u studenom 2024. Zakon proširuje regulirani okvir s otprilike 1000 na procijenjenih 8000 – 10000 subjekata u 19 kritičnih sektora, a nadzorna provedba (revizije, novčane kazne) započinje u drugoj polovici 2025. godine. Agencija za sigurnost i obavještajne poslove (SOA) domaćin je Nacionalnog centra za kibernetičku sigurnost (NCSC-HR), koji djeluje kao središnje nadležno tijelo i CSIRT za većinu sektora.
Primarna okvirna struktura
Zakon o kibernetičkoj sigurnosti (Cybersecurity Act, Službeni list br. 14/2024, na snazi od 15. veljače 2024.) + Uredba o kibernetičkoj sigurnosti (Uredba o kibernetičkoj sigurnosti, Narodne novine br. 135/2024, na snazi od 30. studenog 2024.); nacionalno nadležno tijelo: SOA / Nacionalni centar za kibernetičku sigurnost (NCSC-HR)
Ključne točke
Primarna zakonodavna akta
Zakon o kibernetičkoj sigurnosti (NN 14/2024) stupio je na snagu 15. veljače 2024. godine, čime je stavljen izvan snage prethodni zakon temeljen na NIS1. Dopunjen je Uredbom o kibernetičkoj sigurnosti (NN 135/2024, na snazi od 30. studenoga 2024.), koja utvrđuje tehničke razine sigurnosti, cikluse revizije i standardizirane obrasce izvješća o incidentima.
Nadležno tijelo i CSIRT
SOA (Sigurnosno-obavještajna agencija) imenovana je središnjim državnim tijelom za kibernetičku sigurnost. Njegov Nacionalni centar za kibernetičku sigurnost (NCSC-HR) je nacionalni CSIRT i nadležno tijelo za 15 sektora; sektorski regulatori (npr. HAKOM za elektroničke komunikacije, Hrvatska narodna banka za bankarstvo) djeluju kao nadležna tijela u svojim domenama.
Obveze prijavljivanja incidenata
Ključne i važne organizacije moraju dostaviti: rano upozorenje u roku od 24 sata od saznanja o značajnom incidentu, službeno obavještenje o incidentu u roku od 72 sata i završno izvješće u roku od 30 dana. Izvještavanje se vrši relevantnom CSIRT-u putem nacionalnog JISKB portala.
Opseg i pokrivenost sektora
Zakon obuhvaća 19 sektora (u usporedbi sa 7 prema NIS1), čime se u obuhvat dovodi procijenjenih 8.000–10.000 subjekata. Subjekti su morali registrirati se putem portala JISKB do 1. ožujka 2025. i moraju provesti početne sigurnosne mjere u roku od jedne godine od primitka obavijesti o kategorizaciji (ključni ili važni).
Kazne
Za ključne subjekte: novčane kazne do 10 milijuna eura ili 2 % globalnog godišnjeg prometa (ovisno o tome što je veće); za pojedinačne upravitelje do 6.000 eura. Za važne subjekte: do 7 milijuna eura ili 1,4 % globalnog godišnjeg prometa; pojedinačni rukovoditelji do 3.000 eura. Ovi pragovi premašuju minimalne zahtjeve NIS2.
Financijski sektor: DORA nadogradnja
Financijski subjekti koji podliježu Zakonu o kibernetičkoj sigurnosti Republike Hrvatske također podliježu Uredbi EU 2022/2554 (DORA, na snazi od 17. siječnja 2025.), koja ima prednost kao lex specialis za upravljanje rizicima informacijskih i komunikacijskih tehnologija (IKT) i izvještavanje o ozbiljnim incidentima u financijskom sektoru. Hrvatski Zakon o kibernetičkoj sigurnosti izričito uzima u obzir ovaj sektorski prekrap.
Ova stranica je prijevod radi praktičnosti; engleska verzija je mjerodavna i ne predstavlja pravni savjet.