Na kratko
ZInfV-1 je slovenski prenos direktive NIS2. Bistveni in pomembni subjekti morajo do 19. 12. 2026 sprejeti varnostno dokumentacijo in ukrepe za obvladovanje tveganj (21. in 22. člen), pomembne incidente pa prijavljajo že od 19. 6. 2025. Pomagamo od ocene zavezanstva do dokazil, ki jih preveri URSIV.
Kateri roki veljajo po ZInfV-1?
Zakon velja od 19. 6. 2025. Rok za sprejem ukrepov je za večino zavezancev 19. 12. 2026, za nekatere je že potekel.
| Datum | Obveznost | Za koga |
|---|---|---|
| začetek veljavnosti zakona in obveznosti priglasitve pomembnih incidentov (29. člen) | vsi bistveni in pomembni subjekti | |
| rok za prvo samoregistracijo pri URSIV (8. člen) | subjekti, ki so ob uveljavitvi zakona že izpolnjevali merila iz 6. in 7. člena | |
| rok za sprejem ukrepov za obvladovanje tveganj | nekdanji izvajalci bistvenih storitev in organi državne uprave po prejšnjem ZInfV ter operaterji po ZEKom-2 | |
| rok za sprejem varnostne dokumentacije in ukrepov za obvladovanje tveganj (21. in 22. člen) | vsi ostali bistveni in pomembni subjekti |
Organizacija, ki merila za zavezanca izpolni pozneje, se mora samoregistrirati v 30 dneh od dneva, ko jih izpolni. Obveznosti po zakonu veljajo ne glede na to, ali je samoregistracija opravljena.
Kaj zahtevajo 20., 21. in 22. člen ZInfV-1?
Jedro obveznosti so ukrepi za obvladovanje tveganj v 21. in 22. členu, za njihovo izvajanje pa po 20. členu odgovarja vodstvo.
20. člen – odgovornost in usposabljanje
- za izvajanje ukrepov iz 21. in 22. člena so odgovorni predstojniki oziroma odgovorne osebe (vodstvo);
- odgovorne osebe opravijo usposabljanje, ki ga organizira URSIV;
- redno usposabljanje zaposlenih in letno usposabljanje skrbnikov informacijsko-komunikacijskih sistemov.
21. člen – varnostna dokumentacija
- politika varnosti omrežnih in informacijskih sistemov;
- popis informacijskih in drugih sredstev;
- analiza obvladovanja tveganj z opisom metodologije;
- politika in načrt neprekinjenega poslovanja z oceno vpliva na poslovanje;
- načrt obnovitve sistemov in načrt odzivanja na incidente;
- načrt varnostnih ukrepov in postopki za presojo njihove učinkovitosti.
22. člen – ukrepi za obvladovanje tveganj
Podpora vodstva, kibernetska higiena in usposabljanje, varnost človeških virov in upravljanje dostopov, varnostne kopije, dnevniški zapisi, kriptografija, varnost dobavne verige, fizično in tehnično varovanje, upravljanje tehničnih ranljivosti, zaščita pred zlonamerno kodo, večfaktorska avtentikacija, zavarovane komunikacije in uporaba oblačnih storitev.
Kako se ti ukrepi pokrivajo s kontrolami ISO/IEC 27001, prikazujemo v primerjavi ISO 27001 in ZInfV-1.
Kaj zahteva presoja skladnosti po 25. členu?
Bistveni subjekti morajo skladnost preveriti s presojo najmanj vsaki dve leti, pomembni subjekti pa z dokumentirano samooceno v enakem obdobju. Oboje je treba izvesti tudi po pomembnem incidentu.
| Subjekt | Oblika | Pogostost |
|---|---|---|
| Bistveni | presoja skladnosti | najmanj vsaki dve leti in po pomembnem incidentu |
| Pomembni | samoocena skladnosti (dokumentiran pregled) | najmanj vsaki dve leti in po pomembnem incidentu |
Pomagamo pripraviti dokazila in izvesti pregled skladnosti pred presojo oziroma samooceno.
Kako poteka projekt ZInfV-1?
Projekt teče v petih fazah; vsaka se zaključi s predanimi rezultati.
-
Ocena zavezanstva in obsega
Vrsta subjekta (Priloga 1 ali 2), velikost, razvrstitev med bistvene ali pomembne subjekte, samoregistracija in kritične storitve.
Rezultat: ocena zavezanstva in opredeljen obseg.
-
Analiza vrzeli
Primerjava obstoječega stanja z zahtevami 20., 21. in 22. člena ter s postopki prijave incidentov.
Rezultat: poročilo o analizi vrzeli s prioritetnim akcijskim načrtom.
-
Tveganja in neprekinjeno poslovanje
Popis sredstev, metodologija in ocena tveganj, ocena vpliva na poslovanje ter tehnični pregled.
Rezultat: register sredstev, register tveganj, načrt obravnavanja tveganj in ocena vpliva na poslovanje.
-
Varnostna dokumentacija in ukrepi
Politike, načrti in postopki po 21. členu, vključno z načrtom odzivanja na incidente in protokolom obveščanja CSIRT.
Rezultat: varnostna dokumentacija, pripravljena za potrditev vodstva, in načrt varnostnih ukrepov.
