Direktiva NIS2 je v zadnjih letih močno spremenila evropski pristop h kibernetski varnosti. V Sloveniji se njene zahteve izvajajo predvsem prek Zakona o informacijski varnosti (ZInfV-1), ki je začel veljati 19. junija 2025. Novi zakon je nadomestil prejšnjo ureditev in občutno razširil krog organizacij, ki morajo sistematično obvladovati tveganja informacijske in kibernetske varnosti.
Za podjetja to pomeni, da informacijska varnost ni več samo vprašanje protivirusnega programa, požarnega zidu ali varnostnega kopiranja. ZInfV-1 zahteva celovit pristop, ki vključuje tehnične, organizacijske in operativne ukrepe, odgovornost vodstva, obvladovanje tveganj, varnost dobavne verige, načrtovanje neprekinjenega poslovanja ter ustrezno odzivanje na incidente.
Kaj je NIS2?
NIS2 oziroma Direktiva (EU) 2022/2555 je evropska direktiva, katere cilj je doseči višjo in bolj enotno raven kibernetske varnosti v državah Evropske unije.
Nasledila je prvo direktivo NIS, ki je veljala za precej ožji krog organizacij in predvsem za izvajalce bistvenih storitev ter nekatere ponudnike digitalnih storitev.
NIS2 je pristop razširil. Večji poudarek daje:
- upravljanju kibernetskih tveganj,
- odgovornosti vodstva organizacije,
- varnosti dobavne verige,
- upravljanju ranljivosti,
- varnostnim kopijam in neprekinjenemu poslovanju,
- večfaktorski avtentikaciji, kjer je primerna,
- odzivanju na incidente,
- hitremu poročanju o pomembnih incidentih,
- usposabljanju zaposlenih in odgovornih oseb ter
- preverjanju učinkovitosti uvedenih varnostnih ukrepov.
Kaj je ZInfV-1?
ZInfV-1 je novi slovenski Zakon o informacijski varnosti. Z njim je bila direktiva NIS2 prenesena v slovenski pravni red.
Zakon ne ureja samo varnostnih ukrepov podjetij, temveč celotni nacionalni sistem informacijske in kibernetske varnosti. Med drugim določa pristojnosti državnih organov, skupin CSIRT, sistem odzivanja na incidente, obveznosti zavezancev, nadzor in druga področja kibernetske varnosti.
Za podjetje je najpomembnejše vprašanje:
Ali smo zavezanec po ZInfV-1 in katere obveznosti moramo zaradi tega izpolniti?
Kaj se je zgodilo s prejšnjo ureditvijo oziroma »NIS1«?
NIS2 je na evropski ravni nadomestila prvotno direktivo NIS. V Sloveniji je bila dosedanja ureditev informacijske varnosti nadgrajena z novim Zakonom o informacijski varnosti – ZInfV-1.
To pomeni, da podjetje danes svojih obveznosti ne preverja več po stari ureditvi, temveč mora preveriti svojo situacijo glede na trenutno veljavni ZInfV-1.
Največja praktična razlika je predvsem v tem, da je novi sistem širši. Zajema več sektorjev in več vrst organizacij, zahteva bolj sistematično upravljanje tveganj ter bistveno bolj jasno določa odgovornost organizacije in njenega vodstva.
Ali NIS2 oziroma ZInfV-1 velja za vsako podjetje?
Ne. ZInfV-1 ne velja avtomatično za vsa podjetja v Sloveniji.
Podjetje mora najprej ugotoviti, ali izvaja dejavnost oziroma storitev, ki je zajeta v sektorjih in vrstah subjektov iz prilog zakona. Nato mora praviloma preveriti še svojo velikost.
Pri običajnem merilu mora subjekt praviloma hkrati:
- izvajati dejavnost oziroma storitev, ki je zajeta v Prilogi 1 ali Prilogi 2 ZInfV-1,
- imeti najmanj 50 zaposlenih in
- imeti najmanj 10 milijonov EUR letnega prometa ali najmanj 10 milijonov EUR letne bilančne vsote.
Kateri sektorji so lahko vključeni?
