NIS360 2026: kateri sektorji EU so v območju kibernetskega tveganja?

ENISA NIS360 2026: kibernetska zrelost EU napreduje, a kritični sektorji ostajajo neenakomerno pripravljeni

ENISA NIS360 2026 ocenjuje kibernetsko zrelost in kritičnost sektorjev po NIS2. Poročilo kaže napredek pri bančništvu, elektriki in telekomunikacijah, vendar opozarja na neenakomerno pripravljenost zdravstva, javne uprave, vode in prometa.

Evropska agencija za kibernetsko varnost ENISA je objavila poročilo NIS360 2026, ki ponuja enega najbolj preglednih vpogledov v kibernetsko zrelost in kritičnost sektorjev, zajetih v direktivo NIS2.

Ključni poudarki

Bančništvo, elektrika in telekomunikacije ostajajo med najbolj zrelimi in hkrati najbolj kritičnimi sektorji v EU.
Zrelost sektorjev visoke kritičnosti se izboljšuje, vendar napredek ni enakomeren med sektorji in znotraj posameznih sektorjev.
V območju tveganja so med drugim zdravstvo, železnice, pomorstvo, upravljanje IKT storitev, vesolje, javna uprava ter pitna in odpadna voda.
Regulativa, predvsem NIS2, vse bolj vpliva na naložbe, upravljanje tveganj in pripravljenost organizacij.
Največji izzivi ostajajo upravljanje ranljivosti, neprekinjeno poslovanje, odzivanje na incidente, varnost dobavnih verig in pomanjkanje kadrov.
Za zavezance NIS2 je poročilo uporabno kot strateški zemljevid: ne kaže samo, kdo je najbolj izpostavljen, temveč tudi, kje zrelost še ne sledi kritičnosti.

Kaj meri ENISA NIS360?

ENISA NIS360 je poročilo, ki ne ocenjuje samo posameznih podjetij, temveč celotne sektorske ekosisteme. To pomeni, da pri oceni upošteva zakonodajni okvir, pripravljenost organizacij, vlogo nadzornih organov, sektorsko sodelovanje in dejansko operativno pripravljenost. Tak pristop je pomemben zato, ker kibernetska odpornost kritičnih storitev ni odvisna samo od ene organizacije, temveč od dobaviteljev, regulatorjev, nacionalnih organov, skupnih standardov in sposobnosti izmenjave informacij. V praksi je to še posebej pomembno za sektorje, kjer lahko motnja hitro vpliva na prebivalstvo, gospodarstvo ali druge kritične storitve.

Ocena vključuje zrelost, kritičnost in njuno medsebojno razmerje.
NIS360 je uporaben za razumevanje sistemskih tveganj v sektorjih po NIS2.
Poročilo pomaga pri določanju prioritet za vlaganja, nadzor in podporne ukrepe.

Najbolj zreli ostajajo bančništvo, elektrika in telekomunikacije

Poročilo potrjuje, da bančništvo, elektrika in telekomunikacije ostajajo med najbolj zrelimi in najbolj kritičnimi sektorji. To ni presenetljivo, saj so ti sektorji že več let izpostavljeni močnemu regulativnemu nadzoru, večjim zahtevam glede neprekinjenega poslovanja in neposrednim kibernetskim grožnjam. V teh okoljih so varnostne prakse praviloma bolj razvite, odgovornosti bolje razdeljene, incidentni odziv pa bolj redno preizkušen. Za slovenska podjetja, ki spremljajo direktivo NIS2, je to pomembno sporočilo: zrelost se ne gradi samo s tehničnimi ukrepi, temveč z dolgoročnim upravljanjem tveganj, nadzorom in sodelovanjem.

Zrelejši sektorji imajo praviloma jasnejše varnostno upravljanje.
Boljši rezultati so povezani z dolgoletno regulacijo in izkušnjami.
Telekomunikacije, elektrika in bančništvo ostajajo hrbtenica digitalne in gospodarske odpornosti.