-
Usposabljanje in dokazila za nadzor
Usposabljanje zaposlenih, priprava vodstva, preizkus postopka prijave incidenta in ureditev dokazil o izvajanju ukrepov.
Rezultat: dokazila o izvajanju, poročilo vodstvu in pripravljenost na nadzor.
Katera pot ustreza vaši organizaciji?
Zavezanec brez sistema
Izvedemo vseh pet faz – od ocene zavezanstva do dokazil za nadzor. Sistem zasnujemo tako, da ga je pozneje mogoče certificirati po ISO/IEC 27001.
Zavezanec z ISO 27001
Obstoječi SUVI dopolnimo s tem, česar certifikat ne pokrije: samoregistracija, prijava incidentov v rokih, odgovornost vodstva in varnostna dokumentacija po 21. členu.
Nekdanji izvajalec bistvenih storitev
Rok 19. 6. 2026 je potekel. Dokumentacijo po prejšnjem ZInfV uskladimo z zahtevami 21. in 22. člena in pripravimo dokazila za nadzor.
Kaj preverja nadzor?
Nadzor ne preverja, ali imate dokument, temveč ali ukrepi delujejo in ali to lahko dokažete z dokazili. Vprašanja se hitro premaknejo od »ali imate pravilnik« k »pokažite, kako deluje«.
| Področje | Kaj morate dokazati |
|---|---|
| Tveganja | metodologija, register, obravnava tveganj in potrditve vodstva |
| Neprekinjeno poslovanje | utemeljeni RTO in RPO, načrti, testiranja in izboljšave |
| Incidenti | postopki, evidence, časovnice, vaje in spoznanja po incidentu |
| Dobavitelji | seznam, kritičnost, pogodbe, nadzor in ocenjevanje |
Najpogostejše napake
- dokumentacija ISO brez regulativnega konteksta – manjkajo dokazila in operativni postopki;
- pavšalna ocena vpliva na poslovanje – RTO in RPO brez utemeljitve in brez testiranja;
- nejasna odgovornost vodstva – brez potrditev, zapisanih odločitev in prioritet;
- manjkajoča dokazila – ukrepi »naj bi obstajali«, a jih ni mogoče pokazati;
- postopki za incidente samo na papirju – brez vaj, evidenc in izboljšav.
Več v članku Nadzor URSIV – kaj preverjajo in o posledicah v članku Kazni po ZInfV-1.
Pogosta vprašanja o ZInfV-1
Kako ugotovimo, ali smo zavezanec po ZInfV-1?
Organizacija je praviloma zavezanec, če spada med vrste subjektov iz Priloge 1 ali 2 ZInfV-1 in hkrati dosega velikostni prag iz 6. člena (vsaj 50 zaposlenih ter vsaj 10 milijonov EUR letnega prometa ali bilančne vsote). Nekateri subjekti so zavezani ne glede na velikost. Podrobno v članku Ali smo zavezanec po ZInfV-1?
Do kdaj moramo sprejeti ukrepe po ZInfV-1?
Večina bistvenih in pomembnih subjektov do 19. 12. 2026. Za nekdanje izvajalce bistvenih storitev, organe državne uprave in operaterje po ZEKom-2 je bil rok 19. 6. 2026. Obveznost prijave pomembnih incidentov velja od 19. 6. 2025 (vir: URSIV, Pojasnila k ZInfV-1).
Ali ZInfV-1 zahteva certifikat ISO 27001?
Ne. ZInfV-1 ne zahteva certifikata, zahteva pa ukrepe za obvladovanje tveganj in njihovo dokazovanje. Sistem po ISO/IEC 27001 je za to sistematična podlaga, posebej pa je treba urediti samoregistracijo, prijavo pomembnih incidentov in odgovornost vodstva.
V kakšnih rokih je treba prijaviti pomemben incident?
Zgodnje sporočilo najpozneje v 24 urah po zaznavi, priglasitev incidenta najpozneje v 72 urah po zaznavi in končno poročilo najpozneje v enem mesecu po priglasitvi; če incident še traja, tudi poročilo o napredku. Incidente se priglasi pristojni skupini CSIRT.
Kakšne globe predvideva ZInfV-1?
Za bistvene subjekte do 10.000.000 EUR ali do 2 % skupnega letnega prometa, za pomembne subjekte do 7.000.000 EUR ali do 1,4 % skupnega letnega prometa – uporabi se višji znesek. Globe so predvidene tudi za odgovorne osebe. Več v članku Kazni po ZInfV-1.
Kaj potrebujete od nas za začetek?
Osnovne podatke o organizaciji (dejavnosti, število zaposlenih, promet ali bilančna vsota, ključne storitve in lokacije) ter obstoječo dokumentacijo. Na tej podlagi ocenimo zavezanstvo in obseg ter predlagamo faze.
Viri
- Zakon o informacijski varnosti (ZInfV-1), Uradni list RS
- URSIV – Pojasnila k ZInfV-1, različica 1.4 (januar 2026)
- Direktiva (EU) 2022/2555 (NIS2), EUR-Lex
Zadnja posodobitev: · Pripravila ekipa Regulus Ai
Želite oceno zavezanstva in obsega za vašo organizacijo?
Dogovorite uvodni posvet