Avtor: Tom Meevis, odvetnik pri Law & More
Kibernetska varnost ni več zgolj tehnično vprašanje. Je tudi pravno in upravljavsko vprašanje, ki vpliva na praktično vsako organizacijo ne glede na velikost.
Z evropsko direktivo NIS2 in nizozemskim zakonom o kibernetski varnosti se odgovornost za digitalno odpornost trdno prenaša na upravo. Nizozemski zakon o kibernetski varnosti začne veljati 15. avgusta 2026. Lastniki podjetij, direktorji in pooblaščenci za skladnost morajo zato v kratkem času vzpostaviti:
- ali njihova organizacija spada na področje uporabe novih pravil;
- katere obveznosti iz njih izhajajo;
- kateri ukrepi so potrebni;
- in kako lahko organizacija izpolni te obveznosti.
Ta članek predstavlja glavne elemente NIS2 in nizozemskega zakona o kibernetski varnosti: področje uporabe, dolžnost skrbnega ravnanja, dolžnost obveščanja, odgovornost upravnega odbora, izvrševanje in korake, ki jih lahko organizacije sprejmejo zdaj.
Kaj je NIS2?
NIS2 je uradna oznaka Direktive (EU) 2022/2555. Nasleduje prvo evropsko direktivo o varnosti omrežij in informacij, ki se običajno imenuje NIS1.
Države članice so morale NIS2 prenesti v nacionalno zakonodajo do 17. oktobra 2024. NIS2 je od 18. oktobra 2024 formalno nadomestil prejšnjo direktivo.
Njegov cilj je zvišati in bolje uskladiti raven kibernetske odpornosti znotraj Evropske unije. To poteka v dveh glavnih smereh. Prvič, širše področje uporabe: pravila veljajo za veliko več organizacij kot v okviru NIS1. Drugič, strožji nadzor in izvrševanje s širšim naborom orodij in jasnejšimi odgovornostmi direktorjev.
Medtem ko je NIS1 razlikoval med izvajalci bistvenih storitev in ponudniki digitalnih storitev, NIS2 obravnava bistvene in pomembne subjekte. To razlikovanje ni zgolj terminološko: med drugim določa intenzivnost nadzora in višino morebitnih glob.
Katere organizacije spadajo pod NIS2?
NIS2 se uporablja za organizacije, ki delujejo v osemnajstih določenih sektorjih, razdeljenih na sektorje z visoko kritičnostjo in druge kritične sektorje.
Med sektorji visokega pomena so energetika, promet, bančništvo, infrastruktura finančnih trgov, zdravstvo, pitna voda in odpadna voda, digitalna infrastruktura, upravljanje storitev IKT za poslovne uporabnike, javna uprava in vesolje.
Drugi kritični sektorji vključujejo poštne in kurirske storitve, ravnanje z odpadki, kemikalije, hrano, proizvodnjo, digitalne ponudnike in raziskovalne ustanove.
Prag velikosti
Znotraj teh sektorjev velja glavno pravilo, da organizacija spada pod NIS2, če se uvršča med srednje velika ali velika podjetja. Merila so vsaj 50 zaposlenih ali letni promet oziroma bilančna vsota, ki presega 10 milijonov EUR.
Od tega glavnega pravila obstajajo izjeme. Nekatere organizacije spadajo v področje uporabe ne glede na velikost, ker njihove storitve veljajo za še posebej ključne:
- ponudniki javnih elektronskih komunikacijskih omrežij in storitev;
- ponudniki storitev zaupanja;
- ponudniki storitev registracije domenskih imen;
- registri domenskih imen najvišje ravni;
- organi javnega sektorja.
Od 15. avgusta 2026 nove obveznosti veljajo za več kot 8,000 organizacij na Nizozemskem. To je precejšnja razširitev v primerjavi s številom, ki ga zajema veljavni zakon o varnosti omrežij in informacijskih sistemov.
Organizacije, ki se prej niso imele za del kritičnega sektorja, so zato lahko ujete, vključno s srednje velikimi proizvajalci, proizvajalci hrane, raziskovalnimi ustanovami in ponudniki digitalnih storitev. Pomembno je, da so organizacije same odgovorne za oceno, ali spadajo v področje uporabe. Nadrejeni ne bodo prejeli nobenega pisma, ki bi jih o tem obvestilo.
Dolžnost skrbnosti: kateri ukrepi so potrebni?
Jedro NIS2 in nizozemskega zakona o kibernetski varnosti je dolžnost skrbnega ravnanja. Bistveni in pomembni subjekti morajo sprejeti ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe za obvladovanje tveganj za svoja omrežja in informacijske sisteme.
