Modul 9 · 9.1
NIS2 i Zakon o kibernetičkoj sigurnosti
Modul 9: Pravila i organizacija · Vrijeme čitanja: 11 minuta
Cilj učenja: Nakon ove lekcije moći ćete objasniti što propisuje Zakon o kibernetičkoj sigurnosti (NIS2), za koga vrijedi i što znači za male tvrtke putem opskrbnog lanca.
Ključni pojmovi: NIS2, Zakon o kibernetičkoj sigurnosti, ključni i važni subjekt, sektor, veličina, obveza skrbi, obveza prijave (24 sata, 72 sata, 1 mjesec), obveza registracije, opskrbni lanac, samoprocjena nadležnog tijela
Od europske direktive do nacionalnog zakona
NIS2 je europska direktiva iz 2022. (Direktiva (EU) 2022/2555) čiji je cilj povećati digitalnu otpornost važnih organizacija u cijeloj EU. Direktiva ne vrijedi izravno: svaka država ju prenosi u vlastiti zakon. U Hrvatskoj je to Zakon o kibernetičkoj sigurnosti. On je na snazi od 15. veljače 2024., a njime su propisana detaljnija pravila. Stariji propisi na tom području stavljeni su izvan snage. Tko potpada pod zakon, mora ispuniti njegove obveze.
Prema podacima nizozemskog NCSC-a, pod njihov zakon potpada više od 8.000 organizacija. To je mali dio svih poduzeća. Za većinu malih poduzeća najvažnije pitanje stoga nije "što ja moram napraviti za zakon?", nego "što moji klijenti traže od mene jer oni potpadaju pod zakon?". Na to ćemo se vratiti kasnije.
Za provedbu propisa u Nizozemskoj zadužen je nizozemski NCSC, koji je od 1. siječnja 2026. kontaktna točka i za mala i srednja poduzeća: bivši Digital Trust Center sada je dio NCSC-a. U Hrvatskoj nadležno tijelo ovisi o sektoru; za savjete o kibernetičkoj sigurnosti možete se obratiti Nacionalnom CERT-u.
Potpadate li Vi pod zakon? Sektor i veličina
Potpada li organizacija pod zakon ovisi o dva pitanja.
1. Radite li u sektoru iz zakona? Zakon ima dva priloga.
| Prilog 1 (11 sektora) | Prilog 2 (7 sektora) |
|---|---|
| energetika, promet, bankarstvo, pitka voda, digitalna infrastruktura, upravljanje IKT uslugama, svemirska industrija, infrastruktura financijskog tržišta, zdravstvo, otpadne vode, javna uprava | digitalni pružatelji usluga, poštanske i kurirske usluge, gospodarenje otpadom, prehrambeni proizvodi, kemikalije, istraživanje, proizvodnja (prerađivačka industrija) |
Za neke sektore vrijede dodatni uvjeti koje određuje nadležno ministarstvo. Nije dakle svaka organizacija koja radi nešto s "prehrambenim proizvodima" automatski obuhvaćena.
2. Jeste li dovoljno veliki? Vaša organizacija se ubraja ako:
- imate 50 ili više zaposlenika (ekvivalent punog radnog vremena), ili
- imate manje od 50 zaposlenika, ali su Vaš godišnji prihod i bilančna suma oboje iznad 10 milijuna eura.
Povezana i partnerska poduzeća se ubrajaju. Poduzeće s 20 zaposlenika koje pripada grupi od 200 može stoga ipak potpadati pod zakon.
Iznimke: bez obzira na veličinu. Nekoliko vrsta organizacija uvijek potpada pod zakon, koliko god bile male: pružatelji DNS usluga, registri vršnih domena, pružatelji javnih elektroničkih komunikacijskih mreža i usluga, pružatelji usluga povjerenja i tijela javne vlasti. I pružatelji usluga registracije naziva domena moraju se registrirati.
Ključni ili važni
Organizacije obuhvaćene zakonom su ključni ili važni subjekti. Grubo rečeno: velike organizacije u sektorima iz Priloga 1 te nekoliko vrsta koje su određene bez obzira na veličinu su ključni subjekti; ostali su važni subjekti. Razlika je prvenstveno u nadzoru: kod ključnih subjekata nadležno tijelo smije i samoinicijativno provjeravati, primjerice inspekcijama i revizijama; kod važnih subjekata ono prvenstveno djeluje naknadno, kad postoje naznake da nešto nije u redu. Same obveze su uglavnom jednake. Jeste li ključni ili važni subjekt, ovisi o sektoru i veličini; u nedoumici se obratite nadležnom tijelu.
Samostalna provjera
Nizozemsko nadležno tijelo ima besplatnu samoprocjenu za NIS2 na https://regelhulpenvoorbedrijven.nl/NIS-2-NL/. Odgovarate na niz pitanja o sektoru, veličini i uslugama te dobivate rezultat. Dvoumite li se, primjerice jer Vaše poduzeće pripada grupi ili posluje u više zemalja, nizozemski NCSC ima vodič za složene poslovne modele; za Hrvatsku se obratite Nacionalnom CERT-u.