ZInfV-1 zajema širok nabor dejavnosti. Med področji, ki jih zakon obravnava, so na primer:
- energetika,
- promet,
- bančništvo in infrastruktura finančnega trga,
- zdravstvo,
- pitna in odpadna voda,
- digitalna infrastruktura,
- upravljanje storitev IKT,
- javna uprava,
- vesolje,
- poštne in kurirske storitve,
- ravnanje z odpadki,
- proizvodnja in distribucija nekaterih kemikalij,
- proizvodnja, predelava in distribucija živil,
- nekatere vrste proizvodnje,
- digitalni ponudniki in
- raziskovalne organizacije.
Samo registrirana dejavnost podjetja še ni vedno dovolj za dokončno presojo. Pomembno je tudi, katere storitve podjetje dejansko izvaja.
Bistveni in pomembni subjekti
ZInfV-1 zavezance razvršča predvsem med bistvene in pomembne subjekte.
Razvrstitev je pomembna predvsem zaradi načina nadzora in nekaterih drugih zakonskih določb. Ne pomeni pa, da je za pomembne subjekte kibernetska varnost zgolj priporočilo. Obe skupini morata izvajati zakonsko zahtevane ukrepe za obvladovanje tveganj in izpolnjevati svoje obveznosti.
Samoregistracija zavezancev
Ena pomembnejših sprememb novega sistema je samoregistracija.
Organizacija mora sama ugotoviti, ali izpolnjuje pogoje za zavezanca. Če jih izpolnjuje, mora pristojnemu organu sporočiti zahtevane podatke.
Med podatki, ki se lahko zahtevajo ob registraciji, so zlasti:
- osnovni podatki o organizaciji,
- sektor in podsektor,
- podatki o velikosti organizacije,
- kontaktna oseba za informacijsko varnost in njen namestnik,
- podatki o javnih IP-naslovih,
- domenska imena, ki jih organizacija uporablja pri poslovanju,
- številke avtonomnih sistemov, kadar jih ima, ter
- podatki o državah članicah EU, v katerih opravlja storitve, zajete z zakonom.
Odgovornost vodstva ni več samo naloga informatika
Ena ključnih sprememb pristopa NIS2 je poudarek na odgovornosti vodstva.
Kibernetska varnost tako ni več nekaj, kar bi vodstvo podjetja lahko v celoti preneslo na »računalničarja«, zunanjega IT-izvajalca ali ponudnika oblaka.
Vodstvo mora razumeti glavna kibernetska tveganja organizacije ter zagotoviti, da so vzpostavljeni ustrezni ukrepi, odgovornosti, postopki in sredstva.
V praksi to pomeni, da mora biti jasno:
- kdo je odgovoren za informacijsko varnost,
- kdo sprejema odločitve ob incidentu,
- kdo ima skrbniške pravice,
- kdo skrbi za varnostne kopije,
- kdo nadzoruje zunanje izvajalce,
- kako se spremljajo varnostna tveganja in
- kako organizacija preverja učinkovitost svojih ukrepov.
1. Popis informacijskih sredstev
Organizacija težko varuje nekaj, za kar sploh ne ve, da obstaja.
Zato je eden temeljnih korakov vzpostavitev ažurnega popisa informacijskih sredstev.
Popis lahko vključuje:
- strežnike,
- delovne postaje,
- prenosnike,
- mobilne naprave,
- usmerjevalnike,
- stikala,
- dostopne točke Wi-Fi,
- NAS sisteme,
- virtualne strežnike,
- oblačne storitve,
- poslovne aplikacije,
- domene,
- certifikate,
- uporabniške in skrbniške račune ter
- druge naprave in storitve, pomembne za poslovanje.
2. Upravljanje tveganj
ZInfV-1 temelji na pristopu obvladovanja tveganj.
Organizacija mora ugotoviti, kaj bi se lahko zgodilo, kako verjeten je posamezen dogodek in kakšne posledice bi imel za poslovanje.
Primeri tveganj so:
- izsiljevalski virus,
- kraja uporabniškega računa,
- izpad strežnika,
- izpad internetne povezave,
- okvara podatkovnega diska,
- požar ali poplava,
- nepooblaščen oddaljeni dostop,
- napad prek ranljive naprave,
- zloraba skrbniškega računa ter
- kompromitiran zunanji dobavitelj.
3. Segmentacija omrežja
V dobro zasnovanem poslovnem omrežju vse naprave praviloma niso v istem omrežnem segmentu.
