Vaš dosje o usklađenosti
s NIS2 u 5 dana

Višefaktorska autentifikacija (MFA)

„Za koje usluge zahtijevate MFA? Elektronička pošta, VPN, RDP, administracija mreže/oblaka, povlašteni računi.”

Sigurnost elektroničke pošte

„Koje kontrole koristite protiv lažnog predstavljanja e-poštom (SPF, DKIM, DMARC)? Jeste li onemogućili naslijeđene protokole (IMAP, POP3, nezaštićeni SMTP)?”

Plan odgovora na incident

„Kakav je vaš plan odgovora na incident i u kojem biste nas roku obavijestili o kibersigurnosnom incidentu?”

Podugovaranje i lanac opskrbe

„Koristite li podizvođače četvrte razine? Hoćete li prihvatiti ugovorne klauzule kojima se nameće usklađenost s NIS2 (kontrole, obavijest o povredi, pravo revizije)?”

Sigurnosne kopije i kontinuitet

„Izrađuju li se sigurnosne kopije? Testiraju li se cjelovitost i postupci vraćanja podataka barem jednom godišnje?”

Upravljanje sigurnošću

„Temelji li se vaša politika informacijske sigurnosti na priznatom referentnom okviru (NIST, ISO 27001)?”

Tko je obuhvaćen?

Direktiva cilja „srednja” ili „velika” poduzeća (u smislu europskog prava) koja djeluju u popisu sektora koji se smatraju kritičnima: s jedne strane energetika, promet, zdravstvo, bankarstvo, voda, digitalni sektor, javna uprava; s druge strane pošta, otpad, kemija, prehrambena industrija, proizvodnja, istraživanje. Država može uključiti i manje strukture ako imaju ključnu ulogu.

Što vam NIS2 doista nalaže

Jednostavno rečeno: uvesti „razmjerne” sigurnosne mjere, znati utvrditi svoje rizike, štititi svoje podatke, otkriti napad, reagirati na njega i nakon toga ponovno pokrenuti poslovanje. K tome dolaze fizička sigurnost prostora, kontrola pristupa i ovlasti te provjera sigurnosti vaših pružatelja usluga i dobavljača.

U slučaju problema, precizni rokovi

Ako nastupi „značajan” incident, tijelo treba obavijestiti u tri koraka: rano upozorenje u roku od 24 sata, detaljnija prijava u roku od 72 sata, zatim završno izvješće u roku od mjesec dana. Obuhvaćene klijente također treba bez odgode obavijestiti o mjerama koje oni sami trebaju poduzeti.

Sankcije, bez dramatiziranja

Gornju granicu kazni određuje direktiva: do 10 mil. € ili 2 % svjetskog prometa (ovisno o tome što je veće) za „ključne” subjekte; do 7 mil. € ili 1,4 % svjetskog prometa za „važne” subjekte. To su zakonske gornje granice, a ne automatski račun, a kazna dolazi tek nakon ljestvice korektivnih mjera - pogledajte pojedinosti niže.

Datumi koje valja zapamtiti

Direktiva je na snazi od 16. siječnja 2023. Svaka država članica morala je prenijeti svoje obveze u nacionalni zakon najkasnije do 17. listopada 2024., a stvarna primjena traje od 18. listopada 2024., datuma kada je stari tekst NIS1 stavljen izvan snage.

U Francuskoj, tko vodi dosje

ANSSI je tijelo određeno za potporu usklađivanju s NIS2. Objavio je „Référentiel Cyber France” (ReCyF, dostupan od 17. ožujka 2026.) i nudi platformu „MonEspaceNIS2” te „ClubSSI” kako bi poduzećima pomogao da se snađu.

Što se već događa kod naših susjeda

U Njemačkoj tijelo BSI navodi da je zakonski rok za registraciju obuhvaćenih poduzeća već prošao: ona koja to još nisu učinila moraju to učiniti bez odgode. Konkretan znak da je europska provedba već u tijeku, daleko izvan tekstova.

