Kateri zakoni, akti, pravilniki in uredbe urejajo kibernetsko in informacijsko varnost?
Zakoni, direktive in uredbe – pravni okvir kibernetske in informacijske varnosti v Sloveniji in EU, z datumi uvedbe in začetka uporabe.
Kibernetska varnost je v letu 2026 postala eno najpomembnejših področij pravne skladnosti za podjetja, javni sektor, ponudnike digitalnih storitev, finančne institucije, upravljavce kritične infrastrukture in proizvajalce digitalnih izdelkov.
Kibernetska varnost kot pravna in poslovna obveznost
Kibernetska varnost je v Sloveniji in Evropski uniji postala pomemben del zakonodaje, korporativnega upravljanja, varstva podatkov in neprekinjenega poslovanja. Organizacije morajo danes poleg tehničnih zaščitnih ukrepov dokazovati tudi upravljanje tveganj, odgovornost vodstva, poročanje o incidentih, varnost dobavnih verig in skladnost z več povezanimi predpisi. Ključni slovenski predpis je Zakon o informacijski varnosti ZInfV-1, ki ureja nacionalni sistem informacijske in kibernetske varnosti ter prenaša zahteve direktive NIS2 v slovenski pravni red.
Za podjetja, javni sektor, finančne institucije, upravljavce kritične infrastrukture, ponudnike digitalnih storitev in proizvajalce digitalnih izdelkov je zato pomembno, da kibernetsko varnost obravnavajo kot stalno zakonsko obveznost. Pravni okvir sestavljajo ZInfV-1, NIS2, DORA, Akt o kibernetski odpornosti, direktiva CER, GDPR, ZVOP-2, ZEKom-2, eIDAS 2.0, Data Act, AI Act in drugi povezani predpisi. Namen teh pravil je povečati odpornost organizacij, izboljšati odzivanje na incidente in zagotoviti višjo raven varnosti digitalnih storitev, omrežij, podatkov in izdelkov.
Informacijska varnost: celovit vodnik za podjetja in organizacije
ZInfV-1 – osrednji slovenski zakon o kibernetski varnosti
Zakon o informacijski varnosti ZInfV-1 je osrednji slovenski zakon za področje informacijske in kibernetske varnosti. Ureja nacionalni sistem informacijske varnosti v Republiki Sloveniji, pristojnosti nacionalnega organa, enotno kontaktno točko za kibernetsko varnost, skupine CSIRT, obvladovanje incidentov velikih razsežnosti, strategijo kibernetske varnosti in kibernetsko obrambo. Zakon določa tudi obveznosti zavezancev glede ukrepov za obvladovanje tveganj in poročanja o incidentih.
ZInfV-1 uvaja pomembno razlikovanje med bistvenimi in pomembnimi subjekti. Med zavezance lahko spadajo organizacije iz sektorjev, kot so energetika, promet, zdravstvo, pitna voda, digitalna infrastruktura, javna uprava, bančništvo, finančni trgi, vesolje, poštne in kurirske storitve, ravnanje z odpadki, proizvodnja, digitalni ponudniki in drugi sektorji, ki jih opredeljuje zakon. Za zavezance to pomeni, da morajo vzpostaviti ustrezne varnostne politike, ocenjevati tveganja, izvajati tehnične in organizacijske ukrepe ter dokumentirati skladnost.
Samoregistracija zavezancev po ZInfV-1
Ena najpomembnejših praktičnih obveznosti po ZInfV-1 je samoregistracija zavezancev. URSIV navaja, da se morajo subjekti, ki izpolnijo zakonske kriterije, samoregistrirati najpozneje v 30 dneh od dneva, ko pogoje izpolnijo. Za lažjo izvedbo postopka je bil objavljen spletni obrazec, prek katerega lahko organizacije preverijo, ali spadajo med zavezance, ugotovijo kategorijo zavezanca in opravijo samoregistracijo.