Što zakon traži
Potpada li Vaša organizacija pod zakon, vrijede tri obveze.
Obveza registracije
Svoju organizaciju prijavljujete u registar subjekata putem upisa kod nadležnog tijela. Tako država zna tko potpada pod zakon i može Vas kontaktirati u slučaju prijetnje.
Obveza skrbi
Izrađujete analizu rizika i na temelju nje poduzimate primjerene i razmjerne mjere za sigurnost svojih mrežnih i informacijskih sustava. Nizozemski NCSC navodi najmanje deset tema, s kojima ste se u ovom tečaju već susreli:
- analiza rizika (lekcija 1.1 i 9.3);
- postupanje u slučaju incidenta uz plan za incidente (lekcija 8.1);
- priprema za prekid rada: sigurnosne kopije, planovi oporavka, upravljanje krizama (modul 6);
- sigurnost opskrbnog lanca, uključujući rizike dobavljača (lekcija 7.2);
- cyberhigijena i osposobljavanje (lekcija 9.2);
- sigurna nabava, razvoj i održavanje sustava, uključujući ažuriranja (lekcija 5.1);
- osoblje, politika pristupa te upravljanje opremom i softverom (lekcija 7.1);
- passkey ili višefaktorska autentifikacija i sigurna komunikacija (modul 2);
- politika za kriptografiju (šifriranje);
- ocjenjivanje djeluju li mjere, primjerice periodičnim testiranjem (lekcija 6.3 i 9.3).
Odgovorna je uprava: ona odobrava mjere i nadzire njihovu provedbu. Prema europskoj direktivi, uprava se također mora osposobljavati o kibernetičkim rizicima. Kibernetička sigurnost više nije zadatak koji se jednostavno prepušta IT osobi.
Obveza prijave
Značajan incident prijavljujete nadležnom tijelu, putem propisanog kanala. To je incident koji ozbiljno narušava Vašu uslugu, uzrokuje financijsku štetu ili može prouzročiti veliku štetu drugima; točni pragovi razlikuju se po sektoru. Rokovi teku od trenutka kad saznate za incident:
| Rok | Što šaljete |
|---|---|
| U roku od 24 sata | Rano upozorenje: je li vjerojatno zlonamjerno, postoje li prekogranične posljedice, tko je kontakt osoba |
| U roku od 72 sata | Prijava incidenta: ažuriranje s prvom procjenom ozbiljnosti i utjecaja |
| U roku od 1 mjesec nakon prijave | Završno izvješće: što se dogodilo, uzrok i poduzete mjere (traje li incident dulje: izvješće o napretku) |
Jedna prijava putem propisanog kanala dolazi do tima za hitne intervencije (CSIRT) koji pomaže kod incidenta, kao i do nadležnog tijela. Osim toga, prema direktivi, korisnike Vaših usluga morate po potrebi obavijestiti o značajnim incidentima koji ih mogu pogoditi.
Prijava prema Zakonu o kibernetičkoj sigurnosti i prijava prema GDPR-u: dvije različite stvari
To nalikuje na obvezu prijave povrede osobnih podataka iz GDPR-a (lekcija 8.2), a i tamo i tamo spominje se "72 sata". Ipak, riječ je o dvije odvojene obveze.
| Zakon o kibernetičkoj sigurnosti | GDPR (povreda osobnih podataka) | |
|---|---|---|
| Za koga | Organizacije koje potpadaju pod zakon | Svatko tko obrađuje osobne podatke, uključujući obrtnike i samostalne poduzetnike |
| O čemu | Značajni incidenti koji se tiču Vaše usluge | Povrede sigurnosti osobnih podataka |
| Kome | Nadležnom tijelu putem propisanog kanala | Agenciji za zaštitu osobnih podataka (AZOP) |
| Rokovi | 24 sata, 72 sata, 1 mjesec | Bez nepotrebnog odgađanja, po mogućnosti u roku od 72 sata |
Napad ransomwareom na organizaciju obuhvaćenu Zakonom o kibernetičkoj sigurnosti kod kojeg su ukradeni i podaci klijenata mora se stoga prijaviti oboma tijelima. A malo poduzeće koje ne potpada pod taj zakon ipak ima obvezu prijave prema GDPR-u ako dođe do curenja osobnih podataka.
Ne potpadate li pod zakon: opskrbni lanac
Za većinu čitatelja ovog tečaja odgovor na prvo pitanje glasi: ne, moje poduzeće ne potpada pod Zakon o kibernetičkoj sigurnosti. Pekara s dvanaest zaposlenika, knjigovodstveni ured s petero ljudi, samostalni izrađivač web stranica. Tada nemate zakonske obveze iz tog zakona: nema registracije, nema obveze prijave nadležnom tijelu, nema nadzora.
