Ali sem zavezanec za kibernetsko varnost? Vodnik za slovenske organizacije

Uvod: kdo je zavezanec za kibernetsko varnost

Slovenska zakonodaja o kibernetski varnosti postavlja jasne obveznosti za določene organizacije, vendar mnoga podjetja še vedno ne vedo, ali spadajo med zavezance. Napačna ocena lahko privede do hudih posledic ali nepotrebnih stroškov. Ta vodnik vam pomaga določiti status vaše organizacije in razumeti praktične korake za skladnost.

Ključne točke:

• Status zavezanca ne temelji samo na velikosti podjetja, temveč tudi na vrsti dejavnosti
• Organizacije morajo upoštevati tri glavne kategorije: bistvene subjekte, ponudnike digitalnih storitev in javni sektor
• Pragovi se razlikujejo po sektorjih in vključujejo kvantitativne ter kakovostne kriterije
• Vodstvo nosi neposredno odgovornost za implementacijo ukrepov kibernetske varnosti
• Ključni roki za prilagoditev so bili 19. junij 2026 za stare zavezance (rok je potekel) in so 19. december 2026 za nove

Kazalo vsebine:

• Kriteriji za določitev statusa zavezanca
• Pravni okvir in zakonske podlage
• Odgovornost vodstva in upravljanja
• Praktični postopki in implementacija
• Pogoste napake in zmotna razumevanja
• Zaključek in naslednji koraki

Ta vodnik je namenjen vodstvenim delavcem, IT odgovornim osebam in pravnim svetovalcem v slovenskih organizacijah. Posebej koristen je za podjetja, ki delujejo v kritičnih sektorjih ali zagotavljajo digitalne storitve. Po branju boste razumeli katere organizacije spadajo med zavezance za kibernetsko varnost, ključne kriterije za določitev statusa zavezanca, praktične korake za preverjanje statusa vaše organizacije ter časovnice in roke za prilagoditev zahtevam.

Glavni kontekst: zakaj je določitev statusa zavezanca kritična

Slovenija je z Zakonom o kibernetski varnosti (ZInfV-1) prenesla evropsko direktivo NIS2 v nacionalno zakonodajo. To pomeni strožji nadzor in jasno definirane kazni za organizacije, ki ne izpolnjujejo obveznosti. Rok za samoprijavo obstoječih zavezancev je bil 19. decembra 2025, naslednji ključni mejnik, 19. junij 2026 za prilagoditev starih zavezancev, pa je prav tako že mimo.

Večina organizacij se sooča z nejasnostjo glede svojega statusa. Tipična situacija je srednje podjetje, ki upravlja IT infrastrukturo za več strank iz kritičnih sektorjev. Vodstvo se sprašuje, ali njihova vloga avtomatično pomeni status zavezanca ali gre le za običajno poslovno razmerje. Podobno velja za javne ustanove, ki uporabljajo digitalne storitve, vendar niso prepričane o svojih obveznostih.

Problem se dodatno zaplete pri podjetjih, ki delujejo v več sektorjih hkrati. Uradni viri sicer določajo jasne kriterije, vendar njihova praktična uporaba zahteva natančno analizo poslovanja organizacije. V praksi se organizacije pogosto znajdejo v mejnih primerih, kjer ni jasno, ali presegajo pragove za status zavezanca.

Organizacije morajo najprej razumeti razliko med bistvenimi in pomembnimi subjekti ter kako se ta razlika odraža v praktičnih obveznostih. Bistveni subjekti imajo strožje zahteve glede poročanja in nadzora, medtem ko pomembni subjekti sledijo nekoliko blažjim pravilom. Kriterije velikosti in obsega poslovanja je treba oceniti v kontekstu celotne organizacijske strukture, vključno s povezanimi družbami.