Smiselno je ločiti na primer:
- poslovne računalnike,
- strežnike,
- videonadzor,
- IoT naprave,
- gostujoče naprave,
- upravljavsko omrežje ter
- druge kritične sisteme.
Tehnično se to pogosto izvede z uporabo VLAN-ov in pravil požarnega zidu.
Če pride do kompromitacije ene naprave, segmentacija lahko močno omeji možnost napadalca, da se neovirano premika po celotnem omrežju. Več o načrtovanju VLAN-ov, požarnih zidov, VPN-dostopa in varnih poslovnih omrežij lahko preberete na strani Omrežja in omrežne rešitve.
4. Upravljanje uporabniških in skrbniških računov
Vsak uporabnik naj uporablja svoj račun. Skupni računi tipa »office«, »admin« ali »prodaja«, ki jih uporablja več oseb, močno zmanjšujejo sledljivost.
Skrbniško geslo (administratorsko) naj se ne uporablja za vsakodnevno delo.
Smiselno je ločiti:
- običajni uporabniški račun in
- skrbniški račun za administrativna opravila.
Ko zaposleni zapusti organizacijo, je treba njegove dostope pravočasno ukiniti.
5. Večfaktorska avtentikacija – MFA
Samo geslo pogosto ni več zadostna zaščita.
Večfaktorska avtentikacija je posebej pomembna za:
- e-pošto,
- Microsoft 365 ali Google Workspace,
- VPN,
- oddaljeni dostop,
- skrbniške račune,
- oblačne storitve ter
- kritične poslovne aplikacije.
Tudi če napadalec pridobi geslo, mu dodatni faktor lahko prepreči prijavo.
6. Posodobitve in upravljanje ranljivosti
Operacijski sistemi, aplikacije, požarni zidovi, usmerjevalniki, NAS naprave, kamere in druga omrežna oprema morajo biti ustrezno posodobljeni.
Organizacija mora imeti določen postopek za:
- spremljanje novih ranljivosti,
- ocenjevanje njihovega tveganja,
- nameščanje varnostnih popravkov ter
- preverjanje naprav, ki jih proizvajalec ne podpira več.
Stara naprava, ki še vedno »normalno dela«, ni nujno tudi varna naprava.
7. Varnostne kopije in obnova podatkov
Varnostna kopija je uporabna šele takrat, ko je iz nje mogoče podatke dejansko obnoviti.
Dobro zasnovan sistem varnostnih kopij naj vključuje:
- več kopij podatkov,
- ločeno lokacijo ali sistem,
- zaščito pred spreminjanjem ali brisanjem kopij,
- nadzor uspešnosti izvajanja varnostnih kopij ter
- redno testiranje obnove.
Pravilo 3-2-1 ostaja uporabno izhodišče: tri kopije podatkov, na dveh različnih vrstah medijev, pri čemer je ena kopija fizično ali logično ločena od primarnega okolja. Več o strežnikih, NAS sistemih, varnostnih kopijah in zaščiti poslovnih podatkov najdete na strani IT infrastruktura.
8. Neprekinjeno poslovanje in obnova po nesreči
Organizacija se mora vprašati:
Kako bomo poslovali, če jutri odpove naš glavni strežnik?
In še pomembneje:
Koliko časa potrebujemo, da poslovanje ponovno vzpostavimo?
Načrt neprekinjenega poslovanja mora upoštevati vsaj kritične sisteme, odgovorne osebe, rezervne postopke, obnovo podatkov in komunikacijo ob incidentu.
9. Varnost dobavne verige
Organizacija je lahko dobro zaščitena, napadalec pa vanjo vseeno vstopi prek zunanjega izvajalca.
Zato ZInfV-1 daje pomemben poudarek tudi varnosti dobavne verige.
Pri IT-dobaviteljih je smiselno preveriti:
- do katerih sistemov imajo dostop,
- ali uporabljajo individualne račune,
- ali uporabljajo MFA,
- ali je oddaljeni dostop ustrezno zaščiten,
- kako obravnavajo varnostne incidente,
- kdo so njihovi podizvajalci ter
- kako se dostop ukine po prenehanju sodelovanja.
