Kibernetska varnost: Slovenija (2026)
Slovenija je sprejela Zakon o informacijski varnosti (ZInfV-1), ki je bil objavljen v Uradnem listu 4. junija 2025 in je začel veljati 19. junija 2025, s čimer je v celoti prenesla Direktivo EU NIS2 (2022/2555) ter nadomestil ZInfV iz leta 2018. Zakon razširja zavezujoče obveznosti na področju kibernetske varnosti na približno 6.000–8.000 subjektov v kritičnih in pomembnih sektorjih ter jim nalaga obveznosti na področju obvladovanja tveganj, odgovornosti vodstva ter večstopenjskega poročanja o incidentih. Nadzor in izvrševanje sta v pristojnosti URSIV, medtem ko SI-CERT (ki deluje v okviru ARNES) deluje kot nacionalni CSIRT.
Osnovni okvir
Zakon o informacijski varnosti (ZInfV-1), ki velja od 19. junija 2025, s katerim se prenese Direktiva EU NIS2 2022/2555; pristojni organ: URSIV (Urad za varnost informacij v javni upravi); nacionalni CSIRT: SI-CERT
Ključne točke
Transpozicija NIS2, ZInfV-1
ZInfV-1 je bil objavljen v Uradnem listu št. 2025-01-1571 dne 4. junija 2025 in je začel veljati 19. junija 2025, s čimer je nadomestil ZInfV iz leta 2018. Z njim se Direktiva NIS2 2022/2555 skupaj z Zakonom EU o kibernetski varnosti in Zakonom o solidarnosti na področju kibernetske varnosti prenese v enoten celovit nacionalni pravni akt.
Obseg obveznosti
Zakon velja za subjekte iz Priloge I k NIS2 (sektorji visoke kritičnosti: energetika, promet, bančništvo, infrastruktura finančnega trga, zdravstvo, digitalna infrastruktura itd.) in Priloge II (drugi kritični sektorji: poštne storitve, ravnanje z odpadki, proizvodnja hrane, itd.), ki imajo vsaj 50 zaposlenih ter letni promet ali bilančno vsoto v višini vsaj 10 milijonov evrov. V obseg uporabe so vključeni tudi organi javnega sektorja.
Obveznosti v zvezi s poročanjem o incidentih
Ključni in pomembni subjekti morajo SI-CERT v 24 urah obvestiti o vsakem pomembnem incidentu (začetno zgodnje opozorilo), v 72 urah predložiti podrobnejše obvestilo o incidentu ter v 30 dneh predložiti izčrpno končno poročilo. Prostovoljno poročanje je na voljo vsem drugim subjektom.
Nadzorni organi
URSIV (Urad Vlade Republike Slovenije za informacijsko varnost) je glavni pristojni nacionalni organ, odgovoren za nadzor, izvrševanje predpisov in zastopanje Slovenije v strukturah EU za kibernetsko varnost v vlogi Nacionalnega koordinacijskega centra za kibernetsko varnost (NCC-SI). SI-CERT, ki ga operativno gosti ARNES in financira URSIV, je imenovani nacionalni CSIRT.
Sankcije in izvrševanje
URSIV lahko ključnim subjektom naloži upravne globe v višini do 10 milijonov evrov ali 2 % globalnega letnega prometa (odvisno od tega, kateri znesek je višji), pomembnim subjektom pa do 7 milijonov evrov ali 1,4 % prometa. Izvršilni ukrepi se lahko stopnjujejo od opozoril in odredb o popravnih ukrepih prek dnevnih prisilnih kazni do začasne prekinitve certifikacij za ključne subjekte.
Časovni razpored izpolnjevanja zahtev
Subjekti, ki sodijo v področje uporabe, so morali opraviti samoregistracijo v treh mesecih od začetka veljavnosti ZInfV-1 (rok približno september 2025). Celoviti organizacijski varnostni ukrepi morajo biti vzpostavljeni do oktobra 2026, tehnični ukrepi za skladnost pa do oktobra 2027. Osebna odgovornost vodstva (upravni odbori morajo dokazljivo nadzorovati varnostne politike) velja od začetka veljavnosti.
Ta stran je prevod, namenjen lažjemu razumevanju; angleška različica je veljavna in ne predstavlja pravnega nasveta.