Na kratko
ZInfV-1 velja za proizvodna podjetja, ki spadajo v proizvodne podsektorje iz Priloge 2 (na primer računalniki in elektronika, električna oprema, stroji in motorna vozila) ali v sektor živil in hkrati dosegajo velikostni prag iz 6. člena. Pri proizvodnji so ključni še OT-okolje, dobavitelji in vpliv zastoja.
Ali ZInfV-1 velja tudi za proizvodna podjetja?
Da, za del proizvodnih podjetij. ZInfV-1 v Prilogi 2 zajema tudi sektor proizvodnja, vendar ne vseh proizvodnih dejavnosti avtomatično. Najprej je treba preveriti, ali podjetje spada v enega od zajetih proizvodnih podsektorjev in nato še, ali izpolnjuje velikostne pogoje iz 6. člena ZInfV-1.
Pri proizvodnih podjetjih je posebej pomembno, da se presoja ne ustavi pri dokumentaciji. V praksi so ključni še kritična sredstva, zastoji proizvodnje, povezava OT in IT, dobavitelji ter sposobnost dokazovanja dejanskega stanja.
Najpogostejša napaka: podjetje ugotavlja zavezanstvo samo po splošni dejavnosti, ne pa tudi po konkretni uvrstitvi v podsektor, velikosti in vplivu na poslovanje.
Kako proizvodno podjetje preveri, ali je zavezanec
Za proizvodna podjetja je treba preveriti dve ravni: najprej ali spadate v zajeti podsektor, nato pa še ali dosegate velikostne kriterije. Portal GOV.SI
Preverite podsektor
Ni dovolj, da ste “proizvodnja”. Pomembno je, ali spadate med zajete vrste subjektov iz proizvodnega dela Priloge 2. Portal GOV.SI
Preverite velikost
Treba je preveriti prag 50 zaposlenih in 10 mio EUR letnega prometa ali bilančne vsote. URSIV v pojasnilih pri živilskem sektorju izrecno poudarja, da za te subjekte velja predpostavka zavezanstva le, če izpolnjujejo merila velikosti iz 6. člena. Portal GOV.SI
Preverite dejanski obseg
Pri več dejavnostih je pomembno, katera dejavnost je dejansko relevantna za presojo, ne samo kako se podjetje opisuje navzven.
Kateri proizvodni podsektorji so posebej relevantni
URSIV v odgovorih na vprašanja izrecno navaja, da Priloga 2 v sektorju proizvodnja zajema podsektorje, povezane z računalniki, elektroniko, električnimi napravami in stroji, vezano na oddelke NACE Rev. 2. Portal GOV.SI
Podsektorji, ki jih URSIV izrecno omenja
- proizvodnja računalnikov, elektronskih in optičnih izdelkov,
- proizvodnja električnih naprav,
- proizvodnja drugih strojev in naprav. Portal GOV.SI
Proizvodnja širše po Prilogi 2
- medicinski pripomočki,
- računalniki, elektronika in optika,
- električna oprema,
- stroji in naprave,
- motorna vozila,
- druga prevozna sredstva. Portal GOV.SI
Pozor: iz tega ne sledi, da je zavezanec vsako proizvodno podjetje. Najprej je treba preveriti uvrstitev v konkretni podsektor in nato še velikostna merila. Portal GOV.SI
Zakaj je NIS2 za proizvodnjo drugačen kot za “pisarniška” podjetja
Pri proizvodnji incident pogosto nima samo IT posledic, ampak tudi operativne, logistične in finančne posledice.
OT in IT sta prepletena
Pri proizvodnji je pogosta povezava med poslovnimi sistemi, industrijskimi napravami, PLC okolji, proizvodnimi linijami in zunanjimi povezavami.
Zastoj ni samo “incident”
Motnja lahko pomeni dejanski izpad proizvodnje, zamude dobav, pogodbene posledice in pritisk kupcev.
Dobavitelji so kritični
V proizvodnji je pogosto velik del tveganja v dobaviteljski verigi, serviserjih, integratorjih in zunanjih vzdrževalcih.
Popis sredstev je težji
V praksi je pogosto težje popisati kritična sredstva, ker niso samo strežniki in delovne postaje, ampak tudi industrijske komponente.
Spremembe imajo operativne posledice
Varovanje ni mogoče uvajati brez premisleka o vplivu na proizvodnjo, vzdrževanje in razpoložljivost.
Nadzor zahteva dokazljivost
Ključno ni le, da so ukrepi zapisani, ampak da lahko pokažete, kako so vezani na dejanske procese in sredstva.
Kaj bodo pri proizvodnem podjetju najprej gledali
Pri proizvodnji je smiselno pričakovati vprašanja, ki se hitro dotaknejo realnega stanja proizvodnje, kritičnih sredstev in dobaviteljev.
Tipična vprašanja
- katera sredstva so kritična za proizvodnjo,
- kateri procesi so ključni in kakšne so posledice izpada,
- kdo ima dostop do kritičnih sistemov,
- kako se obravnavajo dobavitelji in zunanji izvajalci,
- kako se upravlja spremembe in incidente.
Kar podjetja pogosto nimajo dovolj urejeno
- popis OT/IT sredstev,
- jasen register tveganj,
- BIA in vpliv zastoja proizvodnje,
- sled odločitev vodstva,
- dokaze o izvajanju ukrepov in statusu odprtih nalog.