Območje tveganja razkriva največje vrzeli

Najpomembnejši del poročila je t. i. območje tveganja. Vanj ENISA uvršča sektorje, pri katerih je kibernetska zrelost nižja od povprečja, kritičnost pa višja od njihove trenutne pripravljenosti. To pomeni, da bi lahko motnje v teh sektorjih imele velik vpliv, medtem ko njihova pripravljenost še ne dosega ravni, ki bi ustrezala njihovi vlogi v družbi in gospodarstvu. Med sektorji v območju tveganja so zdravstvo, železnice, pomorstvo, upravljanje IKT storitev, vesolje, javna uprava ter pitna in odpadna voda. To je pomembno tudi za razumevanje širše kibernetske varnosti v EU, saj tveganje pogosto nastane prav tam, kjer se kritične storitve prepletajo z zastarelo infrastrukturo, pomanjkanjem kadrov in kompleksnimi dobavnimi verigami.

Območje tveganja ne pomeni nujno največjega števila incidentov, temveč največje neskladje med kritičnostjo in zrelostjo.
Sektorji v območju tveganja potrebujejo bolj ciljno podporo, usmeritve in vlaganja.
Varnost dobavnih verig in izmenjava informacij sta pri teh sektorjih posebej pomembni.

Zakaj sta pitna in odpadna voda posebej pomembni?

ENISA v poročilu posebej izpostavlja sektorja pitne in odpadne vode, ki sta zdaj v območju tveganja. Gre za storitve, ki so neposredno povezane z javnim zdravjem, delovanjem mest, industrijo, energetiko, kmetijstvom in okoljem. Kljub temu sta bila ta sektorja v primerjavi z drugimi področji pogosto manj izpostavljena sistematičnemu kibernetskemu nadzoru in sektorsko specifični podpori. To je pomembno opozorilo, ker digitalizacija vodnih sistemov, daljinski nadzor, industrijski nadzorni sistemi in povezane storitve povečujejo napadalno površino. Poročilo zato potrjuje, da morajo tudi sektorji, ki so tradicionalno razumljeni kot fizična infrastruktura, postati del resne razprave o kritični infrastrukturi in kibernetski odpornosti.

Voda je osnovna storitev, od katere so odvisni prebivalstvo, industrija in druge kritične dejavnosti.
Digitalizacija vodnih sistemov povečuje učinkovitost, hkrati pa tudi kibernetsko izpostavljenost.
Pomanjkanje sektorskih forumov in specializirane podpore lahko upočasni napredek.

NIS2 spodbuja vlaganja, vendar skladnost ni dovolj

ENISA NIS360 2026 potrjuje, da regulativa postaja eden glavnih dejavnikov kibernetskih vlaganj. To je skladno tudi z ugotovitvami poročila ENISA NIS Investments 2025, ki kaže, da organizacije vse bolj povezujejo skladnost z dejanskimi varnostnimi izboljšavami. Vendar je za zavezance ključno, da NIS2 ne razumejo kot administrativni projekt, temveč kot okvir za upravljanje tveganj. Organizacije morajo imeti pregled nad sredstvi, ranljivostmi, dobavitelji, incidentnim odzivom in neprekinjenim poslovanjem. Zato so tehnične smernice NIS2 pomemben praktični korak med pravnimi zahtevami in izvedljivimi varnostnimi ukrepi.

Skladnost mora voditi v boljše upravljanje tveganj, ne samo v dokumentacijo.
Ključna področja so ranljivosti, dobavne verige, incidentni odziv in neprekinjeno poslovanje.
NIS2 povečuje odgovornost vodstev in zahteva merljive varnostne izboljšave.

