NIS2 i nizozemski Zakon o kibernetičkoj sigurnosti (Cyberbeveiligingswet): odnose li se na moju tvrtku?

Od 15. kolovoza 2026. u Nizozemskoj se primjenjuje Zakon o kibernetičkoj sigurnosti (Cbw). Možda ste pojam NIS2 već čuli od klijenta, dobavljača ili savjetnika. U ovom članku ukratko ćete saznati što je taj zakon, na koga se odnosi i što znači za malu tvrtku na koju se sam ne odnosi.

Ovaj članak sadrži općenito objašnjenje i nije pravni savjet. Aktualna pravila možete pronaći kod NCSC-a i u tekstu zakona.

Što je to?

NIS2 je europska direktiva iz 2022. (Direktiva (EU) 2022/2555) kojoj je cilj povećati digitalnu otpornost organizacija u važnim sektorima. Svaka država prenosi direktivu u vlastiti zakon. U Nizozemskoj je to Zakon o kibernetičkoj sigurnosti (Cbw). Zakon se primjenjuje od 15. kolovoza 2026., bez prijelaznog razdoblja, i zamjenjuje stari Zakon o sigurnosti mrežnih i informacijskih sustava (Wbni). Prema NCSC-u, na više od 8.000 organizacija primjenjuje se ovaj zakon. NCSC je kontaktna točka.

Odnosi li se zakon na moju tvrtku?

To ovisi o dva pitanja: o Vašem sektoru i o veličini Vaše tvrtke.

1. Djelujete li u sektoru navedenom u zakonu?

Za neke sektore vrijede dodatni uvjeti. Dakle, ne odnosi se zakon automatski na svaku tvrtku koja se na neki način bavi hranom.

2. Je li Vaša tvrtka dovoljno velika? Ukratko, zakon se odnosi na srednje i velike organizacije. Ubrajate se ako:

• imate 50 ili više zaposlenika (ekvivalent punog radnog vremena), ili
• imate manje od 50 zaposlenika, ali i Vaš godišnji promet i Vaša ukupna bilanca premašuju 10 milijuna eura.

Uračunavaju se i partnerska i povezana poduzeća. Tvrtka s 20 zaposlenika koja pripada grupi s 200 zaposlenika stoga ipak može biti obuhvaćena zakonom.

Iznimke, neovisno o veličini. Nekoliko vrsta organizacija uvijek je obuhvaćeno, bez obzira na to koliko su male. Primjerice pružatelji DNS usluga, registri vršnih domena, pružatelji javnih elektroničkih komunikacijskih mreža i usluga, pružatelji usluga povjerenja i tijela javne uprave. Ako ste određeni kao subjekt prema Zakonu o otpornosti kritičnih subjekata, obuhvaćeni ste i Zakonom o kibernetičkoj sigurnosti.

Provjerite sami putem samoprocjene

Državni inspektorat za digitalnu infrastrukturu (RDI) nudi besplatnu NIS2 samoprocjenu. Odgovarate na pitanja o svom sektoru, veličini i uslugama te dobivate rezultat. Iz njega se vidi i jeste li ključni ili važni subjekt. Razlika je uglavnom u nadzoru: kod ključnih subjekata nadzorno tijelo smije provoditi provjere i na vlastitu inicijativu, a kod važnih subjekata uglavnom naknadno. Pripada li Vaša tvrtka grupi ili poslujete u više zemalja? U tom slučaju pomoći će Vam smjernice za složene poslovne modele NCSC-a.

Što morate učiniti ako ste obuhvaćeni zakonom?

• Registracija. Svoju organizaciju prijavljujete putem portala MijnNCSC.
• Obveza upravljanja rizicima. Izrađujete analizu rizika i poduzimate odgovarajuće i razmjerne mjere. NCSC navodi najmanje deset područja, među kojima su postupanje s incidentima, sigurnosne kopije i oporavak, sigurnost Vašeg lanca opskrbe, obuka, ažuriranja, upravljanje pristupom, višefaktorska autentifikacija ili pristupni ključevi (passkeys), šifriranje i testiranje djelotvornosti Vaših mjera. Uprava odobrava mjere i nadzire njihovu provedbu.
• Obveza izvješćivanja. Značajan incident prijavljujete putem portala MijnNCSC: u roku od 24 sata šaljete rano upozorenje, u roku od 72 sata obavijest s prvom procjenom ozbiljnosti i učinka, a u roku od mjesec dana završno izvješće.

Ta je prijava odvojena od obveze prijave povrede osobnih podataka prema Općoj uredbi o zaštiti podataka (GDPR). Ta obveza vrijedi za svakoga tko obrađuje osobne podatke, pa i za samozaposlene osobe, a povreda se prijavljuje nizozemskom nadzornom tijelu za zaštitu osobnih podataka. Kada je nešto povreda osobnih podataka i morate li je prijaviti, pročitajte u članku Je li ovo povreda osobnih podataka i moram li je prijaviti? Napad u kojem su ukradeni i podaci klijenata stoga će možda trebati prijaviti na oba mjesta.

Niste obuhvaćeni zakonom? Lanac opskrbe Vas ipak može zahvatiti

Većina malih tvrtki nije obuhvaćena zakonom. U tom slučaju nemate obvezu registracije, obvezu izvješćivanja NCSC-a ni nadzor. No organizacije koje jesu obuhvaćene moraju uzeti u obzir i rizike kod svojih izravnih dobavljača i pružatelja usluga. Prema NCSC-u, zakon samim dobavljačima ne nameće obveze, ali klijenti smiju postavljati zahtjeve u pogledu njihove digitalne sigurnosti. Takvi se zahtjevi onda nalaze u ugovoru ili upitniku.

Isporučujete li usluge većoj organizaciji, primjerice kao izrađivač web stranica, IT administrator ili računovodstveni ured? Tada biste mogli dobiti pitanja poput: koristite li autentifikaciju u dva koraka, tko ima pristup našim podacima, gdje se nalaze sigurnosne kopije i koliko brzo prijavljujete incident?

• Zahtjevi trebaju biti primjereni riziku Vaše usluge. Dobavljač s pristupom sustavima dobiva strože zahtjeve od pekara koji donosi ručak.
• Riječ je o izravnim dobavljačima. Dobavljači Vaših dobavljača nisu obuhvaćeni.
• Zakon ne propisuje certifikat. On može pomoći u razgovoru, ali nije jamstvo.
• Počnite na vrijeme: popišite mjere koje već imate i dogovore s klijentom zabilježite u pisanom obliku.

Dodatno čitanje

• NCSC: Zakon o kibernetičkoj sigurnosti (NIS2)
• NCSC: Je li moja organizacija obuhvaćena Zakonom o kibernetičkoj sigurnosti?
• NCSC: Obveza upravljanja rizicima
• NCSC: Obveza izvješćivanja
• NCSC: Zakon o kibernetičkoj sigurnosti i dobavljači
• RDI: NIS2 samoprocjena
• Tekst Zakona o kibernetičkoj sigurnosti

Želite li naučiti više? Pohađajte besplatni tečaj Sigurno na internetu za poduzetnike, lekcija 9.1 NIS2 i Zakon o kibernetičkoj sigurnosti.