Pravila opredeljujejo teme, ki jih mora politika v vsakem primeru obravnavati:
- analiza tveganj in politika informacijske varnosti;
- ravnanje z incidenti;
- neprekinjeno poslovanje, upravljanje varnostnih kopij in obnova po nesreči;
- varnost dobavne verige;
- kibernetska higiena in usposabljanje osebja;
- politika ravnanja z ranljivostmi;
- večfaktorska avtentikacija;
- zavarovane komunikacije;
- kriptografija;
- periodično ocenjevanje učinkovitosti ukrepov.
Ukrepi morajo biti sorazmerni z velikostjo organizacije in tveganji, ki jim je dejansko izpostavljena. Manjšemu pomembnemu subjektu zato ni treba sprejeti enakih ukrepov kot velikemu bistvenemu subjektu v sektorju z visokim tveganjem.
To pa ne pomeni, da je dolžnost skrbnega ravnanja neobvezna. Organizacije morajo biti sposobne utemeljiti, katera tveganja so ugotovile, katere ukrepe so sprejele in zakaj so ti ukrepi ustrezni. Nadzoru niso podvrženi le sami ukrepi, temveč tudi način njihovega tehtanja, beleženja in rednega ocenjevanja.
Dolžnost obveščanja po incidentu
Poleg dolžnosti skrbnosti NIS2 nalaga tudi dolžnost postopnega obveščanja o pomembnih incidentih. Kadar ima ali bi lahko imel incident znaten vpliv na neprekinjeno delovanje storitev, veljajo naslednji roki v splošnem:
- v 24 urah zgodnje opozorilo nacionalni skupini za odzivanje na incidente računalniške varnosti ali pristojnemu organu;
- v 72 urah uradno obvestilo s prvotno oceno resnosti in vpliva;
- najkasneje v enem mesecu končno poročilo z opisom incidenta, njegovega verjetnega vzroka, sprejetih ukrepov in morebitnih čezmejnih učinkov.
Zaradi teh rokov je treba vnaprej določiti jasne postopke. Organizacija mora vedeti, kdaj je treba incident prijaviti, kdo je pooblaščen za prijavo, katere informacije morajo biti na voljo, kdo koordinira in kako sta obveščena upravni odbor in nadzornik.
Organizacija, ki poskuša vzpostaviti postopek obveščanja le med incidentom, tvega, da ne bo mogla pravočasno ali v celoti poročati.
Odgovornost upravnega odbora
Pomemben element NIS2 je, da je odgovornost za upravljanje kibernetskih tveganj izrecno dodeljena upravi. Uprava mora odobriti varnostne ukrepe, nadzorovati njihovo izvajanje, biti sposobna oceniti kibernetska tveganja organizacije in se sama ustrezno usposabljati.
Kibernetske varnosti zato ni več mogoče obravnavati zgolj kot odgovornost oddelka IT. Gre za temo upravljanja, ki mora biti del rednega odločanja in obvladovanja tveganj.
Direktiva izrecno obravnava tudi osebno odgovornost višjega vodstva, če organizacija ne ravna v skladu s predpisi. Ustrezno zabeležite vključenost upravnega odbora, na primer z dokumentiranjem izvedenih usposabljanj, odločitev upravnega odbora, odobrene politike, ocen tveganj, poročanja in nadzora nad izvajanjem.
Nizozemska izvedba
Nizozemska je precej zamujala z izvajanjem NIS2. Rok za prenos, 17. oktober 2024, ni bil izpolnjen.
Evropska komisija se je 8. julija 2026 odločila, da bo proti Nizozemski, Irski, Španiji in Franciji sprožila postopek pred Sodiščem Evropske unije, ker ni sporočila ukrepov za prenos. Nizozemska je bila tako med štirimi državami Evropske unije, ki zaostajajo v zakonodaji.
Čas je presenetljiv. Dan prej, 7. julija 2026, je senat odobril zakon o kibernetski varnosti in zakon o odpornosti kritičnih subjektov. Ali dejstvo, da je bil zakon sprejet pred pošiljanjem napotitve, vpliva na izid postopka, bomo še videli; o tem bo odločilo sodišče.
Oba zakona začneta veljati 15. avgusta 2026. Zakon o kibernetski varnosti izvaja direktivo NIS2, zakon o odpornosti kritičnih subjektov pa evropsko direktivo CER, ki je namenjena odpornosti kritične infrastrukture. Organizacije, ki jih zajema slednja, bodo od 15. avgusta 2026 uradno označene kot kritični subjekti.
Z začetkom veljavnosti preneha veljati veljavni zakon o varnosti omrežij in informacijskih sistemov (Wbni). Za organizacije, ki jih že zajema, to pomeni večje obveznosti; za organizacije, ki prvič spadajo na področje uporabe, pa povsem novo ureditev.
