{"id":23642,"date":"2026-07-08T10:34:20","date_gmt":"2026-07-08T09:34:20","guid":{"rendered":"https:\/\/rosoft.si\/?p=23642"},"modified":"2026-07-08T10:34:24","modified_gmt":"2026-07-08T09:34:24","slug":"zinfv-1-kaj-vse-prinasa-novi-zakon-o-informacijski-varnosti-in-kaj-morajo-podjetja-ukreniti","status":"publish","type":"post","link":"https:\/\/rosoft.si\/en\/zinfv-1-kaj-vse-prinasa-novi-zakon-o-informacijski-varnosti-in-kaj-morajo-podjetja-ukreniti\/","title":{"rendered":"ZInfV-1: Kaj (vse) prina\u0161a novi Zakon o informacijski varnosti in kaj morajo podjetja ukreniti?"},"content":{"rendered":"

ZInfV-1: kaj prina\u0161a novi Zakon o informacijski varnosti in kaj morajo podjetja ukreniti?<\/strong><\/h1>\n

Kibernetska varnost ni ve\u010d samo tehni\u010dno vpra\u0161anje, temve\u010d postaja ena klju\u010dnih odgovornosti poslovodstva, javnih ustanov in organizacij, ki opravljajo pomembne dru\u017ebene ali gospodarske dejavnosti. Novi Zakon o informacijski varnosti \u2013 ZInfV-1 ureja podro\u010dje informacijske in kibernetske varnosti v Republiki Sloveniji ter dolo\u010da nacionalni sistem informacijske varnosti. Njegov namen je zagotoviti vi\u0161jo raven kibernetske odpornosti organizacij, ki so pomembne za nemoteno delovanje dr\u017eave, gospodarstva in dru\u017ebe.<\/p>\n

ZInfV-1 v slovenski pravni red prena\u0161a evropsko Direktivo NIS 2, torej Evropsko direktivo 2022\/2555, ki na ravni Evropske unije dolo\u010da ukrepe za visoko skupno raven kibernetske varnosti. Poleg tega zakon ureja tudi izvajanje nekaterih evropskih uredb s podro\u010dja kibernetske varnosti, certificiranja IKT ter evropskih mehanizmov za odzivanje na kibernetske gro\u017enje in incidente.<\/p>\n

Zakaj je ZInfV-1 pomemben?<\/strong><\/h4>\n

ZInfV-1 pomeni pomemben premik od splo\u0161nega priporo\u010danja dobrih varnostnih praks k bolj formaliziranim, dokazljivim in nadzorovanim obveznostim. Organizacije, ki spadajo med zavezance, morajo dokazljivo obvladovati kibernetska tveganja, imeti urejeno varnostno dokumentacijo, izvajati tehni\u010dne in organizacijske ukrepe ter poro\u010dati o pomembnih incidentih. Zakon med drugim uvaja raz\u0161irjen krog zavezancev, obveznost samoregistracije, dodatne ukrepe za obvladovanje tveganj, oceno oziroma samooceno skladnosti, redno usposabljanje odgovornih oseb ter mehanizme usklajenega razkrivanja ranljivosti.<\/p>\n

Za podjetja to pomeni, da informacijska varnost ni ve\u010d le naloga IT-oddelka. V praksi se dotika poslovodstva, pravne slu\u017ebe, kadrovske slu\u017ebe, nabave, dobaviteljev, zunanjih izvajalcev in vseh zaposlenih, ki uporabljajo informacijske sisteme organizacije.<\/p>\n

Kaj vse zajema ZInfV-1?<\/strong><\/h4>\n

ZInfV-1 ureja \u0161iroko podro\u010dje informacijske in kibernetske varnosti. Zakon dolo\u010da pristojnosti, naloge, organizacijo in delovanje pristojnega nacionalnega organa za informacijsko varnost, organa za obvladovanje incidentov velikih razse\u017enosti in kriz, enotne kontaktne to\u010dke za kibernetsko varnost ter skupin CSIRT.<\/p>\n

