NIS2 in zakon o kibernetski varnosti: kaj zahteva od vas?

Nizozemsko izvajanje direktive NIS2, Zakon o kibernetski varnosti (Kibernetsko zakrivanje mokro, Cbw), velja od 15. avgusta 2026. Nadomešča prejšnji Zakon o varnosti omrežij in informacijskih sistemov (Wet beveiliging netwerk- en informatiesystemen, Wbni) and applies to organisations designated as essential or important entities across eighteen sectors, including energy, drinking water, digital infrastructure, healthcare, transport, public administration, manufacturing, waste and postal services. It reaches more than 8,000 organisations in the Netherlands.

Opredeljujejo ga tri obveznosti. Prva je dolžnost skrbnosti ( zorgplicht ): subjekt, ki je v obsegu, mora sprejeti ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe za obvladovanje tveganj za svoje omrežje in informacijske sisteme ter za omejitev posledic incidentov. Druga je dolžnost poročanja ( meldplicht ): o pomembnem incidentu je treba obvestiti pristojno skupino za odzivanje na incidente računalniške varnosti in nadzornika sektorja v zakonsko določenih rokih, začenši z zgodnjim opozorilom v štiriindvajsetih urah, popolnejšim obvestilom v dvainsedemdesetih urah in končnim poročilom v enem mesecu. Tretja je registracija ( registratieplicht ) pri Nacionalnem centru za kibernetsko varnost (NCSC).

Kar NIS2 loči od prejšnjih predpisov o kibernetski varnosti, je kje je odgovornost. Upravni organi morajo odobriti ukrepe za obvladovanje tveganj in nadzorovati njihovo izvajanje, lahko so odgovorni za napake in morajo se udeležiti usposabljanja. Dolžnost skrbnosti se nanaša tudi na dobavno verigo, kar pomeni, da jo je treba uveljaviti s pogodbami z dobavitelji in ponudniki storitev.

Ali NIS2 velja za vašo organizacijo?

NIS2 velja, če vaša organizacija deluje v enem od osemnajstih navedenih sektorjev in dosega prag velikosti ali če spada v kategorijo, ki jo zajema ne glede na velikost. Zakon o kibernetski varnosti se uporablja od 15. avgusta 2026 in ni splošnega prehodnega obdobja: obveznosti veljajo zdaj.

The Netherlands implemented the directive later than the European deadline. Many older articles still refer to “a 2025 deadline”. That date is no longer relevant. What matters is that the Dutch rules are in force and that supervisors can enforce them.

Kateri sektorji in organizacije sodijo v področje uporabe?

Zakon zajema osemnajst sektorjev, navedenih v dveh prilogah. Prva priloga vsebuje sektorje visokega pomena, kot so energetika, promet, bančništvo, infrastruktura finančnih trgov, zdravstvo, pitna voda, odpadna voda, digitalna infrastruktura, javna uprava in vesolje. Druga priloga vsebuje druge kritične sektorje, kot so poštne in kurirske storitve, ravnanje z odpadki, kemikalije, hrana, proizvodnja, digitalni ponudniki in raziskave.

Znotraj teh sektorjev velikost določa, ali ste zajeti. Po mnenju NCSC vaša organizacija spada v področje uporabe, če izpolnjuje vsaj eno od teh meril:

• Osebjezaposluje 50 ali več ljudi (v ekvivalentu polnega delovnega časa)
• Prihodek od prodaje in bilanca stanja: zaposluje manj kot 50 ljudi, vendar tako letni promet kot bilančna vsota presegata 10 milijonov EUR
• skupina: partnerska in povezana podjetja se štejejo v te številke, zato je lahko majhna hčerinska družba velike skupine še vedno zajeta

Nekatere organizacije so zajete ne glede na njihovo velikost. Mednje spadajo ponudniki storitev DNS, ponudniki javnih elektronskih komunikacijskih omrežij ali storitev, ponudniki storitev zaupanja, registri domenskih imen najvišje ravni in vladne organizacije.

Znotraj področja uporabe zakon razlikuje med bistvenimi in pomembnimi subjekti. Praviloma so večje organizacije v sektorjih z visoko kritičnostjo bistveni subjekti; drugi so pomembni subjekti. To razlikovanje je pomembno za nadzor in za najvišjo možno globo. Nizozemski organ za digitalno infrastrukturo (RDI) ponuja orodje za samoocenjevanje (NIS2-Zelfevaluatie) na spletni strani regelhulpenvoorbedrijven.nl, ki vam pomaga pri ugotavljanju vašega stališča. Če je izid nejasen, na primer zaradi skupinske strukture ali mešanih dejavnosti, ga ocenite in zabeležite razloge.

Kaj zahteva dolžnost skrbnosti?

Dolžnost skrbnega ravnanja zahteva ustrezne in sorazmerne ukrepe za obvladovanje tveganj za vaše omrežje in informacijske sisteme. »Sorazmerni« pomeni, da morajo ukrepi ustrezati vaši velikosti, vaši izpostavljenosti tveganju in morebitnemu vplivu incidenta na družbo in gospodarstvo.