Samoregistracija ni zgolj administrativni korak, temveč začetek dokazljivega izpolnjevanja obveznosti po ZInfV-1. Organizacije morajo zato preveriti, ali po velikosti, dejavnosti, sektorju ali pomenu storitev spadajo med bistvene ali pomembne subjekte. Če izpolnjujejo pogoje, morajo pravočasno urediti registracijo, določiti odgovorne osebe, pripraviti notranje postopke in vzpostaviti sistem za upravljanje tveganj ter poročanje o incidentih.
Pojasnila URSIV in usposabljanje odgovornih oseb
URSIV je objavil dodatna pojasnila in navodila, ki organizacijam pomagajo pri razumevanju obveznosti po ZInfV-1. Ta pojasnila so pomembna predvsem za določitev zavezancev, izvedbo samoregistracije, komunikacijo z organi, poročanje o incidentih in razumevanje zahtevanih ukrepov kibernetske varnosti.
ZInfV-1 dopolnjuje tudi Uredba o usposabljanju odgovornih oseb na področju obvladovanja tveganj informacijske in kibernetske varnosti. Uredba določa program in način usposabljanja odgovornih oseb bistvenih ali pomembnih subjektov. Njen namen je povečati ozaveščenost o tveganjih, vplivu incidentov na storitve in odgovornosti vodstva pri zagotavljanju visoke ravni varnosti omrežij in informacijskih sistemov.
NIS2 – evropski okvir za višjo raven kibernetske varnosti
Direktiva NIS2 določa skupen evropski okvir za visoko raven kibernetske varnosti v Evropski uniji. V primerjavi s prvo direktivo NIS razširja krog zavezancev, krepi zahteve glede obvladovanja tveganj, uvaja strožja pravila poročanja o incidentih, poudarja varnost dobavnih verig in krepi odgovornost vodstvenih organov. V Sloveniji se zahteve NIS2 izvajajo predvsem prek ZInfV-1.
Pomemben del izvajanja NIS2 je tudi Izvedbena uredba Komisije (EU) 2024/2690. Ta določa tehnične in metodološke zahteve za ukrepe obvladovanja kibernetskih tveganj ter dodatno opredeljuje primere, ko se incident šteje za pomembnega pri določenih digitalnih in zaupanja vrednih storitvah.
Zakon o kritični infrastrukturi in direktiva CER
Kibernetska varnost je tesno povezana tudi z odpornostjo kritičnih subjektov. Direktiva CER ureja odpornost kritičnih subjektov v EU in dopolnjuje pravila NIS2, saj se osredotoča na neprekinjeno izvajanje bistvenih storitev in odpornost subjektov, ki so pomembni za družbo in gospodarstvo.
V Sloveniji je pomemben Zakon o kritični infrastrukturi ZKI-1, ki ureja kritične subjekte in kritične subjekte posebnega evropskega pomena. Za organizacije, ki izvajajo bistvene ali kritične storitve, je zato nujno celovito obravnavati fizično varnost, organizacijsko odpornost, kibernetsko varnost, neprekinjeno poslovanje in krizno upravljanje.
DORA – digitalna operativna odpornost finančnega sektorja
Uredba DORA je poseben evropski okvir za digitalno operativno odpornost finančnega sektorja. Uporablja se od 17. januarja 2025 in določa zahteve za upravljanje IKT tveganj, poročanje o incidentih, testiranje digitalne operativne odpornosti, izmenjavo informacij in obvladovanje tveganj pri zunanjih ponudnikih IKT storitev.
DORA je posebej pomembna za banke, zavarovalnice, investicijska podjetja, plačilne institucije, ponudnike kripto storitev, borze, upravljavce skladov in druge finančne subjekte. Finančne organizacije morajo zato vzpostaviti celovit sistem upravljanja digitalnih tveganj, spremljati odvisnosti od zunanjih ponudnikov in zagotoviti, da lahko tudi v primeru večjih IKT incidentov nadaljujejo izvajanje ključnih storitev.
Akt o kibernetski odpornosti – Cyber Resilience Act
Akt o kibernetski odpornosti oziroma Cyber Resilience Act uvaja horizontalne kibernetskovarnostne zahteve za izdelke z digitalnimi elementi. Nanaša se na programsko opremo, strojno opremo, povezane naprave in druge digitalne izdelke, ki se dajejo na trg EU. Proizvajalci bodo morali varnost vključiti že v načrtovanje, razvoj, vzdrževanje in podporo izdelkov.