Dobavne verige postajajo osrednje vprašanje odpornosti

Poročilo poudarja tudi pomen medsebojnih odvisnosti med sektorji. Digitalna infrastruktura, oblačne storitve, podatkovni centri, upravljanje IKT storitev in dobavitelji programske opreme so pogosto skupni imenovalec številnih kritičnih storitev. To pomeni, da se kibernetsko tveganje ne ustavi na meji ene organizacije, temveč se prenaša po pogodbenih, tehničnih in operativnih povezavah. Zato morajo organizacije spremljati ne le lastne sisteme, temveč tudi varnostne zahteve za dobavitelje, pogodbe, revizije, pravice dostopa in odzivne postopke. To je skladno s širšimi trendi, ki jih iVarnost.si redno spremlja pri napadih na dobavne verige.

Dobavitelji lahko postanejo vstopna točka v kritične storitve.
Pogodbe, standardi in revizije morajo vključevati jasne varnostne zahteve.
Organizacije morajo poznati odvisnosti med storitvami, sistemi in zunanjimi partnerji.

Kaj poročilo pomeni za slovenske organizacije?

Za slovenske zavezance in organizacije, ki se pripravljajo na izvajanje NIS2 oziroma ZInfV-1, je NIS360 2026 predvsem opozorilo, da kibernetska odpornost ni enkratna naloga. Poročilo kaže, da napredek nastaja tam, kjer so odgovornosti jasne, kjer vodstvo razume tveganja in kjer organizacije redno preverjajo pripravljenost. V praksi to pomeni, da morajo podjetja in javne ustanove preseči osnovno skladnost ter vzpostaviti stalno merjenje zrelosti. Posebej pomembno je tudi sodelovanje med sektorji, saj se incidenti pogosto širijo prek skupnih dobaviteljev, digitalnih storitev in operativnih odvisnosti. Za vodstva organizacij je zato smiselno, da kibernetsko varnost obravnavajo kot del upravljanja poslovnih tveganj, podobno kot finančna, pravna ali operativna tveganja.

Vodstva morajo razumeti, kje je organizacija najbolj odvisna od digitalnih storitev.
Redno testiranje incidentnega odziva in neprekinjenega poslovanja je nujno.
NIS2 je priložnost za dvig dejanske odpornosti, ne samo za izpolnjevanje zahtev.

Praktični koraki za zavezance NIS2

Organizacije lahko poročilo NIS360 uporabijo kot izhodišče za notranjo oceno zrelosti. Prvi korak je pregled ključnih storitev, sredstev, dobaviteljev in odvisnosti, ki lahko vplivajo na poslovanje ali izvajanje bistvenih storitev. Drugi korak je preverjanje, ali so politike, postopki in odgovornosti dejansko uporabljeni v praksi. Tretji korak je redno testiranje: od varnostnih kopij in kriznega komuniciranja do odziva na izsiljevalsko programsko opremo in večje izpade. Tak pristop je skladen tudi z vlogo CISO in vodstev, ki morajo kibernetska tveganja obravnavati kot strateško vprašanje, ne zgolj kot nalogo IT oddelka.

Pripravite seznam kritičnih storitev, sistemov in dobaviteljev.
Preverite upravljanje ranljivosti, popravkov in dostopov.
Testirajte odziv na incidente in načrte neprekinjenega poslovanja.
Vključite vodstvo v redno poročanje o kibernetskih tveganjih.
V pogodbe z dobavitelji vključite jasne varnostne zahteve.

Zakaj je NIS360 pomemben za evropsko kibernetsko odpornost?

NIS360 2026 je pomemben zato, ker razpravo o kibernetski varnosti premika od posameznih incidentov k sistemski odpornosti. Poročilo kaže, da Evropa napreduje, vendar hkrati opozarja, da napredek ni enakomeren. Največja tveganja se pojavljajo tam, kjer so storitve kritične, zrelost pa še ne dosega potrebne ravni. Zato bodo v prihodnjih letih ključni boljše sektorsko sodelovanje, izmenjava informacij, usklajeno izvajanje NIS2, vlaganja v kadre in praktično preverjanje pripravljenosti. Za organizacije je glavno sporočilo jasno: kibernetska varnost ni več tehnična priloga poslovanja, temveč pogoj za zaupanje, neprekinjeno delovanje in odpornost družbe.