Poleg institucionalne ureditve zakon dolo\u010da tudi ukrepe za obvladovanje tveganj za informacijsko in kibernetsko varnost, obveznosti poro\u010danja zavezancev, prostovoljno priglasitev incidentov, pravila za izmenjavo informacij o kibernetski varnosti, nadzor ter podro\u010dje certificiranja za kibernetsko varnost.<\/p>\n

Zakon torej ne obravnava zgolj odzivanja na incidente, temve\u010d zahteva celovit pristop: od popisa informacijskih sredstev, ocene tveganj, varnostnih politik in neprekinjenega poslovanja do tehni\u010dnih kontrol, upravljanja dobaviteljev, usposabljanja zaposlenih in poro\u010danja pristojnim organom.<\/p>\n

Na koga se zakon nana\u0161a?<\/strong><\/h4>\n

Ena najpomembnej\u0161ih nalog vsake organizacije je ugotoviti, ali spada med zavezance po ZInfV-1. Uradna pojasnila navajajo, da mora subjekt najprej samostojno identificirati, katere dejavnosti ima registrirane in katere dejavnosti dejansko izvaja. Nato mora preveriti, ali te dejavnosti spadajo v sektorje, podsektorje oziroma vrste subjektov iz Priloge 1 ali Priloge 2 tega zakona. Pri tem je pomembno, da vrste dejavnosti iz prilog niso nujno enake dejavnostim po Standardni klasifikaciji dejavnosti, zato ni dovolj preveriti samo registrirane glavne dejavnosti podjetja.<\/p>\n

Po uradnih pojasnilih subjekt praviloma spada med zavezance, \u010de hkrati izpolnjuje tri pogoje: izvaja dejavnost iz Priloge 1 ali Priloge 2, ima vsaj 50 zaposlenih ter dosega letni promet ali letno bilan\u010dno vsoto vsaj 10 milijonov evrov.<\/p>\n

Zavezanci se delijo na bistvene<\/strong> in pomembne subjekte<\/strong>. Med bistvene subjekte spadajo dolo\u010deni subjekti iz visoko kriti\u010dnih sektorjev, kot so energija, promet, ban\u010dni\u0161tvo in zdravje, \u010de izpolnjujejo ustrezne kriterije, ter nekateri drugi posebej dolo\u010deni subjekti. Pomembni subjekti pa so tisti, ki sicer spadajo v podro\u010dje uporabe zakona, vendar niso opredeljeni kot bistveni subjekti.<\/p>\n

Kateri sektorji so zajeti?<\/strong><\/h4>\n

ZInfV-1 zajema \u0161tevilna podro\u010dja, ki so pomembna za delovanje dru\u017ebe in gospodarstva. Med sektorji, ki se pojavljajo v okviru visoko kriti\u010dnih oziroma drugih kriti\u010dnih podro\u010dij, so med drugim energija, promet, ban\u010dni\u0161tvo, infrastruktura finan\u010dnega trga, zdravje, pitna voda, odpadna voda, digitalna infrastruktura, upravljanje storitev IKT, javna uprava, vesolje, po\u0161tne in kurirske storitve, ravnanje z odpadki, kemikalije, \u017eivilska industrija, dolo\u010dena proizvodnja, digitalni ponudniki in raziskave.<\/p>\n

To pomeni, da zakon ne zadeva samo klasi\u010dnih dr\u017eavnih institucij ali velikih infrastrukturnih podjetij. V dolo\u010denih primerih lahko zajame tudi proizvodna podjetja, logisti\u010dne organizacije, ponudnike digitalnih storitev, organizacije s podro\u010dja zdravstva, raziskovalne ustanove ali podjetja, ki zagotavljajo pomembne IKT oziroma upravljane storitve.<\/p>\n

Posebni primeri zavezancev<\/strong><\/h4>\n

Uradna pojasnila izrecno navajajo, da je zavezanec lahko tudi subjekt, ki po dejavnosti ni nujno zajet v Prilogi 1 ali 2, vendar spada v posebne kategorije. Sem sodijo na primer subjekti, dolo\u010deni kot kriti\u010dni na podlagi zakona, ki ureja kriti\u010dno infrastrukturo, subjekti, ki opravljajo storitve registracije domenskih imen, ter subjekti, ki so v dr\u017eavnih na\u010drtih za\u0161\u010dite in re\u0161evanja opredeljeni kot slu\u017ebe dr\u017eavnega pomena, \u010de bi nedelovanje njihovih omre\u017enih in informacijskih sistemov ogrozilo izvajanje nalog za\u0161\u010dite in re\u0161evanja.<\/p>\n