Sektorska opredelitev glavne dejavnosti lahko predstavlja izziv za organizacije z diverzificiranim poslovanjem. Zakonodaja zahteva identifikacijo primarne dejavnosti, ki določa sektorsko uvrstitev in s tem povezane obveznosti. Vloga pri zagotavljanju kritičnih storitev se ocenjuje na podlagi vpliva morebitne prekinitve na družbo in gospodarstvo.

Napačna ocena statusa lahko privede do nepotrebnih stroškov ali pa do hudih posledic zaradi neupoštevanja zakonskih zahtev. Organizacije, ki se napačno opredelijo kot nezavezane, tvegajo visoke globe in pravne posledice. Po drugi strani organizacije, ki nepotrebno implementirajo zahtevne varnostne ukrepe, nosijo nepotrebne stroške in administrativno breme.

Kriteriji za določitev statusa zavezanca

Določitev statusa zavezanca temelji na treh glavnih kategorijah, ki jih opredeljuje ZInfV-1. Vsaka kategorija ima specifične pragove in merila, ki organizaciji pomagajo ugotoviti, ali spada pod zakonske obveznosti. Razumevanje teh kategorij je ključno za pravilno samoevalvacijo in pripravo na morebitne obveznosti.

Upravljavci bistvenih storitev

Upravljavci bistvenih storitev so organizacije, ki zagotavljajo kritično infrastrukturo v ključnih sektorjih. Zakon opredeljuje osem glavnih sektorjev: energetika, promet, bančništvo, finančno tržne infrastrukture, zdravstvo, oskrba s pitno vodo, digitalna infrastruktura in vesoljski sektor. Vsak sektor ima specifične kriterije, ki upoštevajo posebnosti dejavnosti in vpliv na družbo.

Osnovno merilo velikosti po 6. členu ZInfV-1 je enotno za vse sektorje: zavezanec je organizacija, ki ima vsaj 50 zaposlenih in hkrati letni promet ali bilančno vsoto vsaj 10 milijonov EUR, pod pogojem, da deluje v enem od zakonsko določenih sektorjev. V energetiki to vključuje proizvajalce, operaterje prenosnih in distribucijskih sistemov ter druge udeležence na trgu, ki izpolnjujejo to merilo velikosti. Transportni sektor vključuje upravljavce letališč, pristanišč in železniške operaterje, ki prav tako izpolnjujejo merilo velikosti in imajo vlogo pri zagotavljanju prometnih storitev.

V bančništvu so zavezanke banke, hranilnice in operaterji plačilnih sistemov, ki izpolnjujejo splošno merilo velikosti. Zdravstvene ustanove postanejo zavezanke, če izpolnjujejo merilo velikosti in zagotavljajo storitve zdravstvenega varstva, kar lahko vključuje tudi specialistične storitve na nacionalni ravni. Oskrba s pitno vodo vključuje upravljavce vodooskrbnih sistemov, ki izpolnjujejo enako merilo velikosti.

V praksi organizacija postane zavezanka avtomatično, če izpolnjuje kvantitativne pragove. Dodatno pristojni organi ocenjujejo tudi kakovostne dejavnike, kot je vpliv morebitne prekinitve storitve na družbo ali gospodarstvo. Ta ocena upošteva geografsko razporeditev storitev, alternativne možnosti in čas, potreben za obnovitev delovanja.

Ponudniki digitalnih storitev

Ponudniki digitalnih storitev predstavljajo hitro rastočo kategorijo zavezancev, ki vključuje spletne trgovine, platforme računalništva v oblaku, iskalnike in družbena omrežja. Digitalizacija poslovanja je povečala število organizacij, ki spadajo v to kategorijo, zato je pomembno razumeti specifične kriterije in pragove.

Ključni kriterij ostaja isto splošno merilo velikosti (vsaj 50 zaposlenih in letni promet ali bilančna vsota vsaj 10 milijonov EUR), uporabljeno za organizacije, ki delujejo kot ponudniki digitalnih storitev. Pri spletnih trgovinah in platformah v oblaku se poleg merila velikosti upošteva tudi dejanski obseg storitev, ki jih ponudnik zagotavlja slovenskim strankam.