10. Beleženje dogodkov in spremljanje sistemov
Pri varnostnem incidentu je pogosto treba ugotoviti:
- kdo se je prijavil,
- od kod se je prijavil,
- kaj se je spremenilo,
- kdaj se je dogodek zgodil ter
- katere naprave so bile prizadete.
Brez ustreznih dnevniških zapisov je to bistveno težje.
Pomembni sistemi naj zato beležijo varnostno relevantne dogodke, zapisi pa naj bodo ustrezno zaščiteni in hranjeni glede na potrebe organizacije.
11. Zaščita e-pošte
E-pošta ostaja eden najpogostejših načinov začetka kibernetskega napada.
Pomembni ukrepi vključujejo:
- MFA,
- zaščito pred phishingom,
- SPF, DKIM in DMARC,
- filtriranje nevarnih priponk,
- usposabljanje zaposlenih ter
- postopek za prijavo sumljivih sporočil.
12. Kibernetska higiena in usposabljanje zaposlenih
Tehnologija sama po sebi ne more preprečiti vseh incidentov.
Zaposleni morajo poznati osnovna pravila varnega dela in vedeti, kako ukrepati ob sumljivem dogodku.
Usposabljanje naj zajema vsaj:
- phishing,
- varna gesla,
- MFA,
- ravnanje s podatki,
- uporabo USB-medijev,
- oddaljeno delo,
- socialni inženiring ter
- prijavo varnostnega incidenta.
Kaj storiti ob kibernetskem incidentu?
ZInfV-1 določa obveznosti poročanja o pomembnih incidentih.
Za zavezance je pomembno predvsem, da imajo že pred incidentom izdelan postopek, saj med samim napadom ni pravi čas za ugotavljanje, kdo mora koga obvestiti.
Pri pomembnem incidentu veljajo ključni časovni koraki:
| Rok | Kaj je treba narediti |
|---|---|
| 24 ur | Zgodnje sporočilo pristojni skupini CSIRT z začetno oceno incidenta in podatkom o morebitnem čezmejnem vplivu. |
| 72 ur | Priglasitev incidenta z oceno njegove resnosti in vpliva ter razpoložljivimi kazalniki ogroženosti. |
| Med incidentom | Na zahtevo pristojne skupine CSIRT se lahko zahteva vmesno poročilo. |
| Če incident po enem mesecu še traja | Predloži se poročilo o napredku. |
| Po zaključku | Predloži se končno poročilo z opisom incidenta, njegovih posledic in sprejetih ukrepov. |
Za večino zavezancev je pristojna skupina SI-CERT, medtem ko za določene subjekte javne uprave velja pristojnost SIGOV-CERT.
Kaj naj podjetje naredi najprej?
Če podjetje še nima vzpostavljenega sistematičnega upravljanja informacijske varnosti, je smiselno začeti po naslednjem vrstnem redu:
- Preverite, ali ste zavezanec po ZInfV-1.
- Določite odgovorno osebo za informacijsko varnost.
- Izdelajte popis sistemov, naprav, storitev in uporabnikov.
- Izvedite osnovno analizo tveganj.
- Preverite varnost omrežja in segmentacijo.
- Uvedite MFA na kritičnih sistemih.
- Preverite skrbniške račune in oddaljene dostope.
- Preglejte sistem posodobitev.
- Preverite varnostne kopije in izvedite test obnove.
- Preglejte zunanje IT-dobavitelje in njihove dostope.
- Pripravite postopek odzivanja na incident.
- Usposobite zaposlene.
- Vzpostavite redno preverjanje učinkovitosti varnostnih ukrepov.
Kako je lahko videti tehnično urejeno poslovno omrežje?
Zakonska skladnost se ne doseže z nakupom ene naprave ali enega varnostnega izdelka. Dobra tehnična osnova pa bistveno zmanjša tveganje.
Primer dobro zasnovanega okolja lahko vključuje:
- centralno upravljan požarni zid,
- VLAN segmentacijo,
- ločeno gostujoče omrežje Wi-Fi,
- ločeno omrežje za videonadzor in IoT naprave,
- omejene komunikacije med segmenti,
- VPN z MFA za oddaljeni dostop,
- ločene skrbniške uporabniške račune,
- centralizirane varnostne kopije,
- ločeno oziroma nespremenljivo varnostno kopijo,
- nadzor delovanja ključnih naprav,
- beleženje pomembnih dogodkov in
- dokumentirano konfiguracijo okolja.