Direktiva v členu 21(2) direktive NIS2 določa minimalno izhodišče. Skratka, vaši ukrepi morajo zajemati:

• Analiza tveganja: politike o analizi tveganj in varnosti vaših informacijskih sistemov
• Obravnavanje incidentovpostopki za odkrivanje, obravnavanje in okrevanje po incidentih
• Kontinuiteta: neprekinjeno poslovanje, varnostne kopije, obnovitev in krizno upravljanje
• Oskrbovalna veriga: varnost v vaših odnosih z dobavitelji in ponudniki storitev
• Razvoj in vzdrževanje: varnost pri pridobivanju, razvoju in vzdrževanju sistemov, vključno z obravnavo ranljivosti
• Testiranje: postopki za oceno učinkovitosti vaših ukrepov
• Higiena in usposabljanje: osnovno usposabljanje za osebje o kibernetski higieni in kibernetski varnosti
• Kriptografija in dostop: uporaba šifriranja, varnost človeških virov, nadzor dostopa in upravljanje sredstev, vključno z varnim preverjanjem pristnosti

Zakon ne predpisuje enega samega standarda. Številne organizacije za strukturiranje svojih ukrepov uporabljajo obstoječi okvir informacijske varnosti. Za nadzornika je pomembno, ali lahko dokaže, da vaši ukrepi temeljijo na oceni tveganja in dejansko delujejo.

Kako delujeta dolžnost poročanja in izvrševanje?

Pomemben incident je treba prijaviti v treh fazah: zgodnje opozorilo v 24 urah, obvestilo o incidentu v 72 urah in končno poročilo v enem mesecu. Poročate pristojni skupini za odzivanje na incidente računalniške varnosti (CSIRT) in svojemu nadzorniku sektorja.

24-urno opozorilo je kratko in ni nujno, da je popolno. Predvsem signalizira, da se nekaj dogaja in ali gre morda za zlonamerni namen ali čezmejne učinke. 72-urno obvestilo poda prvo oceno resnosti in vpliva. Končno poročilo opisuje vzrok, sprejete ukrepe in morebitne čezmejne posledice.

Nadzor je razdeljen po sektorjih. Glede na vaše dejavnosti je vaš nadzornik lahko na primer Inšpektorat za človekovo okolje in promet (ILT), De Nederlandsche Bank (DNB), nizozemski organ za finančne trge (AFM), inšpektorat za zdravje in varstvo mladih (IGJ), nizozemski organ za varnost hrane in potrošniških izdelkov (NVWA) ali RDI. Nadzorniki imajo izvršilna pooblastila, ki vključujejo nalaganje upravnih glob.

NIS2 se prekriva tudi s Splošno uredbo o varstvu podatkov (GDPR). Če incident vključuje osebne podatke, bo morda potrebno ločeno obvestilo nizozemskemu organu za varstvo podatkov ( Autoriteit Persoonsgegevens ). Uskladite svoj postopek NIS2 s postopkom v primeru kršitve varnosti podatkov, da en incident ne bo povzročil dveh ločenih, neusklajenih postopkov.

Kakšne spremembe se bodo zgodile za vodstvo, zaposlene in podjetje?

Najpomembnejša sprememba je, da kibernetska varnost ni več stvar samo oddelka IT. NIS2 odgovornost prepušča vodstvu in pričakuje, da bo prispevala celotna organizacija, vključno z osebjem in dobavitelji.

Kaj NIS2 pomeni za zaposlene?

NIS2 ne ustvarja novih individualnih pravic ali obveznosti za zaposlene neposredno; obveznosti so na organizaciji. V praksi pa mora delodajalec dolžnost skrbnosti prenesti v pravila in usposabljanje za osebje.

Osnovno usposabljanje za kibernetsko higieno in kibernetsko varnost je del minimalnih ukrepov. To pomeni, da bi morali vaši zaposleni na primer:

• Awareness: udeležite se usposabljanja o lažnem predstavljanju, geslih in varnem delu
• Notranje poročanjevedeti, kako in komu poročajo o domnevnem incidentu ali ranljivosti, da lahko izpolnite 24-urni rok
• dostop: uporabljajo varno preverjanje pristnosti in imajo dostop le do sistemov, ki jih potrebujejo za svoje delo

Ta pravila zabeležite v pravilnik ali priročnik za zaposlene. Če uvedete novo spremljanje sistemov ali vedenja zaposlenih, preverite pravila o zasebnosti in, kjer je to ustrezno, vlogo sveta delavcev ( ondernemingsraad ).

Kaj mora storiti upravni organ?

Vodilni organ mora odobriti ukrepe za obvladovanje kibernetskih tveganj in nadzorovati njihovo izvajanje. Njegovi člani se morajo udeležiti usposabljanja, da imajo dovolj znanja za oceno tveganj in ukrepov. Če organizacija ne ravna v skladu s predpisi, je lahko odgovoren vodilni organ.