Akt je začel veljati 10. decembra 2024. Glavne obveznosti se začnejo uporabljati 11. decembra 2027, obveznosti poročanja o aktivno izkoriščanih ranljivostih in hudih incidentih, ki vplivajo na varnost izdelkov z digitalnimi elementi, pa od 11. septembra 2026.
Cybersecurity Act, ENISA in evropsko certificiranje
Evropski Cybersecurity Act je vzpostavil okrepljeno vlogo agencije ENISA in evropski okvir za kibernetskovarnostno certificiranje IKT izdelkov, storitev in procesov. Certificiranje postaja pomembno za zaupanje v digitalne rešitve, javna naročila, dobavne verige in čezmejno uporabo IKT storitev.
V letu 2025 je bila sprejeta sprememba Cybersecurity Act glede upravljanih varnostnih storitev. Sprememba med drugim omogoča, da se storitve, kot so obravnava incidentov, penetracijsko testiranje, varnostni pregledi in svetovanje, lahko vključijo v evropske sheme kibernetskovarnostnega certificiranja.
Evropska komisija je 20. januarja 2026 predstavila tudi nov paket kibernetske varnosti s predlogom prenove Cybersecurity Act. Namen paketa je dodatno okrepiti kibernetsko odpornost in zmogljivosti EU, zmanjšati razdrobljenost pravil ter poenostaviti skladnost z evropskimi kibernetskovarnostnimi zahtevami.
Cyber Solidarity Act
Cyber Solidarity Act krepi evropsko pripravljenost, zaznavanje in odzivanje na velike kibernetske incidente. Uvaja evropski sistem kibernetskega opozarjanja, podporne mehanizme za izredne razmere in evropsko rezervo kibernetske varnosti. Za države članice in organizacije, ki izvajajo ključne storitve, je pomemben predvsem zaradi hitrejšega zaznavanja groženj, skupnega odzivanja in podpore pri večjih čezmejnih incidentih.
GDPR in ZVOP-2
GDPR ostaja temeljni evropski predpis za varstvo osebnih podatkov. Za kibernetsko varnost je pomemben predvsem zaradi zahtev glede varnosti obdelave, zaupnosti, celovitosti, razpoložljivosti sistemov in poročanja o kršitvah varnosti osebnih podatkov.
V Sloveniji GDPR dopolnjuje ZVOP-2. Prečiščeno besedilo ZVOP-2 vključuje tudi spremembe, povezane z ZInfV-1 in kasnejšimi spremembami prekrškovne zakonodaje. Organizacije morajo zato pri vsakem kibernetskem incidentu preveriti, ali gre tudi za kršitev varnosti osebnih podatkov in ali je treba incident prijaviti Informacijskemu pooblaščencu oziroma obvestiti posameznike.
ZEKom-2 in varnost elektronskih komunikacij
ZEKom-2 ureja elektronske komunikacije, varnost omrežij in storitev ter zasebnost komunikacij. Pomemben je za operaterje in ponudnike elektronskih komunikacijskih storitev, ki morajo zagotavljati ustrezno raven varnosti omrežij, storitev in obdelave podatkov. Prečiščeno besedilo ZEKom-2 vključuje tudi spremembe, povezane z ZInfV-1, kar kaže na vedno večje prepletanje komunikacijske, podatkovne in kibernetskovarnostne zakonodaje.
eIDAS 2.0 in evropska digitalna identiteta
eIDAS 2.0 razširja evropski okvir elektronske identifikacije in storitev zaupanja. Uredba (EU) 2024/1183 vzpostavlja evropski okvir digitalne identitete in odpira pot evropski denarnici za digitalno identiteto. Ta bo pomembna za varno elektronsko identifikacijo, digitalno poslovanje, elektronske podpise, dokazovanje atributov in čezmejni dostop do javnih ter zasebnih digitalnih storitev.