Družbena omrežja, iskalniki in SaaS platforme se presojajo po enakem splošnem merilu velikosti (vsaj 50 zaposlenih in ustrezen promet ali bilančna vsota), dodatno pa se upošteva dejanski obseg in pomen storitve za uporabnike v Sloveniji. Ker gre za razmeroma novo, digitalno kategorijo zavezancev, je pri presoji smiselno upoštevati tudi to, koliko je storitev dejansko vpeta v poslovanje slovenskih uporabnikov, ne le formalno število registracij.

Mnoge organizacije se v tej kategoriji soočajo z nejasnostmi pri presoji, ali dejansko izpolnjujejo pogoje za zavezanost. To še posebej velja za organizacije, ki so blizu meje glede zaposlenih ali prometa, ali katerih storitev je le del širše dejavnosti podjetja. V takih mejnih primerih je priporočljivo natančno preveriti dejansko stanje, namesto da se zavezanost predpostavi ali izključi kar na podlagi vtisa o velikosti podjetja. Posebej zahtevno je vrednotenje B2B storitev, kjer je ena pogodba lahko sklenjena z veliko organizacijo, ki šteje več sto zaposlenih na strani naročnika.

Javni sektor in državne institucije

Javni sektor ima največji krog zavezancev in vključuje različne ravni javne uprave ter javne zavode. Vključuje ministrstva, vladne službe, lokalne skupnosti in javne zavode, ki zagotavljajo storitve širšemu krogu uporabnikov, pod pogojem, da izpolnjujejo zakonsko določena merila. Ta kategorija ima posebne značilnosti, ki se razlikujejo od zasebnega sektorja.

Posebnost javnega sektorja je, da se zavezanost pogosto presoja tudi glede na vlogo in obseg storitev, ne le glede na formalno velikost organizacije. Občine so lahko zavezanke, če upravljajo kritično komunalno infrastrukturo, kot so vodovodni sistemi, čistilne naprave ali energetska infrastruktura, oziroma če izpolnjujejo splošno merilo velikosti. Javni zavodi so zavezanci, če zagotavljajo storitve, ki so po naravi in obsegu primerljive z bistvenimi ali pomembnimi storitvami iz drugih sektorjev.

Izobraževalne ustanove se presojajo glede na vrsto izobraževanja in obseg delovanja. Univerze in večje visokošolske ustanove so pogosteje zavezanke kot manjše šole, dokončna presoja pa je odvisna od izpolnjevanja splošnega merila velikosti in narave izvajanih programov. Zdravstvene ustanove v javnem sektorju sledijo podobnim kriterijem kot zasebne, vendar z dodatnimi obveznostmi glede sodelovanja z nacionalnimi organi.

Javne organizacije imajo dodatne obveznosti glede poročanja in morajo vzpostaviti tesnejše sodelovanje z nacionalnimi organi za kibernetsko varnost. To vključuje redne varnostne preglede, izmenjavo informacij o grožnjah in koordinacijo odzivov na incidente. Javni sektor mora tudi zagotoviti transparentnost svojih varnostnih ukrepov, kolikor to ne ogroža varnosti.

Pravni okvir in zakonske podlage

Slovenski pravni okvir kibernetske varnosti temelji na ZInfV-1, ki implementira evropsko direktivo NIS2. Zakon določa jasne obveznosti in sankcije za zavezance ter vzpostavlja nadzorni okvir z jasno opredeljenimi pristojnostmi in postopki. Razumevanje pravnega okvira je ključno za pravilno implementacijo zahtev in izogibanje pravnim tveganjem.

Zakon o informacijski varnosti (ZInfV-1)

ZInfV-1 opredeljuje glavne obveznosti zavezancev, ki vključujejo vzpostavitev ustreznih tehničnih in organizacijskih ukrepov, redno ocenjevanje tveganj ter takojšnje poročanje o varnostnih incidentih. Tehnični ukrepi obsegajo zaščito omrežij, sistemov in podatkov, medtem ko organizacijski ukrepi vključujejo politike, postopke in usposabljanje zaposlenih.

