Direktiva NIS2 je prinesla veliko spremembo v evropski pokrajini kibernetske varnosti. Za slovenske organizacije to pomeni eno pomembno dejstvo: obstoječi zavezanci bi morali skladnost doseči že do 19. junija 2026, novi zavezanci pa imajo rok do 19. decembra 2026.
Za nove zavezance ostaja le še nekaj mesecev do roka. Mnoga podjetja so že začela ali pa vsaj načrtujejo začetek, vendar še niso na poti do skladnosti. Namen tega članka je podati vam podroben časovni okvir in konkreten načrt, kaj morate storiti in kdaj.
Kako direktiva NIS2 varuje vašo organizacijo
NIS2 ni le predpis — je sistemska zahteva, da mora biti vaša organizacija sposobna prepoznati, preprečevati in se odzvati na kibernetske napade. Direktiva pokriva vse sektorje kritične infrastrukture in pomembne digitalne storitve.
Direktiva postavlja šest ključnih področij:
- Upravljanje tveganj — Sistematična ocena in zmanjševanje kibernetskih tveganj
- Tehnični ukrepi — Šifriranje, večfaktorska avtentikacija, SIEM in druga varnostna tehnologija
- Odzivanje na incidente — Načrt za odziv na kibernetske napade
- Neprekinjeno poslovanje — Sposobnost nadaljevati poslovanje po incidentu
- Upravljanje tretjih strank — Zagotavljanje, da so partnerji in dobavitelji varni
- Nadzor in poročanje — Reden nadzor in poročanje nacionalnemu registru
Slovenski zakon o informacijski varnosti (ZInfV-1) je slovenska različica NIS2, kar pomeni, da veljajo enaka pravila, le prilagojena lokalnim razmeram.
Katere organizacije spadajo pod NIS2?
NIS2 pokriva:
- Vse kritične subjekte — banke, energetska podjetja, zdravstvene ustanove, telekomunikacijska podjetja, prevozna podjetja itd.
- Pomembne subjekte — vse več srednjih in malih podjetij (mikro in mala podjetja z več kot 50 zaposlenimi so zdaj vključena)
- Kritično infrastrukturo — promet, vodo, energijo, zdravstvo
Če delujete v katerem koli od teh sektorjev, verjetno spadate pod NIS2. Če niste prepričani, preverite pri lokalnih regulatornih organih ali nas kontaktirajte za oceno.
Časovni načrt NIS2: podrobne faze
Faza 1: ocena stanja (meseca 1-2)
Kaj morate storiti:
- Ugotoviti, ali spadate pod NIS2 (zelo verjetno, če ste v kritični infrastrukturi ali gre za večje podjetje)
- Izvesti analizo vrzeli — kje ste zdaj glede na zahteve NIS2 (71-točkovni kontrolni seznam)
- Sestaviti ekipo — koga morate vključiti v proces (IT, vodstvo, skladnost)
- Pripraviti dokumentacijo — seznam tega, kar morate dokumentirati (politike, postopki, dokazila)
Konkretne aktivnosti:
- ☐ Preberite smernice NIS2 na uradnih virih za slovenske posebnosti
- ☐ Sestavite CISO ali varnostno ekipo (najmanj: IT vodja, odgovorna oseba za skladnost, vodja sektorja)
- ☐ Pripravite podroben seznam vseh IT sredstev (računalniki, strežniki, baze podatkov, storitve v oblaku)
- ☐ Pripravite seznam vseh podatkov (kje so shranjeni? kdo ima dostop?)
- ☐ Ocenite trenutne varnostne ukrepe (kaj že imate? Ali imate MFA? SIEM?)
- ☐ Prepoznajte 5 največjih tveganj za vašo organizacijo
Rok: Zaključite v 1-2 mesecih od zdaj
Faza 2: strateško načrtovanje (meseca 3-4)
Kaj morate storiti:
- Varnostna strategija — podroben načrt za doseganje skladnosti z NIS2 s časovnico
- Upravljanje tveganj — prepoznavanje in ocena ključnih tveganj (več kot 50?)
- Politike — določite varnostno politiko svoje organizacije (15-20 dokumentov)
- Proračun in viri — koliko bo stala transformacija in katero ekipo potrebujete?
