Vaša dokumentacija za skladnost
z NIS2 v 5 dneh

Večfaktorsko preverjanje pristnosti (MFA)

„Za katere storitve zahtevate MFA? Elektronska pošta, VPN, RDP, skrbništvo omrežja/oblaka, računi s povišanimi pravicami.“

Varnost elektronske pošte

„Katere kontrole uporabljate proti ponarejanju e-poštnih naslovov (SPF, DKIM, DMARC)? Ali ste onemogočili podedovane protokole (IMAP, POP3, nezavarovani SMTP)?“

Načrt odzivanja na incidente

„Kakšen je vaš načrt odzivanja na incidente in v kolikšnem roku bi nas obvestili o kibernetskovarnostnem incidentu?“

Podizvajanje in dobavna veriga

„Ali uporabljate podizvajalce četrte ravni? Ali boste sprejeli pogodbene klavzule, ki zahtevajo skladnost z NIS2 (kontrole, uradno obveščanje o kršitvi, pravica do revizije)?“

Varnostne kopije in neprekinjeno poslovanje

„Ali se izdelujejo varnostne kopije? Ali se celovitost in postopki obnovitve preizkušajo vsaj enkrat letno?“

Upravljanje varnosti

„Ali se vaša politika varnosti informacij opira na priznan referenčni okvir (NIST, ISO 27001)?“

Koga zadeva?

Direktiva cilja na „srednja“ ali „velika“ podjetja (v smislu evropskega prava), dejavna v seznamu sektorjev, ki veljajo za kritične: na eni strani energija, promet, zdravje, bančništvo, voda, digitalno področje, javna uprava; na drugi pošta, odpadki, kemikalije, agroživilstvo, proizvodnja, raziskave. Država lahko vanjo vključi tudi manjše strukture, če imajo ključno vlogo.

Kaj vam NIS2 resnično nalaga

Povedano jasno: uvesti „sorazmerne“ varnostne ukrepe, znati prepoznati svoja tveganja, zaščititi svoje podatke, zaznati napad, se nanj odzvati in po njem znova zagnati poslovanje. K temu se dodajajo fizična varnost prostorov, nadzor dostopov in pooblastil ter preverjanje varnosti svojih izvajalcev in dobaviteljev.

Če pride do težav, natančen časovni okvir

Če pride do „pomembnega“ incidenta, je treba organ obvestiti v treh korakih: zgodnje opozorilo v 24 urah, podrobnejše uradno obvestilo v 72 urah, nato končno poročilo v enem mesecu. Prizadete stranke je treba prav tako brez odlašanja obvestiti o ukrepih, ki jih morajo sprejeti same.

Sankcije, brez dramatiziranja

Zgornjo mejo glob določa direktiva: do 10 M€ ali 2 % svetovnega prometa (višji znesek) za „ključne“ subjekte; do 7 M€ ali 1,4 % svetovnega prometa za „pomembne“ subjekte. To so zakonske zgornje meje, ne samodejen račun, globa pa pride šele po lestvici popravljalnih ukrepov - glejte podrobnosti nižje.

Datumi, ki si jih velja zapomniti

Direktiva velja od 16. januarja 2023. Vsaka država članica je morala svoje obveznosti prenesti v nacionalno zakonodajo najpozneje do 17. oktobra 2024, za dejansko uporabo od 18. oktobra 2024, ko je bilo nekdanje besedilo NIS1 razveljavljeno.

Kdo v Franciji vodi zadevo

ANSSI je organ, določen za podporo pri usklajevanju z NIS2. Objavila je „Référentiel Cyber France“ (ReCyF, na voljo od 17. marca 2026) in ponuja platformo „MonEspaceNIS2“ ter „ClubSSI“, ki podjetjem pomagata, da se znajdejo.

Kaj se že dogaja pri sosedih

V Nemčiji organ BSI navaja, da je zakonski rok za registracijo zadevnih podjetij že potekel: tista, ki tega še niso storila, morajo to storiti brez odlašanja. Konkreten znak, da je evropsko gibanje že v teku, daleč onkraj besedil.