Za organizacije to pomeni, da bodo morale pri digitalnih storitvah vedno bolj upoštevati varno identifikacijo uporabnikov, zanesljivo preverjanje identitete in povezavo med kibernetsko varnostjo, varstvom osebnih podatkov ter storitvami zaupanja.
Data Act in dostop do podatkov
Data Act oziroma Akt o podatkih ureja harmonizirana pravila za pravičen dostop do podatkov in njihovo uporabo. Pomemben je za povezane izdelke, digitalne storitve, oblačne storitve, industrijske podatke in prenosljivost podatkov med ponudniki.
Z vidika kibernetske varnosti je Data Act pomemben zato, ker se dostop do podatkov, deljenje podatkov, prenosljivost in uporaba povezanih naprav neposredno povezujejo z varnostjo sistemov, nadzorom nad podatki in odgovornostjo pogodbenih partnerjev. Organizacije morajo zato pri podatkovnih tokovih upoštevati tudi varnostne ukrepe, pogodbeno ureditev, dobavne verige in varstvo osebnih podatkov.
AI Act in kibernetska varnost umetne inteligence
AI Act oziroma Akt o umetni inteligenci uvaja harmonizirana pravila za razvoj, dajanje na trg in uporabo sistemov umetne inteligence v EU. Čeprav ni klasičen zakon o kibernetski varnosti, je pomemben za varnost informacijskih sistemov, ker pri visokotveganih sistemih umetne inteligence zahteva upravljanje tveganj, kakovost podatkov, dokumentacijo, preglednost, človeški nadzor, robustnost in kibernetsko varnost.
Organizacije, ki uporabljajo umetno inteligenco v kritičnih procesih, varnostnih sistemih, javnih storitvah, zaposlovanju, izobraževanju, infrastrukturi ali obdelavi občutljivih podatkov, morajo AI Act povezati z internimi politikami informacijske varnosti, varstvom osebnih podatkov in upravljanjem tveganj.
Zakon o tajnih podatkih
Zakon o tajnih podatkih je pomemben za državne organe, obrambni sektor, varnostno občutljive organizacije in vse subjekte, ki obdelujejo tajne podatke. Ureja določanje, varovanje, dostop in obdelavo tajnih podatkov. Osnovni zakon izhaja iz leta 2001, poznejša besedila pa vključujejo spremembe in prečiščene različice.
Pri informacijskih sistemih, v katerih se obdelujejo tajni podatki, morajo organizacije kibernetsko varnost obravnavati strožje, saj gre za podatke, katerih razkritje ali izguba bi lahko povzročila škodo interesom Republike Slovenije ali drugim varovanim interesom.
Kaj morajo organizacije storiti v praksi?
Organizacije naj najprej preverijo, ali spadajo med zavezance po ZInfV-1 oziroma med bistvene ali pomembne subjekte. Če pogoje izpolnjujejo, morajo pravočasno izvesti samoregistracijo in vzpostaviti notranji sistem za upravljanje kibernetskih tveganj. Pomembno je tudi, da določijo odgovorne osebe, pripravijo varnostne politike, uredijo postopke za zaznavanje in prijavo incidentov ter dokumentirajo izvedene ukrepe.
Praktični ukrepi naj vključujejo:
- preverjanje statusa zavezanca po ZInfV-1,
- pravočasno samoregistracijo,
- imenovanje odgovornih oseb,
- redno ocenjevanje kibernetskih tveganj,
- varnostne politike in postopke,
- načrt odzivanja na incidente,
- pravila za poročanje o incidentih,
- varnost dobavnih verig in zunanjih izvajalcev,
- varnostno kopiranje in načrte neprekinjenega poslovanja,
- usposabljanje vodstva in zaposlenih,
- preverjanje skladnosti z GDPR, ZVOP-2 in sektorskimi predpisi,
- spremljanje evropske zakonodaje, zlasti CRA, DORA, AI Act in sprememb Cybersecurity Act.