Konkretne aktivnosti:
- ☐ Pripravite osnovno varnostno politiko (odobreno s strani vodstva)
- ☐ Pripravite podpolitike za: dostop, šifriranje, odzivanje na incidente, varnostno kopiranje, tretje strani
- ☐ Izvedite podrobno oceno tveganj (za vseh 71 kontrol NIS2)
- ☐ Pripravite načrt odzivanja na incidente s postopki za vsako vrsto incidenta
- ☐ Ocenite infrastrukturo, potrebno za NIS2 (koliko stane SIEM? koliko MFA?)
- ☐ Izračunajte proračun — notranja ocena in zunanje ponudbe dobaviteljev
- ☐ Pridobite odobritev upravnega odbora (podpora vodstva je ključna!)
Rok: Zaključite v 3-4 mesecih od zdaj
Faza 3: tehnična izvedba (meseci 5-14)
To je “trdo delo” — faza, v kateri se porabi največ časa, proračuna in virov. Potrebujete usklajen pristop med IT oddelkom, varnostno ekipo in poslovnim vodstvom.
Kaj morate storiti:
- Večfaktorska avtentikacija — uvedba na vse ključne sisteme, e-pošto, VPN, baze podatkov
- SIEM (sistem za upravljanje varnostnih informacij in dogodkov) — centraliziran sistem za varnostni nadzor
- Šifriranje — zaščita občutljivih podatkov med prenosom in na disku
- Odzivanje na incidente — vzpostavitev ekip in postopkov za odziv na napade
- Segmentacija omrežja — ločevanje kritičnih sistemov od preostalega omrežja
- Nameščanje popravkov — redne varnostne posodobitve (najmanj mesečno)
- Varnostno kopiranje — samodejni sistemi za obnovitev podatkov s testiranjem
- EDR/MDR — nadzor končnih točk za zaznavanje napadov
- Upravljanje identitet in dostopa — nadzor nad tem, kdo ima dostop do česa
Priporočena časovna dinamika (po mesecih):
- Meseci 5-7 (Q3 2025): Temelji
- ☐ Uvedba MFA (začnite z administratorji, nato razširite)
- ☐ Postavitev SIEM sistema (Splunk, ELK, Graylog ali podoben)
- ☐ Šifriranje prenosnih računalnikov in mobilnih naprav (BitLocker, FileVault)
- ☐ Načrtovanje segmentacije omrežja (kje bodo kritični sistemi?)
- ☐ Nabava infrastrukture za varnostno kopiranje (če je še nimate)
- Meseci 8-10 (Q4 2025): Razširitev
- ☐ Šifriranje baz podatkov in skladišč (če še ni izvedeno)
- ☐ Vzpostavitev samodejnega varnostnega kopiranja z oddaljenimi kopijami (za primer katastrofe)
- ☐ Uvedba sistema za upravljanje identitet in dostopa
- ☐ Nabava in postavitev EDR/MDR za nadzor končnih točk
- ☐ Notranje izobraževanje: kako naj zaposleni uporabljajo nove sisteme
- Meseci 11-14 (Q1 2026): Testiranje in preverjanje
- ☐ Testiranje načrta odzivanja na incidente (vaje za mizo in simulacije)
- ☐ Penetracijski testi — zunanji varnostni testi za preverjanje, ali je vse res varno
- ☐ Dokumentiranje vsega, kar je bilo uvedeno (ključno za revizijo!)
- ☐ Usposabljanje vseh zaposlenih o varnosti (najmanj 2-3 ure)
- ☐ Priprava kontaktov: koga poklicati, če se kaj zgodi? — postopki, kontakti, eskalacija
Opomba: Rok 10 mesecev (5-14) predvideva vzporedno izvedbo. Če ste manjši, je lahko hitreje. Če ste veliki ali imate kompleksno infrastrukturo, je lahko dražje.
Faza 4: dokumentacija in preverjanje (meseci 15-17)
Kaj morate storiti:
- Zbiranje dokazil — dokazila, da ste skladni z zahtevami NIS2
- Notranja revizija — preverjanje, ali je vse tako, kot mora biti
- Priprava na zunanjo revizijo — organizacija vseh dokazov v pregleden format
- Končni popravki — odprava vsega, kar je bilo spregledano
Konkretne aktivnosti:
- ☐ Pripravite evidenco vseh uvedenih ukrepov (kaj je nameščeno, kdaj, kdo je to izvedel?)