No zakon Vas ipak može dotaknuti putem Vaših klijenata. Organizacije obuhvaćene zakonom moraju osigurati svoj opskrbni lanac: moraju voditi računa o ranjivostima svojih izravnih dobavljača i pružatelja usluga. Nizozemski NCSC navodi da zakon ne nameće obveze izravno dobavljačima, ali da organizacije obuhvaćene zakonom mogu postavljati zahtjeve za digitalnu sigurnost svojih dobavljača. Ti zahtjevi tada dolaze u Vaš ugovor ili upitnik.
Primjer. Malo IT poduzeće sa šest zaposlenika upravlja prijenosnim računalima i mrežom srednje velikog prijevozničkog poduzeća sa 140 zaposlenika. Prijevozničko poduzeće potpada pod zakon (promet, dovoljno veliko). Samo IT poduzeće ne potpada: "upravljanje IKT uslugama" doduše stoji u Prilogu 1, ali je poduzeće premalo. Ipak dobiva upitnik: imate li dvofaktorsku autentifikaciju na alatima za upravljanje, tko ima pristup našim sustavima, koliko brzo prijavljujete incident nama, gdje se nalaze sigurnosne kopije?
Što o tome kaže nizozemski NCSC i što to znači za Vas:
- Zahtjevi moraju biti primjereni. Klijent bi trebao gledati na rizik koji Vaša usluga za njega predstavlja. Dobavljač s pristupom sustavima dobiva strože zahtjeve od pekara koji dostavlja ručak.
- Riječ je o izravnim dobavljačima. Dobavljači Vaših dobavljača ostaju izvan dosega zakona.
- Certifikat nije obvezan. Zakon ne propisuje oznaku kvalitete. Certifikat može olakšati razgovor, ali nije jamstvo niti zakonski zahtjev.
- Rano započnite razgovor. Utvrdite koje mjere već imate na mjestima gdje dolazite u dodir s klijentom i zabilježite dogovore.
Ne pretjerujte, dakle. Zakon o kibernetičkoj sigurnosti ne pretvara malo poduzeće u organizaciju "obveznika NIS2-a", a savjetnik koji Vam to tvrdi kako bi prodao skupu certifikaciju, govori Vam samo dio priče. No nemojte to ni podcijeniti: tko isporučuje većim organizacijama, sve češće mora moći pokazati da su osnove uređene. Osnovne mjere iz ovog tečaja upravo su ono što takav upitnik obično traži.
Ova lekcija pruža opće objašnjenje i nije pravni savjet. Za Hrvatsku provjerite odredbe Zakona o kibernetičkoj sigurnosti (NN 14/2024) i upute Nacionalnog CERT-a na https://www.cert.hr/. Tekst nizozemskog zakona nalazi se na https://wetten.overheid.nl/BWBR0052872/2026-08-15/0.
Sažetak
- Zakon o kibernetičkoj sigurnosti je nacionalna provedba NIS2 direktive; u Hrvatskoj je na snazi od 15. veljače 2024.
- Potpadate pod njega ako radite u sektoru iz Priloga 1 ili 2 i imate 50 ili više zaposlenika, ili su Vam godišnji prihod i bilančna suma oboje iznad 10 milijuna eura; neke vrste (poput pružatelja DNS usluga i javne uprave) potpadaju bez obzira na veličinu.
- Obveze: registracija kod nadležnog tijela, obveza skrbi s analizom rizika i primjerenim mjerama pod odgovornošću uprave, te prijava značajnih incidenata u roku od 24 sata, 72 sata i 1 mjeseca.
- Prijava prema Zakonu o kibernetičkoj sigurnosti odvojena je od prijave povrede osobnih podataka prema GDPR-u kod Agencije za zaštitu osobnih podataka; ponekad su potrebne obje.
- Malo poduzeće obično samo ne potpada pod zakon, ali putem klijenata koji potpadaju može dobiti primjerene sigurnosne zahtjeve.
Kviz
Zadatak
Zadatak A9.1: Spada li to pod Zakon o kibernetičkoj sigurnosti? Dobivate šest kratkih opisa organizacija (sektor, broj zaposlenika, prihod, bilančna suma, eventualno grupa ili veliki klijent). Odredite za svaku organizaciju: potpada pod zakon, ne potpada ali vjerojatno dobiva zahtjeve putem klijenta, ili ne potpada. Program provjerava odgovore i za svaku organizaciju prikazuje korake stabla odlučivanja.
Dodatno štivo
O Zakonu o kibernetičkoj sigurnosti još nema članka u bazi znanja WebOké; koristite službene izvore.
- Nizozemski NCSC, Zakon o kibernetičkoj sigurnosti (NIS2): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Nizozemski NCSC, Potpada li moja organizacija pod Zakon o kibernetičkoj sigurnosti (NIS2)?: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Nizozemski NCSC, Obveza skrbi: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Nizozemski NCSC, Obveza prijave: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Nizozemski NCSC, Zakon o kibernetičkoj sigurnosti i dobavljači: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- Nizozemsko nadležno tijelo, samoprocjena za NIS2: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Tekst nizozemskog Zakona o kibernetičkoj sigurnosti: https://wetten.overheid.nl/BWBR0052872/2026-08-15/0