Zakon določa, da morajo zavezanci podati zgodnje opozorilo o resnih incidentih SI-CERT v 24 urah od odkritja, podrobnejša prijava pa sledi najkasneje v 72 urah. Resni incidenti so tisti, ki pomembno vplivajo na kontinuiteto storitev, povzročijo materialno škodo ali ogrozijo varnost ljudi. Poročanje mora vsebovati opis incidenta, oceno vpliva, sprejete ukrepe in načrt za preprečevanje podobnih dogodkov.

Kazni so občutne: do 10 milijonov EUR oziroma 2 % letnega prometa za bistvene subjekte, do 7 milijonov EUR oziroma 1,4 % letnega prometa za pomembne subjekte, odvisno od kršitve in kategorije organizacije. Najhujše sankcije se izrekajo za neporočanje resnih incidentov ali zavajanje pristojnih organov. Odgovorne osebe se lahko kaznujejo z osebnimi globami in začasno prepovedjo opravljanja funkcij.

Zakon daje URSIV obsežna pooblastila za nadzor in lahko zahteva dostop do sistemov, dokumentacije ter izvedbo varnostnih pregledov. V skrajnih primerih lahko odredi začasno prekinitev storitev, če ugotovi neposredno grožnjo za varnost. Organizacije morajo omogočiti dostop do svojih prostorov in sistemov ter zagotoviti sodelovanje svojih zaposlenih.

Uredbe in podzakonski akti

Podzakonski akti in navodila URSIV podrobneje opredeljujejo tehnične standarde in postopke, ki jih zavezanci lahko uporabijo pri implementaciji ukrepov. V praksi se organizacije pogosto naslanjajo na uveljavljene okvire, kot je ISO 27001, ki pokriva podobna področja upravljanja tveganj in varnostnih kontrol, čeprav zakon ne predpisuje enega samega obveznega standarda. Navodila določajo tudi pričakovanja glede varnostnih politik in postopkov odzivanja na incidente.

Tehnični standardi vključujejo zahteve za šifriranje podatkov, upravljanje dostopov, varnostno kopiranje in obnovitev sistemov. Organizacijski standardi pokrivajo upravljanje tveganj, kontinuiteto poslovanja, usposabljanje zaposlenih in upravljanje dobaviteljev. Uredba določa tudi minimalne zahteve za dokumentacijo in evidence, ki jih morajo zavezanci vzdrževati.

Časovnica implementacije je razdeljena v tri faze z jasno opredeljenimi roki. Rok za samoprijavo obstoječih zavezancev je bil 19. december 2025. Stari zavezanci so se morali novim zahtevam prilagoditi do 19. junija 2026 (rok je potekel), novi zavezanci pa imajo čas do 19. decembra 2026. Vmesni roki vključujejo predložitev načrtov implementacije in poročil o napredku.

Postopek prijavljanja poteka preko spletnega portala URSIV, kjer organizacije predložijo podatke o svojih storitvah, sistemih in odgovornih osebah. Podroben vodnik za prijavo pomaga pri pravilnem izpolnjevanju obrazcev in pripravi zahtevane dokumentacije. Portal omogoča tudi spremljanje statusa prijave in komunikacijo s pristojnimi organi.

Odgovornost vodstva in upravljanja

Vodstvo zavezanih organizacij nosi neposredno odgovornost za kibernetsko varnost in ne more delegirati te odgovornosti izključno na tehnične službe. ZInfV-1 določa, da mora uprava formalno sprejeti politike varnosti in zagotoviti ustrezna sredstva za implementacijo. Ta pristop odraža spoznanje, da je kibernetska varnost strateška zadeva, ki zahteva vodstveno podporo in angažiranost.