Poenostavitev je v preučevanju

Evropska komisija je leta 2026 predstavila predlog („omnibus paket“) za lajšanje skladnosti z NIS2, zlasti za najmanjše strukture: približno 28 700 podjetij bi bilo zajetih v to lajšanje, od tega 6 200 mikro in malih podjetij.

Zasebna klinika ali analitski laboratorij

Spada v sektor „Zdravje“ iz Priloge I, če gre za zdravstveno ustanovo v smislu evropskega prava in presega prag srednje velikosti.

Avtomobilski podizvajalec ali proizvajalec strojev

Spada v sektor „Proizvodnja“ iz Priloge II (vozila, električna oprema, stroji, elektronika) nad pragom velikosti.

Ponudnik oblaka ali podjetje za upravljane storitve (MSP/MSSP)

Je del sektorja „Digitalna infrastruktura“ ali „Upravljanje storitev IKT“ iz Priloge I: zadeto že od srednje velikosti (pomemben subjekt), ključni subjekt, če je veliko. Edina izjema glede velikosti: če je hkrati kvalificirani ponudnik storitev zaupanja, register domenskih imen ali ponudnik storitev DNS.

Lokalna skupnost ali regionalni javni zavod

Spada v sektor „Javna uprava“ iz Priloge I, če ga država članica določi, zlasti kadar bi izpad njegovih storitev pomembno vplival na ključne družbene ali gospodarske dejavnosti.

Živilski predelovalec ali veletrgovec

Spada pod „Proizvodnja, predelava in distribucija hrane“ iz Priloge II, če opravlja veleprodajno dejavnost ali industrijsko proizvodnjo/ predelavo.

Podjetje „zunaj 18 sektorjev“, a dobavitelj zadetega subjekta

Ni neposredno v obsegu NIS2, a ga lahko vanj potisne pogodba: glejte razdelek „Posredni učinek“ zgoraj na tej strani.

V. Kaj je direktiva NIS2, v enem stavku?

To je evropsko besedilo, ki je od 18. oktobra 2024 nadomestilo nekdanji zakon iz leta 2016 o kibernetski varnosti: Evropska komisija ga opisuje kot besedilo, ki „dviguje skupno raven ambicij EU na področju kibernetske varnosti z večjim področjem uporabe, jasnejšimi pravili in okrepljenimi nadzornimi orodji“.

V. Sem MSP, ali me pragovi velikosti res zadevajo?

Besedilo cilja predvsem na „srednja“ ali „velika“ podjetja v evropskem smislu, natančno pravno merilo, ki se sklicuje na Priporočilo 2003/361/ES (v praksi: od 50 zaposlenih ali več kot 10 M EUR prometa in bilančne vsote hkrati), dejavna v enem od 18 navedenih sektorjev. Pod tem praviloma niste neposredno zavezani, razen če vaša država vključi manjše strukture, ki jih šteje za ključne, ali če dobavljate subjektu, ki to je (posredni učinek, glejte zgoraj na tej strani).

V. Ali sem kot direktor lahko osebno odgovoren?

Da, in to je najmanj znana točka besedila: uradni pravni povzetek direktive navaja, da mora vodstveni organ odobriti ukrepe za obvladovanje tveganj in nadzirati njihovo izvajanje ter da je lahko odgovoren v primeru neizpolnjevanja. Kibernetska varnost torej ni zgolj informacijska tema: je vprašanje upravljanja, ki sega do direktorja.

V. Kako konkretno vem, ali se mora moje podjetje registrirati?

Vsaka država članica mora voditi uradni seznam ključnih in pomembnih subjektov, ki se pregleduje vsaki dve leti (prvi evropski rok: 17. april 2025). V Franciji ANSSI daje na voljo brezplačno spletno orodje za samooceno, „MonEspaceNIS2“, ki neposredno odgovarja na vprašanje „ali me to zadeva?“.