Pri organizacijah, ki uporabljajo virtualne strežnike, je treba ustrezno zaščititi tudi hipervizor, skrbniške dostope, omrežne povezave in varnostne kopije virtualnih sistemov. Več o takšni zasnovi lahko preberete na strani Virtualizacija in Proxmox.
NIS2 ni samo nakup požarnega zidu
Ena pogostih napačnih predstav je, da je mogoče zahteve NIS2 oziroma ZInfV-1 rešiti z nakupom novega požarnega zidu, protivirusnega programa ali druge varnostne naprave.
Takšna oprema je lahko pomemben del zaščite, vendar zakon zahteva bistveno širši pristop.
Potrebni so tudi:
- organizacijski postopki,
- jasne odgovornosti,
- dokumentacija,
- upravljanje tveganj,
- načrtovanje odziva,
- usposabljanje zaposlenih in
- redno preverjanje, ali uvedeni ukrepi dejansko delujejo.
Ali mora biti podjetje certificirano po ISO 27001?
ZInfV-1 in NIS2 ne pomenita avtomatično, da mora biti vsak zavezanec certificiran po standardu ISO/IEC 27001.
Standard ISO 27001 pa je lahko zelo uporabna osnova za sistematično upravljanje informacijske varnosti, saj pomaga pri organizaciji politik, tveganj, odgovornosti, kontrol in izboljšav.
Pomembno je razlikovati med uporabo dobrih praks standarda in formalno certifikacijo.
Ali majhna podjetja lahko zahteve NIS2 preprosto ignorirajo?
Če podjetje ne izpolnjuje meril za zavezanca po ZInfV-1, zanj ne veljajo vse obveznosti, ki jih zakon določa za bistvene in pomembne subjekte.
To pa še ne pomeni, da so varnostni ukrepi nepotrebni.
Izsiljevalski virusi, kraje gesel, phishing in vdori ne preverjajo števila zaposlenih ali letnega prometa podjetja.
Poleg tega lahko večji naročnik, ki je zavezanec po ZInfV-1, od svojega dobavitelja zahteva določeno raven informacijske varnosti zaradi lastnih obveznosti glede varnosti dobavne verige.
Zato lahko zahteve NIS2 posredno vplivajo tudi na podjetja, ki sama niso neposredni zavezanci.
NIS2 in zunanji IT-izvajalci
Zunanji IT-izvajalec lahko podjetju pomaga pri vzpostavitvi tehničnih ukrepov, dokumentiranju infrastrukture, segmentaciji omrežja, varnostnih kopijah, nadzoru in drugih področjih.
Vendar odgovornosti za informacijsko varnost ni mogoče v celoti prenesti na zunanjega izvajalca.
Organizacija mora vedeti, kdo ima dostop do njenih sistemov, kaj lahko zunanji izvajalec spreminja ter kako so dostopi in odgovornosti urejeni.
Praktični kontrolni seznam
Preverite svoje okolje:
- ☐ Vemo, ali smo zavezanec po ZInfV-1.
- ☐ Imamo določeno odgovorno osebo za informacijsko varnost.
- ☐ Imamo ažuren popis naprav in sistemov.
- ☐ Poznamo svoja glavna kibernetska tveganja.
- ☐ Poslovno omrežje je ustrezno segmentirano.
- ☐ Gostujoči Wi-Fi je ločen od poslovnega omrežja.
- ☐ IoT in videonadzorne naprave so ustrezno ločene.
- ☐ Skrbniški računi niso uporabljeni za vsakodnevno delo.
- ☐ Kritični uporabniški računi uporabljajo MFA.
- ☐ Oddaljeni dostopi so zaščiteni.
- ☐ Sistemi in omrežna oprema se redno posodabljajo.
- ☐ Imamo več varnostnih kopij.
- ☐ Vsaj ena varnostna kopija je ustrezno ločena od produkcijskega okolja.
- ☐ Obnovo iz varnostne kopije redno testiramo.
- ☐ Beležimo pomembne varnostne dogodke.
- ☐ Pregledali smo dostope zunanjih izvajalcev.
