NIS2 i Zakon o kibernetičkoj sigurnosti: spada li Vaša tvrtka u njegovo područje primjene?
Od 15. kolovoza 2026. u Nizozemskoj je na snazi Zakon o kibernetičkoj sigurnosti (Cyberbeveiligingswet). Možda ste pojam NIS2 već čuli od klijenta, dobavljača ili savjetnika. U ovom članku ukratko saznajete što taj zakon znači, tko je njime obuhvaćen i što znači za malo poduzeće koje samo po sebi nije njime obuhvaćeno.
Ovaj članak pruža opće informacije i ne predstavlja pravni savjet. Aktualna pravila pronaći ćete kod NCSC-a i u tekstu zakona.
Što je to?
NIS2 je europska direktiva iz 2022. godine (Direktiva (EU) 2022/2555) čiji je cilj učiniti organizacije u ključnim sektorima digitalno otpornijima. Svaka država tu direktivu prenosi u vlastiti zakon. U Nizozemskoj je to Zakon o kibernetičkoj sigurnosti (Cyberbeveiligingswet, skraćeno Cbw). Zakon je na snazi od 15. kolovoza 2026., bez prijelaznog razdoblja, i zamjenjuje stari Zakon o sigurnosti mrežnih i informacijskih sustava (Wbni). Prema podacima NCSC-a, njime je obuhvaćeno više od 8.000 organizacija. NCSC je kontaktna točka.
Je li moje poduzeće obuhvaćeno zakonom?
To ovisi o dva pitanja: Vašem sektoru i veličini Vašeg poduzeća.
1. Djelujete li u sektoru navedenom u zakonu?
| Prilog 1 | Prilog 2 |
|---|---|
| Energetika, promet, bankarstvo, infrastruktura financijskog tržišta, zdravstvo, pitka voda, otpadne vode, digitalna infrastruktura, upravljanje IKT uslugama, javna uprava, svemirska industrija | Poštanske i kurirske usluge, gospodarenje otpadom, kemijske tvari, prehrambeni proizvodi, proizvodnja (prerađivačka industrija), digitalni pružatelji usluga, istraživanje |
Za neke sektore vrijede dodatni uvjeti. Dakle, nije svako poduzeće koje se bavi nečim vezanim uz prehrambene proizvode automatski obuhvaćeno zakonom.
2. Jeste li dovoljno veliki? Ukratko, zakonom su obuhvaćene srednje velike i velike organizacije. Ubrajate se ako:
- imate 50 ili više zaposlenika (FTE), ili
- imate manje od 50 zaposlenika, ali su Vam i godišnji promet i bilančna suma viši od 10 milijuna eura.
Partnerska i povezana poduzeća se uračunavaju. Poduzeće s 20 zaposlenika koje pripada grupi od 200 zaposlenika stoga ipak može biti obuhvaćeno zakonom.
Iznimke, bez obzira na veličinu. Nekoliko vrsta organizacija uvijek je obuhvaćeno zakonom, koliko god bile male. Primjerice, pružatelji DNS usluga, registri vršnih domena, pružatelji javnih elektroničkih komunikacijskih mreža i usluga, pružatelji usluga povjerenja te organizacije javne uprave. Ako ste određeni u skladu sa Zakonom o otpornosti kritičnih subjekata, tada ste također obuhvaćeni Zakonom o kibernetičkoj sigurnosti.
Provjerite sami putem samoprocjene
Nizozemska inspekcija za digitalnu infrastrukturu (Rijksinspectie Digitale Infrastructuur, RDI) nudi besplatnu NIS2 samoprocjenu. Odgovarate na pitanja o Vašem sektoru, veličini i uslugama te dobivate rezultat. Iz njega je također vidljivo jeste li ključni ili važan subjekt. Razlika je prije svega u nadzoru: kod ključnih subjekata nadzorno tijelo smije provoditi provjere i na vlastitu inicijativu, dok se kod važnih subjekata to uglavnom radi naknadno. Pripada li Vaše poduzeće grupi ili djelujete u više zemalja? Tada Vam može pomoći vodič za složene poslovne modele NCSC-a.
Što trebate učiniti ako ste obuhvaćeni zakonom?
- Registracija. Svoju organizaciju prijavljujete putem portala MijnNCSC.
- Dužnost brige. Izrađujete analizu rizika i poduzimate primjerene i razmjerne mjere. NCSC navodi najmanje deset tema, uključujući obradu incidenata, sigurnosne kopije i oporavak, sigurnost opskrbnog lanca, osposobljavanje, ažuriranja, upravljanje pristupom, višefaktorsku autentifikaciju ili passkeyeve, enkripciju te testiranje djeluju li Vaše mjere. Uprava odobrava mjere i provodi nadzor.
- Obveza prijave. Značajan incident prijavljujete putem portala MijnNCSC: u roku od 24 sata prvo upozorenje, u roku od 72 sata prijavu s prvom procjenom ozbiljnosti i utjecaja te u roku od mjesec dana završno izvješće.
Ta prijava odvojena je od obveze prijave povrede osobnih podataka iz nizozemske Opće uredbe o zaštiti podataka (AVG). Ona vrijedi za svakoga tko obrađuje osobne podatke, pa i za samostalne poduzetnike, a prijavljuje se Nizozemskom tijelu za zaštitu osobnih podataka (Autoriteit Persoonsgegevens). Napad kod kojeg su ukradeni i podaci klijenata stoga može zahtijevati prijavu kod oba tijela.
Niste obuhvaćeni zakonom? Opskrbni lanac Vas ipak može pogoditi
Većina malih poduzeća nije obuhvaćena zakonom. U tom slučaju nemate obvezu registracije, obvezu prijave kod NCSC-a niti podliježete nadzoru. No organizacije koje jesu obuhvaćene zakonom moraju voditi računa i o rizicima kod svojih izravnih dobavljača i pružatelja usluga. Prema NCSC-u, zakon sam po sebi ne nameće obveze dobavljačima, ali klijenti im smiju postavljati zahtjeve u vezi s njihovom digitalnom sigurnošću. Ti se zahtjevi tada navode u ugovoru ili upitniku.
Isporučujete li usluge većoj organizaciji, primjerice kao izrađivač web stranica, IT administrator ili knjigovodstveni ured? Tada možete dobiti pitanja poput: koristite li dvostupanjsku provjeru, tko ima pristup našim podacima, gdje se nalaze sigurnosne kopije i koliko brzo prijavljujete incident?
- Zahtjevi trebaju biti razmjerni riziku Vaše usluge. Dobavljač s pristupom sustavima dobiva strože zahtjeve od pekara koji donosi ručak.
- Riječ je o izravnim dobavljačima. Dobavljači Vaših dobavljača nisu obuhvaćeni.
- Zakon ne propisuje certifikat. On može pomoći u razgovoru, ali nije jamstvo.
- Počnite na vrijeme: utvrdite koje mjere već imate i zabilježite dogovore s klijentom.