Vloga uprave in vodstva

Direktorji in člani uprave so osebno odgovorni za sprejem letnega načrta kibernetske varnosti in odobritev proračuna za implementacijo potrebnih ukrepov. Morajo zagotoviti, da ima organizacija imenovanega odgovornega za kibernetsko varnost z ustreznimi pooblastili in viri. Ta oseba mora imeti neposreden dostop do vodstva in možnost eskalacije kritičnih varnostnih vprašanj.

V praksi to pomeni, da se vodstvo ne more sklicevati na nepoznavanje tehničnih podrobnosti kot izgovor za neizpolnjevanje obveznosti. Zakon zahteva, da uprava prejema redna poročila o stanju varnosti in se odzove na priporočila strokovnih služb. Vodstvo mora tudi zagotoviti, da so varnostni ukrepi integrirani v vse poslovne procese in odločitve.

Pravne posledice vključujejo osebne globe za odgovorne osebe in potencialno civilno odgovornost za škodo, ki nastane zaradi neustreznega upravljanja kibernetskih tveganj. Še posebej pomembno je dokumentiranje odločitev vodstva glede varnostnih investicij in ukrepov. SI-CERT pri nadzoru preverja, ali ima organizacija dokazila o obravnavi varnostnih vprašanj na ravni uprave in ali so bila sprejeta ustrezna sredstva.

Vodstvo mora tudi zagotoviti kulturo varnosti v organizaciji, kar vključuje redno komunikacijo o pomenu kibernetske varnosti, priznavanje dobrih praks in sankcioniranje kršitev varnostnih politik. Ta kulturni vidik je pogosto zanemarjen, vendar je ključen za uspešno implementacijo varnostnih ukrepov.

Organizacijske strukture

Vsaka zavezana organizacija mora imenovati odgovorno osebo za kibernetsko varnost (CISO) z ustrezno strokovno izobrazbo in izkušnjami. Ta oseba mora imeti neposreden dostop do vodstva in pooblastila za sprejem nujnih varnostnih ukrepov. CISO je odgovoren za razvoj varnostnih politik, koordinacijo implementacije ukrepov in komunikacijo z zunanjimi partnerji.

Manjše organizacije lahko funkcijo CISO zaupajo zunanjemu strokovnjaku ali specializirani družbi, vendar mora biti zagotovljena stalna dosegljivost in poznavanje specifik organizacije. Zunanja CISO storitev mora vključevati redne obiske, dostop do sistemov in dokumentacije ter možnost takojšnjega odziva ob incidentih.

Večje organizacije morajo vzpostaviti varnostni tim z jasno opredeljenimi vlogami za obvladovanje incidentov, ocenjevanje tveganj in komunikacijo z zunanjimi partnerji. Tim mora vključevati predstavnike različnih oddelkov, kar zagotavlja celostni pristop k varnosti. Struktura tima mora omogočati hitro odločanje in implementacijo ukrepov ob kriznih situacijah.

Izobraževanje zaposlenih je obvezno in mora vključevati redno usposabljanje o prepoznavanju groženj ter postopke odzivanja na incidente. Program usposabljanja mora biti prilagojen različnim vlogam v organizaciji in mora vključevati praktične vaje ter simulacije incidentov. Uradni viri zagotavljajo smernice za pripravo izobraževalnih programov in ocenjevanje njihove učinkovitosti.

Praktični postopki in implementacija

Samoevalvacija statusa zavezanca zahteva sistematičen pristop k pregledu celotnega poslovnega modela in organizacijske strukture. Organizacije morajo najprej analizirati svoje ključne storitve in določiti, ali spadajo med bistvene subjekte kritične infrastrukture. Ta proces običajno traja 2-3 tedne za srednjo organizacijo in zahteva sodelovanje različnih oddelkov.