- ☐ Imamo postopek za odziv na kibernetski incident.
- ☐ Vemo, kdo mora ob incidentu obvestiti pristojno skupino CSIRT.
- ☐ Zaposleni poznajo osnovne postopke kibernetske varnosti.
Pogosta vprašanja o NIS2 in ZInfV-1
Ali sta NIS2 in ZInfV-1 ista stvar?
Ne. NIS2 je evropska direktiva, ZInfV-1 pa slovenski zakon, s katerim je bila direktiva NIS2 prenesena v slovenski pravni red.
Kdaj je ZInfV-1 začel veljati?
ZInfV-1 je začel veljati 19. junija 2025.
Ali ZInfV-1 velja za vsa podjetja?
Ne. Zavezanost je odvisna od dejavnosti, velikosti in drugih zakonskih kriterijev. Obstajajo tudi posebne kategorije subjektov, za katere običajno merilo velikosti ni odločilno.
Ali moram sam ugotoviti, ali je moje podjetje zavezanec?
V številnih primerih da. Sistem temelji tudi na samoprepoznavi in samoregistraciji zavezancev.
Ali potrebujemo MFA?
Večfaktorska avtentikacija je eden najpomembnejših sodobnih ukrepov zaščite dostopov. Posebej smiselna je za oddaljene dostope, e-pošto, skrbniške račune, VPN in kritične oblačne storitve.
Ali moramo imeti ločene VLAN-e?
Zakon praviloma ne predpisuje posamezne znamke opreme ali točno določene omrežne arhitekture. Segmentacija pa je zelo učinkovit način zmanjševanja tveganja in omejevanja širjenja napada med sistemi.
Ali je dovolj, da imamo antivirus?
Ne. Informacijska varnost zahteva kombinacijo tehničnih, organizacijskih in operativnih ukrepov.
V koliko časa je treba prijaviti pomemben incident?
Pri pomembnih incidentih mora zavezanec pristojni skupini CSIRT praviloma poslati zgodnje sporočilo v 24 urah ter podrobnejšo priglasitev v 72 urah. Nadaljnje poročanje je odvisno od poteka incidenta.
Ali mora biti podjetje certificirano po ISO 27001?
Ne avtomatično. ISO/IEC 27001 je lahko dobra osnova za sistem upravljanja informacijske varnosti, formalna certifikacija pa ni splošna zahteva za vsakega zavezanca samo zato, ker zanj velja ZInfV-1.
Ali NIS2 vpliva tudi na podjetje, ki ni zavezanec?
Lahko. Če podjetje opravlja storitve za organizacijo, ki je zavezanec, lahko naročnik zaradi obveznosti glede varnosti dobavne verige zahteva določene varnostne ukrepe tudi od svojih dobaviteljev.
Kako vam lahko pomaga varnaPot.si?
Pri izpolnjevanju zahtev informacijske varnosti je pomembno, da tehnični ukrepi niso uvedeni posamezno in nepovezano. Omrežje, strežniki, varnostne kopije, oddaljeni dostopi, uporabniški računi in nadzor morajo biti načrtovani kot celota.
Na varnaPot.si pomagamo pri pregledu in ureditvi omrežij in omrežne varnosti, IT infrastrukture, virtualizacije in Proxmox okolij ter drugih tehničnih področij, povezanih z varnim in zanesljivim delovanjem informacijskih sistemov.
Pregled vseh področij je na voljo na strani Storitve. Če želite pregledati trenutno stanje svojega IT-okolja ali načrtujete nadgradnjo, nas lahko tudi kontaktirate.
Zaključek
NIS2 in ZInfV-1 pomenita pomemben premik od reaktivne k sistematični informacijski varnosti.
Vprašanje ni več samo, ali ima podjetje požarni zid in protivirusni program. Pomembno je, ali pozna svoja tveganja, ali ima urejene dostope, ustrezno zaščitena omrežja, delujoče varnostne kopije, usposobljene zaposlene ter izdelan postopek za primer varnostnega incidenta.
Tudi organizacijam, ki niso neposredni zavezanci po ZInfV-1, lahko enak pristop bistveno zmanjša tveganje za izpad poslovanja, izgubo podatkov, zlorabo uporabniških računov in druge kibernetske incidente.