Registracija pri NCSC
Pomembna nova obveznost je registracija pri Nacionalnem centru za kibernetsko varnost. Bistvene in pomembne subjekte je treba vpisati v nacionalni register subjektov. Ta registracija je obvezna od 15. avgusta 2026 in poteka prek portala MijnNCSC, pri čemer se za navadne organizacije uporablja eHerkenning, za organe javnega sektorja pa SSOnRijk. Spremembe registriranih podatkov je treba sporočiti v štirinajstih dneh.
Registracija ni zgolj upravna formalnost. Ko so organizacije registrirane, se lahko povežejo s storitvami svoje skupine CSIRT, ki zagotavlja izdelke in storitve za povečanje odpornosti ter podporo v primeru incidenta. Registracijo pripravite pravočasno, da se izvajanje ne začne šele po začetku veljavnosti.
Nadzor in izvrševanje
Zakon o kibernetski varnosti določa diferenciran nadzorni režim. Bistveni subjekti so predmet proaktivnega nadzora: nadzornik lahko preverja neprekinjeno in na lastno pobudo, brez kakršnega koli posebnega incidenta ali signala. Pomembni subjekti so predmet reaktivnega nadzora, pri katerem nadzornik načeloma ukrepa kot odziv na incident, pritožbo ali drug konkreten signal.
Nadzor je razdeljen med več organov. Od 15. avgusta 2026 nizozemski organ za digitalno infrastrukturo nadzoruje organizacije v devetih sektorjih; za druge sektorje so imenovani drugi nadzorniki. Ugotovite, kateri nadzornik je pristojen za vašo organizacijo.
Nabor orodij za izvrševanje je širok in vključuje:
- varnostni pregled ali varnostna revizija;
- zavezujoče navodilo;
- sklep o upravni izvršbi ali sklep, za katerega je določena denarna kazen;
- objava kršitve;
- upravna globa;
- za bistvene subjekte: začasna ukinitev certifikata, dovoljenja ali člana upravnega odbora.
Za bistvene subjekte znaša najvišja kazen najmanj 10 milijonov EUR ali 2 % skupnega svetovnega letnega prometa, kar je višje. Za pomembne subjekte znaša najmanj 7 milijonov EUR ali 1.4 % svetovnega letnega prometa, spet kar je višje. Končna višina je odvisna od okoliščin primera, vključno z naravo, težo in trajanjem kršitve, stopnjo krivde in sprejetimi ukrepi.
Kaj lahko vaša organizacija stori zdaj?
- Izvedite samooceno. Ugotovite, ali je organizacija dejavna v določenem sektorju in ali dosega prag velikosti.
- Določite pravilno kategorijo. Ugotovite, ali organizacija izpolnjuje pogoje za bistveno ali pomembno entiteto in kateri nadzornik je kompetenten.
- Pripravite registracijo. Zberite podatke, potrebne za registracijo pri NCSC, prek MijnNCSC.
- Preizkusite ukrepe dolžnosti skrbnega ravnanja. Ocenite obstoječe ukrepe na področju analize tveganj, odzivanja na incidente, neprekinjenega poslovanja, varnosti dobavne verige, kibernetske higiene, ranljivosti, večfaktorske avtentikacije in kriptografije.
- Vzpostavite postopek obveščanja. Zabeležite, kdo oceni, ali je incident treba prijaviti, kdo prijavi in kako se upoštevajo 24-urni, 72-urni in enomesečni roki.
- Vključite upravni odbor na dokazljiv način. Zabeležite, katere odločitve je upravni odbor sprejel, katera usposabljanja so bila izvedena in kako se izvaja nadzor nad izvajanjem.
- Vključite dobavno verigo. Velik delež ranljivosti ne nastane znotraj same organizacije, temveč pri dobaviteljih in ponudnikih storitev. Preglejte svoje pogodbe o varnostnih dogovorih, dolžnostih obveščanja in pravicah do revizije.
V zaključnem
Zakon o kibernetski varnosti in Zakon o odpornosti kritičnih subjektov predstavljata znatno zaostritev obveznosti na področju kibernetske varnosti. Širše področje uporabe, konkretni ukrepi dolžnosti skrbnega ravnanja, kratki roki za obveščanje, osebna odgovornost direktorjev in obsežen nabor orodij za izvrševanje pomenijo, da organizacije te teme ne morejo pustiti ob strani. Z začetkom veljavnosti 15. avgusta 2026 je čas za pripravo kratek.
Law & More pomaga podjetjem, direktorjem in pooblaščencem za skladnost pri določanju njihovega položaja v skladu z NIS2 in nizozemskim zakonom o kibernetski varnosti, pri vzpostavitvi in testiranju ukrepov dolžnosti skrbnega ravnanja, pri pripravi registracije pri NCSC in pri pravni vgradnji politike kibernetske varnosti.