Pojednostavnjenje je u razmatranju

Europska komisija predstavila je 2026. prijedlog („omnibus paket”) za ublažavanje usklađenosti s NIS2, osobito za najmanje strukture: otprilike 28 700 poduzeća bilo bi obuhvaćeno tim ublažavanjem, od čega 6 200 mikro i malih poduzeća.

Privatna klinika ili analitički laboratorij

Spada u sektor „Zdravstvo” iz Priloga I. čim je riječ o zdravstvenoj ustanovi u smislu europskog prava, ako prelazi prag srednje veličine.

Podizvođač u automobilskoj industriji ili proizvođač strojeva

Ulazi u sektor „Prerađivačka industrija” iz Priloga II. (vozila, električna oprema, strojevi, elektronika) iznad praga veličine.

Pružatelj usluga u oblaku ili tvrtka za upravljane usluge (MSP/MSSP)

Dio je „Digitalne infrastrukture” ili „Upravljanja IKT uslugama” iz Priloga I.: obuhvaćena je već od srednje veličine (važni subjekt), ključni subjekt ako je velika. Jedina iznimka u pogledu veličine: ako je ujedno kvalificirani pružatelj usluga povjerenja, registar naziva domena ili pružatelj DNS usluga.

Lokalna zajednica ili regionalna javna ustanova

Ulazi u sektor „Javna uprava” iz Priloga I. ako ga država članica odredi, osobito kada bi prekid njezinih usluga imao znatan učinak na kritične društvene ili gospodarske aktivnosti.

Prerađivač hrane ili veletrgovac

Spada pod „Proizvodnju, preradu i distribuciju hrane” iz Priloga II. čim obavlja veleprodajnu djelatnost ili industrijsku proizvodnju/ preradu.

Poduzeće „izvan 18 sektora”, ali dobavljač obuhvaćenog subjekta

Nije izravno u opsegu NIS2, ali ga ugovor može u njega gurnuti: pogledajte odjeljak „Efekt domina” ranije na ovoj stranici.

P. Što je direktiva NIS2, u jednoj rečenici?

To je europski tekst koji je od 18. listopada 2024. zamijenio stari zakon iz 2016. o kibersigurnosti: Europska komisija ga opisuje kao tekst koji „podiže zajedničku razinu ambicije EU-a u području kibersigurnosti, kroz šire područje primjene, jasnija pravila i ojačane nadzorne alate”.

P. Ja sam MSP, jesam li doista obuhvaćen pragovima veličine?

Tekst prije svega cilja „srednja” ili „velika” poduzeća u europskom smislu, precizan zakonski kriterij koji upućuje na Preporuku 2003/361/EZ (u praksi: od 50 zaposlenika ili istodobno više od 10 mil. EUR prihoda i bilance), koja djeluju u jednom od 18 navedenih sektora. Ispod toga u načelu niste izravno obuhvaćeni, osim ako vaša država uključi manje strukture koje smatra ključnima ili ako opskrbljujete subjekt koji to jest (efekt domina, pogledajte gore na ovoj stranici).

P. Mogu li kao čelnik osobno odgovarati?

Da, i to je najmanje poznata točka teksta: službeni pravni sažetak direktive pojašnjava da upravljačko tijelo mora odobriti mjere upravljanja rizicima i nadzirati njihovu provedbu te da može odgovarati u slučaju nepoštovanja. Kibersigurnost dakle nije samo informatička tema: to je pitanje upravljanja koje seže sve do čelnika.

P. Kako konkretno znati mora li se moje poduzeće registrirati?

Svaka država članica mora voditi ažuriran službeni popis ključnih i važnih subjekata, koji se preispituje svake dvije godine (prvi europski rok: 17. travnja 2025.). U Francuskoj ANSSI nudi besplatan alat za online samoprocjenu, „MonEspaceNIS2”, koji izravno odgovara na pitanje „jesam li obuhvaćen?”.

