ZInfV-1 skladnost: od obsega in vrzeli do dokazil ter stalnega izboljševanja.
ZInfV-1 je slovenski zakonodajni okvir za informacijsko in kibernetsko varnost. CISOaaS pomaga organizaciji preveriti obseg, pripraviti GAP analizo, urediti odgovornosti, ukrepe, dokazila in poročanje.
Prvi koraki
Najprej določimo, kaj velja za vašo organizacijo.
Obseg in zavezanci
Preverimo storitve, sektorje, vloge, kritične sisteme in povezavo z zahtevami.
GAP analiza
Ugotovimo, katere kontrole, postopki in dokazila so urejeni in kje so vrzeli.
Načrt ukrepov
Vrzeli pretvorimo v naloge, lastnike, roke, dokazila in poročanje vodstvu.
Kaj uredimo
Zahteve prevedemo v dokazljive kontrole.
Upravljanje tveganj
Metodologija, risk register, sprejem tveganj in spremljanje ukrepov.
Incidenti
Postopki, eskalacije, vloge, evidence in priprava na poročanje.
Dokumentacija
Politike, postopki, evidence, RACI in povezava z dejansko prakso.
Dobavitelji
Pregled odvisnosti, varnostne zahteve, pogodbeni vidiki in spremljanje.
Povezane strani
ZInfV-1 je del širšega programa varnosti.
NIS2
Direktiva EU, ki je podlaga za nacionalne ukrepe kibernetske odpornosti.
GAP analiza
Najhitrejši način za pregled vrzeli in prioritet.
vCISO
Stalno vodenje izvedbe, dokazil in poročanja.
Proces
Priprava na ZInfV-1 po korakih
Priprava na skladnost z ZInfV-1 poteka sistematično, ne kot en sam projekt. Spodnji koraki povzemajo tipičen potek, prilagojen dejanskemu stanju organizacije.
- Preverite, ali izpolnjujete splošno merilo velikosti (50 zaposlenih in 10 milijonov EUR prometa ali bilančne vsote) znotraj enega od zakonsko določenih sektorjev.
- Če izpolnjujete merilo, se v 30 dneh samoregistrirajte pri URSIV.
- Izvedite GAP analizo, ki pokaže razliko med trenutnim stanjem in zahtevami zakona.
- Vzpostavite oceno tveganja, varnostne ukrepe in postopek priglasitve incidentov.
- Dokumentirajte politike, postopke in dokazila, ki jih je mogoče predložiti ob nadzoru.
- Vključite vodstvo v redno poročanje o stanju in preostalih tveganjih.
- Redno preverjajte in posodabljajte ukrepe glede na spremembe v organizaciji, dobaviteljih ali grožnjah.
Za organizacije, ki so zavezanke šele od nedavno, velja rok za popolno skladnost do 19. decembra 2026 — dovolj časa za sistematičen pristop, a premalo za odlašanje.
FAQ
Pogosta vprašanja o ZInfV-1
Kako začnemo pripravo na ZInfV-1?
Najprej preverimo obseg, vloge, ključne storitve, obstoječe kontrole in dokazila. Nato pripravimo GAP analizo in prioritetni načrt ukrepov.
Ali je dovolj, da imamo varnostne politike?
Ne. Politike morajo biti povezane z odgovornostmi, kontrolami, evidencami, dokazili in rednim spremljanjem izvedbe.
Kaj je vloga vCISO pri ZInfV-1?
vCISO vodi program skladnosti, usklajuje IT in vodstvo, spremlja ukrepe, pripravlja poročila in skrbi, da dokazila ostanejo ažurna.
Preverjeno z viri
ZInfV-1 priprava brez ugibanja in brez izmišljenih obljub.