V praksi se podjetja najpogosteje zataknejo pri določitvi, ali dejansko izpolnjujejo merilo velikosti, in pri pravilnem štetju zaposlenih ali izračunu prometa na ravni celotne organizacije. Telekomunikacijski operater mora natančno oceniti število zaposlenih in letni promet na ravni celotne pravne osebe, ne le posamezne poslovne enote. Finančna institucija mora podobno ovrednotiti svoj celoten obseg poslovanja in določiti, kateri deli spadajo pod regulacijo.

Še posebej zahtevno je vrednotenje digitalnih storitev, kjer je treba upoštevati mesečne aktivne uporabnike in geografsko razporeditev. Organizacije morajo vzpostaviti sisteme za spremljanje uporabniške aktivnosti in redno preverjanje skladnosti s pragovi. To vključuje implementacijo analitičnih orodij in vzpostavitev procesov za redno poročanje o ključnih metrikah.

Praktični koraki za samoevalvacijo vključujejo analizo ključnih poslovnih procesov in storitev, pregled tehnične infrastrukture in sistemov, izračun uporabnikov ali obsega storitev ter dokumentiranje ugotovitev za morebitni pregled pristojnih organov. Organizacije morajo pripraviti tudi načrt za spremljanje sprememb, ki bi lahko vplivale na status zavezanca.

Registracija pri URSIV poteka preko spletnega portala in zahteva priložitev osnovnih podatkov o organizaciji, vključno z opisom storitev, tehnično infrastrukturo in kontaktnimi podatki. Rok za prilagoditev starih zavezancev, 19. junij 2026, je že potekel, medtem ko imajo novi zavezanci čas do 19. decembra 2026. Spremembe statusa zavezanca je treba prijaviti v 30 dneh od nastanka sprememb.

Registracija in prijavljanje

Postopek registracije vključuje predložitev obsežne dokumentacije, ki mora vsebovati organizacijske podatke, opis ključnih storitev in kontaktne informacije odgovorne osebe za kibernetsko varnost. Dokumentacija mora vsebovati tudi oceno tveganja, načrt kontinuitete poslovanja in pregled trenutnih varnostnih ukrepov.

Mnoge organizacije podcenjujejo čas, potreben za pripravo dokumentacije in zbiranje vseh zahtevanih podatkov. Povprečno podjetje potrebuje 4-6 tednov za pripravo popolne prijave, še posebej če gre za prvo registracijo. Priprava na skladnost z ZInfV-1 zahteva koordinacijo med različnimi oddelki in lahko vključuje tudi najemanje zunanjih svetovalcev.

Portal URSIV omogoča postopno predložitev dokumentacije in spremljanje statusa prijave. Organizacije lahko prejemajo povratne informacije o pomanjkljivostih in imajo možnost dopolnitve dokumentacije. Pomembno je, da organizacije vzdrževajo ažurne podatke in redno posodabljajo informacije o spremembah v poslovanju ali infrastrukturi.

Pogoste napake in zmotna razumevanja

Najpogostejša zmota pri določanju statusa zavezanca je prepričanje, da velikost podjetja avtomatično določa obveznosti. V resnici lahko majhna energetska družba s 15 zaposlenimi postane zavezanec, če upravlja kritično infrastrukturo, medtem ko veliko IT podjetje s 500 zaposlenimi morda sploh ni zavezano, če ne izpolnjuje specifičnih kriterijev za digitalne storitve.

Drugi razširjen mit je, da IT podjetja avtomatično spadajo med zavezance za kibernetsko varnost. Dejansko mora IT podjetje zagotavljati digitalne storitve z določenim obsegom uporabnikov ali prihodkov, da postane zavezanec. Razvoj programske opreme na naročilo ali IT podpora sama po sebi ne pomeni statusa zavezanca, razen če storitve dosegajo zakonsko določene pragove.