P. Kasni li Francuska? Što to danas mijenja za mene?

Da: francuski zakon o transpoziciji još nije objavljen, daleko nakon europskog roka. U srpnju 2026. Europska komisija uputila je Francusku pred Sud EU-a zbog nedostavljanja svojih mjera transpozicije (pogledajte detaljni kalendar gore). Konkretno: nikakva „francuska NIS2” sankcija još nije moguća dok uredba nije izašla, ali onog dana kada izađe, poduzeća koja su već spremna neće imati što nadoknađivati.

P. Što se doista mijenja u odnosu na stari zakon NIS1?

NIS1 (2016.) bio je ograničen na energetiku, promet, zdravstvo, financije, vodu i digitalni sektor. NIS2 snažno proširuje taj opseg: sada se dodaju javne elektroničke komunikacije, društvene mreže i digitalne platforme, gospodarenje otpadom, proizvodnja kritičnih proizvoda, poštanske usluge i javna uprava. Mnoga poduzeća koja su dotad bila izvan radara sada ulaze u područje primjene.

P. Je li predviđeno ublažavanje za male strukture?

Da, u razmatranju: Europska komisija je 2026. predstavila paket pojednostavnjenja radi smanjenja administrativnog opterećenja povezanog s NIS2, osobito za najmanje subjekte. Otprilike 28 700 poduzeća bilo bi obuhvaćeno tim ublažavanjem, od čega 6 200 mikro i malih poduzeća. Tekst još nije konačno donesen: treba ga pratiti, ali ne čekati s pripremom.

Najviša upravna novčana kazna: najmanje 10 000 000 EUR ILI najmanje 2 % ukupnog svjetskog prometa prethodne financijske godine - primjenjuje se veći od ta dva iznosa.

Najviša upravna novčana kazna: najmanje 7 000 000 EUR ILI najmanje 1,4 % ukupnog svjetskog prometa prethodne financijske godine - ista logika, uzima se veći iznos.

Tko sankcionira?

Svaka država članica određuje jedno ili više „nadležnih tijela” zaduženih za nadzor i provedbu direktive. U Francuskoj je ta uloga povjerena ANSSI-ju.

Krajnje sredstvo - samo za ključne subjekte

Ako prethodne mjere ostanu bez učinka, tijelo može od suda zatražiti privremenu obustavu certifikata ili odobrenja, pa čak i privremeno udaljavanje čelnika (glavnog direktora ili zakonskog zastupnika) s dužnosti, do uspostave usklađenosti. Ta krajnja eskalacija odnosi se SAMO na ključne subjekte, a ne na važne subjekte.

Iznos nije automatski

Zakon nalaže da se u svakom pojedinom slučaju uzme u obzir: težina i trajanje povrede, ponavljanje, prouzročena šteta, namjera ili nepažnja, mjere poduzete radi ograničavanja štete, pridržavanje kodeksa ponašanja ili certifikata, razina suradnje s tijelom. Dva poduzeća u istoj situaciji ne dobivaju automatski istu kaznu.

Čelnici, osobno odgovorni

Tekst izričito predviđa da fizičke osobe koje vode subjekt (glavni direktor, zakonski zastupnik) mogu odgovarati za nepoštovanje svojih obveza usklađivanja - kako za ključne tako i za važne subjekte.

A ako je to ujedno i curenje podataka?

Ako incident ujedno predstavlja povredu osobnih podataka, tijelo za NIS2 mora o tome bez odgode obavijestiti nadležno tijelo za GDPR (CNIL u Francuskoj). Ta se dva režima usklađuju - to nije automatsko zbrajanje sankcija, nego međusobna razmjena informacija među tijelima.

Brojčani primjeri? Još ne, iskreno

Na dan ovog praćenja nijedna javno objavljena odluka o sankciji NIS2 nije pronađena u službenom izvoru. Sustav ovisi o zakonu o transpoziciji svake države članice, koji je u završnoj fazi. Znak da je provedba započela: u Njemačkoj tijelo BSI navodi da je zakonski rok za registraciju obuhvaćenih subjekata već prošao.