Kar vidimo v praksi: proizvodno podjetje pogosto misli, da ima “varnost” urejeno, ker ima antivirus, backup in nekaj pravil. Nadzor pa zanima, ali je sistem upravljan, odgovornosti določene in dokazi sledljivi.
Poseben primer: živila, pijače in predelava
URSIV v pojasnilih posebej razlaga, da v sektor “pridelava, predelava in distribucija živil” spadajo podjetja, ki izvajajo živilske dejavnosti, vključno z industrijsko pridelavo in predelavo; pri tem pojasnilo izrecno omenja tudi, da med živila sodijo pijače. Hkrati pa poudari, da za te subjekte zavezanstvo velja le, če izpolnjujejo tudi merila velikosti iz 6. člena. Portal GOV.SI
Kaj to pomeni v praksi
- podjetje iz prehranske ali pijačarske proizvodnje lahko spada med zavezance,
- ni pa dovolj samo to, da proizvaja hrano ali pijačo,
- preveriti je treba tudi velikostni prag in dejansko vrsto dejavnosti. Portal GOV.SI
Prvi koraki za proizvodno podjetje
Tudi če še niste dokončno prepričani, ali ste zavezanec, je smiselno začeti s strukturiranim pregledom.
Preverite NACE in dejavnosti
Formalna klasifikacija je dober začetek, vendar ni vedno dovolj. Pomembna je tudi dejanska dejavnost podjetja. Portal GOV.SI
Preverite velikost
Število zaposlenih ter promet ali bilančna vsota so ključni filter pri večini subjektov. Portal GOV.SI
Popišite kritična sredstva
Brez jasnega pregleda nad kritičnimi sredstvi je težko narediti uporaben register tveganj in dokazovati pripravljenost.
Ocenite vpliv zastoja
Za proizvodnjo je ključno razumeti, kaj pomeni izpad stroja, linije, MES/ERP sistema ali povezave do dobaviteljev.
Uredite dokazila
Če ukrepov, odgovornih oseb in odločitev ne morete hitro pokazati, je to pri nadzoru slab znak.
Naredite oceno zavezanstva
Najhitrejša pot je kratek pregled statusa, podsektorja, velikosti, kritičnih procesov in največjih vrzeli.
Kako Regulus Ai pomaga proizvodnim podjetjem
Pri proizvodnji je ključna kombinacija regulatornega razumevanja, operativne realnosti in dokazljivosti za nadzor. Več o storitvah: skladnost z ZInfV-1, neprekinjeno poslovanje po ISO 22301 in – za proizvajalce izdelkov z digitalnimi elementi – akt o kibernetski odpornosti (CRA).
1. Ocena zavezanstva za proizvodnjo
Pregledamo, ali podjetje spada v relevantni proizvodni podsektor, ali dosega velikostni prag in katere obveznosti so zares relevantne.
2. Popis kritičnih sredstev in tveganj
Pomagamo povezati poslovne procese, kritična sredstva, dobavitelje in dejanska operativna tveganja.
3. Dokumentacija in dokazila
Ne gradimo samo dokumentov, ampak tudi sled dokazil, statusov ukrepov, odločitev in odgovornosti.
4. Priprava na nadzor
Cilj je, da podjetje pri vprašanju “pokažite” ne začne improvizirati, ampak zna pokazati dejansko stanje.
Za proizvodnjo ni ključno samo, ali ste zavezanec — ključno je tudi, ali lahko dokažete pripravljenost.
Dogovorite uvodni posvetPogosta vprašanja o NIS2 za proizvodna podjetja
Ali ZInfV-1 velja za vsako proizvodno podjetje?
Ne. Najprej je treba preveriti, ali podjetje spada v zajeti proizvodni podsektor, nato pa še, ali izpolnjuje velikostne pogoje. Portal GOV.SI
Ali so v proizvodnji pomembni tudi OT sistemi?
Da. Pri proizvodnji je pogosto prav povezava OT in IT ena ključnih posebnosti, ker lahko incident vpliva neposredno na proizvodnjo, razpoložljivost in dobavo.
Ali med relevantne sektorje spadata tudi prehrana in pijače?
Da, URSIV v pojasnilih posebej razlaga sektor pridelave, predelave in distribucije živil ter poudarja, da med živila sodijo tudi pijače; še vedno pa je treba preveriti velikostni prag. Portal GOV.SI
Kaj je pri proizvodnem podjetju najtežje urediti?
Najpogosteje popis kritičnih sredstev, povezavo OT in IT, register tveganj, status ukrepov, sled odločitev in dokazljivost dejanskega stanja.
Ali Regulus Ai pomaga tudi pri ugotavljanju statusa?
Da. Pomagamo pri oceni zavezanstva in statusa, popisu ključnih tveganj, pripravi dokazil in pripravi podjetja na nadzor.
Viri
- Zakon o informacijski varnosti (ZInfV-1), Uradni list RS
- URSIV – Pojasnila k ZInfV-1, različica 1.4 (januar 2026)
- URSIV – ZInfV-1: odgovori na vprašanja
- Direktiva (EU) 2022/2555 (NIS2), EUR-Lex
Objavljeno: · Zadnja posodobitev: · Pripravila ekipa Regulus Ai
Ne ugibajte, ali proizvodnja spada pod ZInfV-1
Regulus Ai vam pomaga preveriti status podjetja, podsektor, velikostni prag, ključna tveganja in najpomembnejše korake za pripravo na skladnost.