ZInfV-1 je bil objavljen v Uradnem listu RS št. 40/25. Uradni list navaja, da zakon ureja področje informacijske in kibernetske varnosti ter določa nacionalni sistem informacijske varnosti v Republiki Sloveniji. GOV.SI ob objavi zakona izpostavlja, da ZInfV-1 prenaša Direktivo (EU) 2022/2555, znano kot NIS 2, v slovenski pravni red in prinaša razširitev kroga zavezancev, samoregistracijo, dodatne ukrepe za obvladovanje tveganj, oceno oziroma samooceno skladnosti ter redno usposabljanje odgovornih oseb.
Na tej strani zato ne obljubljamo univerzalne skladnosti. Pravilna pot je najprej ugotoviti, ali in v kakšnem obsegu je organizacija zavezanec, nato pa preveriti obstoječe ukrepe, odgovornosti, incidente, dobavitelje, dokumentacijo in dokazila. Šele po tem je mogoče pripraviti realen načrt ukrepov, ki ga razumejo IT, vodstvo, skladnost in lastniki poslovnih procesov.
CISOaaS pri ZInfV-1 pomaga predvsem tam, kjer organizacija potrebuje prevod zakonskih zahtev v izvedbo: register tveganj, evidence odločitev, incidentne postopke, dobaviteljske zahteve, dokazila o usposabljanju, poročanje vodstvu in redno preverjanje napredka. Pri pravnih vprašanjih ali formalni razlagi zakona priporočamo preverjanje z uradnimi viri in po potrebi s pravnim svetovalcem.
Uradni viri: Uradni list RS – ZInfV-1, GOV.SI objava o ZInfV-1, URSIV na GOV.SI.
Kaj mora biti dokazljivo urejeno?
Odgovornosti in vodenje
Kdo je lastnik tveganj, kdo odloča o prioritetah, kdo spremlja ukrepe in kako se poroča vodstvu.
Evidence in dokazila
Politike, postopki, ocene tveganj, incidentne evidence, usposabljanja, dobaviteljski pregledi in status ukrepov.
Stalno izboljševanje
ZInfV-1 priprava ni enkratni dokument. Potrebni so spremljanje, ponovni pregledi, vaje in popravki po spremembah ali incidentih.
Praktična izvedba
Kako se ZInfV-1 priprava prenese v vsakdanje delo?
Najbolj uporabna priprava na ZInfV-1 ni samo pravna razlaga, ampak operativni sistem dela. Organizacija potrebuje pregled storitev in sistemov, jasne odgovornosti, register tveganj, incidentne poti, dobaviteljske zahteve, evidence usposabljanj, status ukrepov in poročanje vodstvu. Vsak od teh elementov mora imeti lastnika in dokazilo, sicer je skladnost težko preverljiva.
Pri izvedbi zato uporabljamo sledljivo strukturo: zahteva, kontrola, lastnik, dokazilo, status in naslednji ukrep. To pomaga tudi takrat, ko se spremeni sistem, dobavitelj, poslovna storitev ali odgovorna oseba. Namesto enkratnega projekta nastane ponovljiv proces, ki ga je mogoče posodabljati in dokazovati.
Prvi merljiv rezultat ZInfV-1 priprave je jasna evidenca obsega, odprtih tveganj, manjkajočih dokazil in odločitev vodstva. To organizaciji omogoča, da napredek spremlja po statusu ukrepov, ne po občutku.
Sorodne vsebine: ZInfV-1 zavezanci, ZInfV-1 samoocena skladnosti, ZInfV-1 dokumentacija, ZInfV-1 varnostni ukrepi, GAP analiza ZInfV-1 in 90-dnevni načrt za pripravo na ZInfV-1. Za praktičen pregled priprave glejte tudi ZInfV-1 skladnost za zavezance in nov zakon o kibernetski varnosti.
Naslednji korak
Preverite, kaj je treba urediti najprej.
Na uvodnem posvetu razjasnimo obseg, prioritete in najhitrejso pot do dokazljivega napredka.
Želite skladnost, ki jo lahko tudi dokažete?
Pomagamo urediti zahteve, politike, odgovornosti, dokazila in poročanje, da skladnost ne ostane samo seznam dokumentov.
Obrazec odpre kontaktno stran in izbere pravo temo povpraševanja.