V. Ali Francija zamuja? Kaj to spremeni zame danes?

Da: francoski prenosni zakon še vedno ni objavljen, daleč čez evropski rok. Julija 2026 je Evropska komisija zoper Francijo celo vložila tožbo pri Sodišču EU, ker ni priglasila svojih prenosnih ukrepov (glejte podroben koledar zgoraj). Konkretno: nobena „francoska sankcija NIS2“ še ni mogoča, dokler uredba ne izide, vendar podjetjem, ki bodo ta dan že pripravljena, ne bo treba ničesar nadoknaditi.

V. Kaj se resnično spremeni v primerjavi z nekdanjo direktivo NIS1?

NIS1 (2016) se je omejevala na energijo, promet, zdravje, finance, vodo in digitalno področje. NIS2 ta obseg močno razširja: dodane so zdaj javne elektronske komunikacije, družbena omrežja in digitalne platforme, ravnanje z odpadki, proizvodnja kritičnih izdelkov, poštne storitve in javna uprava. Veliko podjetij, ki so bila doslej zunaj radarja, zdaj spada v področje uporabe.

V. Ali je predvideno lajšanje za majhne strukture?

Da, v preučevanju: Evropska komisija je leta 2026 predstavila poenostavitveni paket za zmanjšanje upravnega bremena, povezanega z NIS2, zlasti za najmanjše subjekte. To lajšanje bi zajelo približno 28 700 podjetij, od tega 6 200 mikro in malih podjetij. Besedilo še ni dokončno sprejeto: treba ga je spremljati, vendar brez čakanja s pripravami.

Najvišja upravna globa: najmanj 10 000 000 EUR ALI najmanj 2 % skupnega svetovnega letnega prometa v preteklem poslovnem letu - velja višji od obeh zneskov.

Najvišja upravna globa: najmanj 7 000 000 EUR ALI najmanj 1,4 % skupnega svetovnega letnega prometa v preteklem poslovnem letu - ista logika, upošteva se višji znesek.

Kdo sankcionira?

Vsaka država članica določi enega ali več „pristojnih organov“, odgovornih za nadzor in izvrševanje direktive. V Franciji je ta vloga zaupana ANSSI.

Skrajno sredstvo - samo za ključne subjekte

Če prejšnji ukrepi ostanejo brez učinka, lahko organ od sodišča zahteva začasno suspenzijo certifikata ali dovoljenja, ali celo začasno odstranitev direktorja (generalnega direktorja ali zakonitega zastopnika) z njegove funkcije, do vzpostavitve skladnosti. Ta skrajna stopnja stopnjevanja zadeva SAMO ključne subjekte, ne pomembnih subjektov.

Znesek ni samodejen

Zakon zahteva upoštevanje, za vsak primer posebej: teža in trajanje kršitve, ponovitev, povzročena škoda, naklep ali malomarnost, ukrepi za omejitev škode, pristop k kodeksom ravnanja ali certifikatom, raven sodelovanja z organom. Dve podjetji v enakem položaju ne prejmeta samodejno enake globe.

Vodstvo, osebno odgovorno

Besedilo izrecno predvideva, da so fizične osebe, ki vodijo subjekt (generalni direktor, zakoniti zastopnik), lahko odgovorne za neizpolnjevanje obveznosti glede skladnosti - tako za ključne subjekte kot za pomembne subjekte.

In če gre tudi za uhajanje podatkov?

Če incident hkrati pomeni kršitev varstva osebnih podatkov, mora organ NIS2 o tem brez odlašanja obvestiti pristojni organ po GDPR (CNIL v Franciji). Ureditvi se usklajujeta - to ni samodejna kumulacija sankcij, temveč medsebojno obveščanje med organi.

Številčni primeri? Še ne, iskreno

Na dan tega spremljanja pri uradnem viru ni bila najdena nobena javno objavljena odločba o sankciji po NIS2. Sistem je odvisen od prenosnega zakona vsake države članice, ki je v zaključevanju. Znak, da je gibanje v teku: v Nemčiji organ BSI navaja, da je zakonski rok za registracijo zadevnih subjektov že potekel.