Ključni datumi in roki
| Predpis | Ključni status ali rok |
|---|---|
| ZInfV-1 | Velja od 19. junija 2025 |
| Samoregistracija po ZInfV-1 | Najpozneje v 30 dneh od izpolnitve zakonskih kriterijev |
| Uredba o usposabljanju odgovornih oseb | Podzakonski akt k ZInfV-1 |
| NIS2 | Prenos v Sloveniji predvsem prek ZInfV-1 |
| Izvedbena uredba Komisije (EU) 2024/2690 | Tehnične in metodološke zahteve za določene zavezance po NIS2 |
| DORA | Uporablja se od 17. januarja 2025 |
| Cyber Resilience Act | Velja od 10. decembra 2024 |
| CRA – poročanje o ranljivostih in incidentih | Od 11. septembra 2026 |
| CRA – glavne obveznosti | Od 11. decembra 2027 |
| Cybersecurity Act | Evropski okvir ENISA in certificiranja |
| Sprememba Cybersecurity Act glede upravljanih varnostnih storitev | Uporablja se od 4. februarja 2025 |
| Predlog prenove Cybersecurity Act | Predstavljen 20. januarja 2026 |
| GDPR | Uporablja se od 25. maja 2018 |
| ZVOP-2 | Slovenski zakon za izvajanje pravil varstva osebnih podatkov |
| eIDAS 2.0 | Evropski okvir digitalne identitete |
| Data Act | Evropska pravila o dostopu do podatkov in njihovi uporabi |
| AI Act | Postopna uporaba pravil v obdobju 2024–2027 in naprej |
Sklep
Kibernetska varnost je danes pravna, organizacijska in poslovna obveznost. Slovenski ZInfV-1 in evropska direktiva NIS2 zahtevata, da organizacije sistematično upravljajo tveganja, izvajajo tehnične in organizacijske ukrepe ter poročajo o pomembnih incidentih. DORA zaostruje zahteve za finančni sektor, CRA uvaja varnostne obveznosti za digitalne izdelke, CER in ZKI-1 krepita odpornost kritičnih subjektov, GDPR in ZVOP-2 pa ostajata ključna za varstvo osebnih podatkov.
Za organizacije je najpomembnejše, da zakonodajo ne obravnavajo kot enkratno preverjanje, temveč kot stalni proces. Redno preverjanje statusa zavezanca, samoregistracija, usposabljanje odgovornih oseb, dokumentiranje varnostnih ukrepov, upravljanje incidentov in varnost dobavnih verig bodo v prihodnjih letih ključni elementi skladnosti. Kibernetska varnost zato postaja del odgovornega vodenja organizacije, ne le naloga IT oddelka.
Uradni viri
- AI Act – Uredba (EU) 2024/1689
- Cyber Resilience Act – povzetek in roki uporabe
- Cyber Resilience Act – Uredba (EU) 2024/2847
- Cybersecurity Act – Uredba (EU) 2019/881
- Data Act – Uredba (EU) 2023/2854
- Direktiva CER – Direktiva (EU) 2022/2557
- Direktiva NIS2 – Direktiva (EU) 2022/2555
- eIDAS 2.0 – Uredba (EU) 2024/1183
- GDPR – Uredba (EU) 2016/679
- Izvedbena uredba Komisije (EU) 2024/2690
- Navodila za izpolnjevanje obrazca za samoregistracijo
- Ponovni poziv k samoregistraciji zavezancev po ZInfV-1
- Predlog prenove Cybersecurity Act
- Predlog sprememb glede poenostavitve in uskladitve s Cybersecurity Act
- Samoregistracija zavezancev po ZInfV-1
- Sprememba Cybersecurity Act glede upravljanih varnostnih storitev – Uredba (EU) 2025/37
- Spletni obrazec za samoregistracijo zavezancev po ZInfV-1
- Uredba DORA – Uredba (EU) 2022/2554
- Uredba o usposabljanju odgovornih oseb na področju obvladovanja tveganj informacijske in kibernetske varnosti
- Zakon o elektronskih komunikacijah – ZEKom-2
- Zakon o informacijski varnosti – ZInfV-1
- Zakon o tajnih podatkih – ZTP
- Zakon o varstvu osebnih podatkov – ZVOP-2