Bi želeli, da se oceni položaj vaše organizacije v skladu z novimi pravili? Za neobvezujoč pogovor nas prosim kontaktirajte.
Pogosta vprašanja
Spodaj odgovarjamo na vprašanja, ki nam jih na to temo najpogosteje zastavljajo.
Kdaj začne veljati nizozemski zakon o kibernetski varnosti?
Senat je 15. avgusta 2026 odobril Zakon o kibernetski varnosti in Zakon o odpornosti kritičnih subjektov 7. julija 2026. Z začetkom veljavnosti preneha veljati veljavni Zakon o varnosti omrežij in informacijskih sistemov (Wbni).
Ali moja organizacija spada pod NIS2?
To je odvisno od vašega sektorja in vaše velikosti. NIS2 zajema osemnajst določenih sektorjev in znotraj teh sektorjev praviloma organizacije z najmanj 50 zaposlenimi ali letnim prometom oziroma bilančno vsoto, ki presega 10 milijonov EUR. Določene stranke so zajete ne glede na velikost.
Ali bom obveščen/a, če moja organizacija spada v področje uporabe?
Ne. Organizacije so same odgovorne za oceno, ali spadajo pod Zakon o kibernetski varnosti. Čakanje tvega, da bodo obveznosti veljale, preden bo ocena opravljena.
Kakšna je razlika med bistveno in pomembno entiteto?
Določa intenzivnost nadzora in višino morebitnih glob. Bistveni subjekti so predmet proaktivnega nadzora, pri katerem lahko nadzornik preveri na lastno pobudo. Pomembni subjekti so predmet reaktivnega nadzora, ki ga sproži incident, pritožba ali drug signal.
Kaj vključuje dolžnost skrbnosti?
Sprejemanje ustreznih in sorazmernih tehničnih, operativnih in organizacijskih ukrepov za obvladovanje tveganj za vaše omrežje in informacijske sisteme, ki zajemajo zadeve, kot so analiza tveganj, ravnanje z incidenti, neprekinjeno poslovanje, varnost dobavne verige, kibernetska higiena, ranljivosti, večfaktorska avtentikacija in kriptografija. Izbrani ukrepi morajo biti sposobni utemeljiti, zakaj so ustrezni.
Kateri roki za obveščanje veljajo po incidentu?
Zgodnje opozorilo v 24 urah, uradno obvestilo v 72 urah z začetno oceno resnosti in vpliva ter končno poročilo najkasneje v enem mesecu. Postopek obveščanja določite vnaprej.
Ali se mora moja organizacija registrirati?
Da. Registracija v nacionalnem registru subjektov je obvezna od 15. avgusta 2026 in poteka prek MijnNCSC z uporabo eHerkenning ali, za organe javnega sektorja, SSOnRijk. Spremembe je treba sporočiti v štirinajstih dneh. Ko ste registrirani, se lahko povežete s storitvami vaše skupine CSIRT.
Kakšna odgovornost je na upravnem odboru?
Upravni odbor mora odobriti varnostne ukrepe, nadzorovati njihovo izvajanje, biti sposoben oceniti kibernetska tveganja in se sam udeležiti usposabljanja. Direktiva obravnava osebno odgovornost višjega vodstva za neskladnost, zato je treba odločitve, usposabljanje in nadzor dokazljivo dokumentirati.
Kako visoke so globe?
Za bistvene subjekte najmanj 10 milijonov EUR ali 2 % svetovnega letnega prometa; za pomembne subjekte najmanj 7 milijonov EUR ali 1.4 %, v vsakem primeru kar je višje. Končna raven je odvisna od dejavnikov, vključno z naravo, težo in trajanjem kršitve ter stopnjo krivde.
Kdo nadzira skladnost?
To se razlikuje glede na sektor. Od 15. avgusta 2026 nizozemski organ za digitalno infrastrukturo nadzoruje organizacije v devetih sektorjih; za druge sektorje so imenovani drugi nadzorniki. Ugotovite, kateri nadzornik je pristojen za vašo organizacijo.
Zakaj je bila Nizozemska predložena Sodišču EU?
Zaradi poznega prenosa NIS2. Evropska komisija se je 8. julija 2026 odločila, da bo proti Nizozemski, Irski, Španiji in Franciji sprožila postopek pred Sodiščem, ker ni sporočila ukrepov za prenos. Dejstvo, da je bil zakon o kibernetski varnosti sprejet en dan prej, samo po sebi ne konča teh postopkov.
Ali to velja tudi za moje dobavitelje?
Varnost dobavne verige je ena od tem, ki jih je treba upoštevati pri dolžnosti skrbnega ravnanja. Velik delež ranljivosti se pojavlja pri dobaviteljih in ponudnikih storitev. Preglejte svoje pogodbe o varnostnih dogovorih, dolžnostih obveščanja in pravicah do revizije.