- ☐ Dokumentirajte vsa usposabljanja (seznam zaposlenih, datumi)
- ☐ Preverite vse politike — ali so veljavne? Ali so se jih vsi držali?
- ☐ Izvedite notranjo revizijo — preverite skladnost z vseh 71 zahtevami NIS2
- ☐ Izvedite zunanjo revizijo — najemite zunanjega revizorja za preverjanje dokumentacije
- ☐ Odpravite morebitne ugotovljene težave pred končnim rokom
Rok: Če spadate med nove zavezance, zaključite pred 19. decembrom 2026; če ste obstoječi zavezanec, je rok že potekel in je uskladitev nujna čim prej.
Faza 5: neprekinjen nadzor (mesec 18 in naprej)
Pomembno: NIS2 ni enkraten projekt — je neprekinjen proces, ki se nikoli ne konča. Varnost je kot čiščenje — nikoli ni dokončano, le nadaljuje se.
Kaj morate stalno početi:
- Mesečni pregledi varnostnega stanja — preverjanje, ali je vse še vedno aktivno
- Letne posodobitve varnostnih politik — prilagajanje novim grožnjam
- Redni penetracijski testi — najmanj enkrat letno (priporočeno dvakrat letno)
- Nadzor nad incidenti — hiter odziv na nove grožnje
- Usposabljanje zaposlenih — neprekinjeno izobraževanje (najmanj 1-2 krat letno)
- Posodabljanje IT infrastrukture — upravljanje popravkov, varnostne posodobitve
Cene in proračun — kaj morate vedeti
Cena transformacije za NIS2 je odvisna od velikosti organizacije:
- Majhna podjetja (50 zaposlenih): 30.000 – 50.000 EUR (večinoma svetovanje in manjša infrastruktura)
- Srednja podjetja (200 zaposlenih): 100.000 – 300.000 EUR (svetovanje, infrastruktura, usposabljanje)
- Velika podjetja (1000+ zaposlenih): 500.000+ EUR (kompleksna infrastruktura, večnivojske organizacije)
To vključuje:
- Svetovanje (ocena, načrtovanje) — 20.000-100.000 EUR
- Infrastruktura (SIEM, MFA, EDR itd.) — 50.000-400.000 EUR
- Usposabljanje zaposlenih — 10.000-50.000 EUR
- Revizija in certifikacija — 15.000-50.000 EUR
Nasvet: Začnite z oceno stanja in analizo vrzeli — pogosto stane manj, kot mislite, in vam bo pomagala določiti prioritete, kje začeti.
Kaj se zgodi, če niste skladni do roka?
NIS2 določa resne kazni za neskladnost:
- Za bistvene subjekte: kazni do 10 milijonov EUR ali 2 % letnega prometa, kar je višje
- Za pomembne subjekte: kazni do 7 milijonov EUR ali 1,4 % letnega prometa, kar je višje
- Poleg denarnih kazni je predvidena tudi osebna odgovornost vodstva
Poleg tega obstajajo tudi drugi riziki, ne le kazni:
- Možnost prepovedi poslovanja (če gre za kritično strojno infrastrukturo)
- Odgovornost direktorjev in vodstva — možnost osebnih kazni za odgovorne osebe
- Javna sramota — objava kršitev in regulatornega nadzora na spletu
- Izguba zaupanja strank — če ste javno označeni kot nevarni
Nasvet — začnite zdaj
Če transformacije za NIS2 še niste začeli, je čas, da naredite prvi korak: analizo vrzeli.
Analiza vrzeli vam bo pokazala, kje ste, kaj morate storiti, koliko časa potrebujete in kaj je prednostno. Običajno traja 4-6 tednov in stane 5.000-15.000 EUR — kar je malo, če upoštevate tveganja neskladnosti, ki lahko presežejo 1.000.000 EUR.
Potrebujete pomoč? Naša CISO ekipa je vodilni partner za transformacijo NIS2 v Sloveniji. Vašo organizacijo popeljemo skozi vse faze — od analize vrzeli do končne revizije. Rezervirajte brezplačno posvetovanje in začnimo s prvim korakom še danes.