Outsourcing storitev ne odpravi odgovornosti matične organizacije, kar je tretja pogosta napaka. Banka ostaja zavezanec tudi, če prenese IT storitve na zunanjega ponudnika. Pogodba z zunanjim izvajalcem mora jasno določiti odgovornosti za kibernetsko varnost in poročanje o incidentih. Organizacije morajo vzpostaviti nadzor nad zunanjimi ponudniki in zagotoviti skladnost z varnostnimi zahtevami.

Spregledane obveznosti

Organizacije pogosto spregledajo obveznost rednega poročanja o varnostnih incidentih, kar predstavlja eno najresnejših kršitev zakonodaje. Vsak incident, ki vpliva na kontinuiteto storitev ali ogroža varnost podatkov, mora biti sporočen SI-CERT z zgodnjim opozorilom v 24 urah, podrobna prijava pa sledi v 72 urah. To velja tudi za manjše motnje, ki jih organizacije običajno obravnavajo interno, če imajo potencial za širši vpliv.

Upravljanje dobaviteljev predstavlja dodatno področje, kjer se pojavljajo napake in kjer organizacije podcenjujejo svoje obveznosti. Zavezanci morajo vzpostaviti postopke za preverjanje varnostnih ukrepov pri ključnih dobaviteljih in jih redno pregledovati. To vključuje ocenjevanje varnostnih politik dobaviteljev, preverjanje implementacije ukrepov in spremljanje incidentov v dobavni verigi.

Zanemarjanje te obveznosti lahko privede do resnih varnostnih vrzeli v celotni verigi oskrbe in povzroči odgovornost za škodo, ki nastane zaradi pomanjkljivosti pri dobaviteljih. Organizacije morajo vzpostaviti jasne pogodbe z dobavitelji, ki določajo varnostne zahteve in omogočajo nadzor skladnosti.

Dokumentacijske obveznosti so pogosto podcenjene, vendar predstavljajo pomemben del skladnosti z zakonodajo. Organizacije morajo vzdrževati evidence o vseh varnostnih ukrepih, incidentih, usposabljanjih in pregledih. Ta dokumentacija mora biti dostopna pristojnim organom in redno posodabljana.

Zaključek in naslednji koraki

Določitev statusa zavezanca za kibernetsko varnost ni enostavna naloga in zahteva temeljito analizo poslovnega modela, tehnične infrastrukture in vloge organizacije v širšem gospodarskem sistemu. Ključni kriteriji vključujejo velikost organizacije, sektor delovanja in vlogo v kritični infrastrukturi, vendar se ti kriteriji pogosto prepletajo in zahtevajo strokovno presojo.

Organizacije morajo upoštevati tri glavne kategorije zavezancev: upravljavce ključne infrastrukture, ponudnike digitalnih storitev in javne subjekte. Vsaka kategorija ima specifične pragove in obveznosti, ki se bodo v prihodnjih mesecih še zaostrali z implementacijo novih tehničnih standardov in strožjim nadzorom.

Pravni okvir jasno določa odgovornosti vodstva in zahteva aktivno vlogo uprave pri zagotavljanju kibernetske varnosti. Organizacije ne smejo podcenjevati kompleksnosti implementacije in morajo pravočasno začeti s pripravo na izpolnjevanje obveznosti.

Naslednji koraki:

• Izvedite temeljito analizo svojega poslovnega modela in določite, ali izpolnjujete kriterije za status zavezanca
• Pripravite dokumentacijo o trenutnih varnostnih ukrepih in identificirajte vrzeli glede na zakonske zahteve
• Vzpostavite organizacijske strukture za upravljanje kibernetske varnosti in imenujte odgovorno osebo

Če niste prepričani o svojem statusu ali potrebujete pomoč pri implementaciji zahtev, se obrnite na strokovnjake za kibernetsko varnost ali pravne svetovalce s specializacijo na tem področju.

Sorodne vsebine: za podrobnejšo presojo po posamezni regulativi glejte Koga zadeva NIS2, NIS2 zavezanci – samoocena po korakih, Koga zadeva ZInfV-1 in ZInfV-1 zavezanci.