Prav zato je za\u010detna presoja zavezanca pomembna. Organizacija ne sme sklepati zgolj na podlagi svoje glavne dejavnosti ali velikosti, temve\u010d mora preveriti dejansko opravljanje dejavnosti, posebne statuse in morebitne povezave s kriti\u010dnimi storitvami.<\/p>\n

Kaj mora organizacija storiti, \u010de je zavezanec?<\/strong><\/h4>\n

Prvi korak je samoregistracija. Novi zakon navaja, da se morajo subjekti, ki izpolnijo zakonske kriterije, samoregistrirati kot zavezanci najkasneje v 30 dneh od dneva, ko pogoje izpolnijo. Za ta namen je pripravljen spletni obrazec, prek katerega lahko organizacija opravi samoregistracijo, preveri, ali spada med zavezance, in ugotovi, v katero kategorijo sodi.<\/p>\n

Naslednji korak je vzpostavitev ustreznega sistema upravljanja informacijske varnosti. V praksi to pomeni, da mora organizacija pripraviti in vzdr\u017eevati dokumentirane politike, postopke, na\u010drte in evidence, ki dokazujejo, da varnostnih tveganj ne obravnava naklju\u010dno, temve\u010d sistemati\u010dno in nadzorovano.<\/p>\n

Klju\u010dna dokumentacija, ki jo mora imeti organizacija<\/strong><\/h4>\n

Organizacija, ki \u017eeli biti pripravljena na zahteve ZInfV-1, mora imeti urejeno osnovno varnostno dokumentacijo. Ta obi\u010dajno vklju\u010duje politiko informacijske varnosti, popis informacijskih sredstev, analizo tveganj, na\u010drt obvladovanja tveganj, politiko upravljanja dostopov, politiko uporabe gesel in ve\u010dfaktorske avtentikacije, politiko varnostnega kopiranja, na\u010drt neprekinjenega poslovanja, na\u010drt obnovitve po nesre\u010di, na\u010drt odzivanja na incidente in postopek obve\u0161\u010danja pristojne skupine CSIRT.<\/p>\n

Uradna zlo\u017eenka o ZInfV-1 navaja, da lahko in\u0161pekcija pri zavezancu preverja varnostno dokumentacijo, kot so politike, postopki, na\u010drti in ocene tveganj, ter preverja, ali se varnostni ukrepi dejansko izvajajo.<\/p>\n

Zato ni dovolj, da ima organizacija dokumente pripravljene samo formalno. Pomembno je, da se zapisani ukrepi izvajajo v praksi, da obstajajo dokazila o izvajanju in da so odgovornosti jasno dolo\u010dene.<\/p>\n

Tehni\u010dni ukrepi: kaj mora biti urejeno v praksi?<\/strong><\/h4>\n

ZInfV-1 poudarja obvladovanje tveganj, zato morajo organizacije poskrbeti tudi za ustrezne tehni\u010dne varnostne ukrepe. Med najpomembnej\u0161e ukrepe v praksi sodijo urejeno upravljanje uporabni\u0161kih ra\u010dunov, ve\u010dfaktorska avtentikacija, lo\u010deni administratorski ra\u010duni, redno name\u0161\u010danje varnostnih posodobitev, nadzor nad privilegiranimi dostopi, urejeno varnostno kopiranje, testiranje obnovitve podatkov, centralizirano bele\u017eenje dnevni\u0161kih zapisov, za\u0161\u010dita kon\u010dnih naprav, segmentacija omre\u017eja in nadzor nad oddaljenimi dostopi.<\/p>\n

Poleg notranjih ukrepov je pomembno tudi upravljanje dobavne verige. Med podro\u010dji, ki jih naslavljajo pojasnila in odgovori na pogosta vpra\u0161anja, so navedeni tudi ukrepi za obvladovanje tveganj in varnost dobavne verige.<\/p>\n