V praksi to pomeni, da upravni odbor ne more več preprosto delegirati kibernetske varnosti. Direktorji bi morali:

• Odločite: uradno odobriti oceno tveganja in ukrepe ter zabeležiti to odločitev
• Nadzorujte: prejemati redna poročila o stanju ukrepov in o incidentih
• Izobrazba: udeležite se usposabljanja in posodabljajte to znanje
• Dodelite: zagotoviti dovolj proračuna, ljudi in jasnih vlog

Ali je direktor lahko osebno odgovoren za škodo, je odvisno od splošnih pravil nizozemskega prava gospodarskih družb in dejstev primera. Jasno odločanje in dokumentacija pomagata pokazati, da je upravni odbor svojo vlogo jemal resno.

Kakšne so globe in druge posledice?

Nadzorniki lahko bistvenim subjektom naložijo globe v višini do 10 milijonov EUR ali 2 % svetovnega letnega prometa, pomembnim subjektom pa do 7 milijonov EUR ali 1.4 %, kar je višje. To so najvišji zneski; dejanska globa je odvisna od resnosti kršitve in okoliščin.

Globe niso edino tveganje. Nadzornik lahko uporabi tudi druge izvršilne ukrepe, da vas prisili k skladnosti. Resen incident lahko povzroči tudi zahtevke strank ali poslovnih partnerjev, pogodbene posledice z dobavitelji in škodo za ugled. Dobra priprava vas zato ščiti na več načinov.

Kako ravnate z dobavitelji in pogodbami?

Dolžnost skrbnega ravnanja se razteza na vašo dobavno verigo, zato morate upravljati tudi kibernetska tveganja svojih dobaviteljev in ponudnikov storitev. V praksi se to večinoma izvaja s pogodbami.

Točke, ki jih je treba upoštevati v pogodbah z dobavitelji, vključujejo:

• Varnostne zahteve: ukrepi, ki jih mora dobavitelj sprejeti v skladu z vašo lastno oceno tveganja
• Obvestilo o incidentu: kratek rok, v katerem vas mora dobavitelj obvestiti o incidentih, da lahko izpolnite svoje roke za poročanje
• Revizija in informacije: vaša pravica do zahteve po informacijah in preverjanja skladnosti
• Podpogodbe: pravila o uporabi podizvajalcev in prenosu obveznosti
• Odgovornost in odpovedKaj se zgodi, če dobavitelj ne izpolni obveznosti, in kako lahko prekinete odnos

Najprej preglejte obstoječe pogodbe z vašimi najpomembnejšimi ponudniki IT in storitev. Nove pogodbe lahko že od samega začetka vključujejo standardne klavzule NIS2.

Kaj morate kot organizacija preveriti v okviru obsega?

The Act has applied since 15 August 2026 without a general transition period. These checks cover the obligations a supervisor will look at first.

• Establish with the RDI self-assessment whether you are an essential or important entity, include group companies, and record the reasoning.
• Register with the NCSC and keep the registration up to date.
• Have the management body formally approve the risk assessment and the measures, and record that decision.
• Plan training for the management body and basic cyber hygiene training for staff.
• Name the person who decides whether an incident is significant and who reports within 24 hours, 72 hours and one month.
• Align the NIS2 procedure with the 72-hour data breach notification to the Dutch Data Protection Authority under the GDPR.

Kaj morate kot dobavitelj preveriti?

Customers in scope pass their duty of care on to you through contracts. Check what you are asked to sign before you agree.

• Check whether your own organisation is covered by the Act, for example as a digital or IT service provider.
• Check that the incident notification deadline you are asked to accept is achievable, given your customer’s own 24-hour deadline.
• Agree on the scope and cost of the customer’s audit and information rights.
• Check the liability and termination clauses attached to the security requirements.
• Check which obligations you must pass on to your own subcontractors.

Kaj lahko storimo za vas z NIS2 in zakonom o kibernetski varnosti?

naše odvetnik za IT team assists organisations in scope and their suppliers, from the scope assessment to supervision.

• We establish whether your organisation is an essential or important entity, including in group structures.
• We draft the board resolution, the security policies and the incident and reporting procedure.
• We draft and review NIS2 clauses in supplier and customer contracts.
• We advise directors on their responsibilities and on their liability under Dutch company law.
• We assist during an investigation by the RDI or your sector supervisor and draft the objection (bezwaar) against a fine decision.

Povzetek

• The Cybersecurity Act, the Dutch implementation of NIS2, has applied since 15 August 2026 to more than 8,000 organisations in eighteen sectors.
• Vaša organizacija je običajno krita, če ima vsaj 50 zaposlenih ali če promet in bilančna vsota presegata 10 milijonov EUR; nekateri ponudniki so kriti ne glede na velikost.
• Temeljne obveznosti so dolžnost skrbnosti, poročanje o pomembnih incidentih (24 ur, 72 ur, en mesec) in registracija pri NCSC.
• Vodstveni organ odobri in nadzoruje ukrepe, spremlja usposabljanje in je lahko odgovoren; varnost dobavne verige se v veliki meri zagotavlja prek pogodb.
• Globe lahko dosežejo 10 milijonov evrov ali 2 % svetovnega prometa za bistvene subjekte in 7 milijonov evrov ali 1.4 % za pomembne subjekte.

Pogosta vprašanja