To pomeni, da mora organizacija vedeti, kateri zunanji izvajalci dostopajo do njenih sistemov, katere storitve zagotavljajo, kak\u0161ni so pogodbeni dogovori, kako se obravnavajo incidenti pri dobaviteljih in kak\u0161ni varnostni standardi veljajo za zunanje partnerje.<\/p>\n

Poro\u010danje o incidentih<\/strong><\/h4>\n

ZInfV-1 dolo\u010da tudi obveznosti glede priglasitve pomembnih incidentov. Uradna zlo\u017eenka navaja ve\u010d faz poro\u010danja: zgodnje sporo\u010dilo z za\u010detno oceno incidenta, priglasitev incidenta z oceno njegove resnosti in vpliva, vmesno poro\u010dilo na zahtevo CSIRT ter kon\u010dno poro\u010dilo. \u010ce incident po enem mesecu \u0161e vedno traja, je predvideno poro\u010dilo o napredku, kon\u010dno poro\u010dilo pa se poda po re\u0161itvi incidenta.<\/p>\n

Pomemben kibernetski incident je v zakonu opredeljen kot incident, ki je povzro\u010dil ali bi lahko povzro\u010dil resne operativne motnje pri opravljanju storitev ali finan\u010dne izgube, ali pa je vplival oziroma bi lahko vplival na druge fizi\u010dne ali pravne osebe s povzro\u010ditvijo precej\u0161nje premo\u017eenjske ali nepremo\u017eenjske \u0161kode.<\/p>\n

Organizacije morajo zato vnaprej dolo\u010diti, kdo interno presoja incident, kdo obve\u0161\u010da vodstvo, kdo vodi komunikacijo s pristojnimi organi in kdo pripravi poro\u010dila. Brez vnaprej pripravljenega postopka lahko organizacija v primeru resnega incidenta izgublja dragocen \u010das.<\/p>\n

Prostovoljna priglasitev incidentov<\/strong><\/h4>\n

Zakonodajni okvir omogo\u010da tudi prostovoljno priglasitev incidentov. Uradna zlo\u017eenka navaja, da je prostovoljna priglasitev namenjena subjektom, ki niso zavezanci po zakonu, ter zavezancem v primerih, ko incident ni razvr\u0161\u010den kot pomemben, vendar bi kljub temu lahko vplival na varnost, stabilnost ali zanesljivost informacijskih sistemov. Prostovoljna priglasitev ni kaznovana in se ne \u0161teje kot priznanje neskladnosti, temve\u010d kot dobra praksa odgovornega ravnanja.<\/p>\n

To je pomembno predvsem pri novih ali \u0161ir\u0161ih gro\u017enjah, ranljivostih, incidentih z mo\u017enim vplivom na ve\u010d organizacij ali primerih, ko \u017eeli subjekt prispevati k skupni kibernetski odpornosti.<\/p>\n

Nadzor in in\u0161pekcijski pregledi<\/strong><\/h4>\n

ZInfV-1 predvideva tudi nadzor nad izvajanjem obveznosti. Uradna zlo\u017eenka navaja, da lahko in\u0161pekcija preverja varnostno dokumentacijo, izvajanje varnostnih ukrepov, opravi tehni\u010dni pregled omre\u017eja ter preveri fizi\u010dno-tehni\u010dno varovanje lokacij, kjer se nahajajo klju\u010dni informacijski sistemi, na primer stre\u017eni\u0161ke sobe.<\/p>\n

Organizacija mora biti zato pripravljena pokazati ne samo pravilnike, ampak tudi dokazila. To so lahko evidence posodobitev, izpisi nastavitev varnostnih kontrol, rezultati testov obnovitve podatkov, evidence usposabljanj, zapisniki varnostnih pregledov, pogodbe z dobavitelji in dokumentirani postopki za obravnavo incidentov.<\/p>\n

Kaj naj podjetje naredi najprej?<\/strong><\/h4>\n

Priporo\u010dljivo je, da podjetje najprej izvede za\u010detno presojo, ali spada med zavezance po ZInfV-1. Ta presoja mora zajeti dejansko opravljanje dejavnosti, primerjavo s Prilogo 1 in Prilogo 2, preverjanje \u0161tevila zaposlenih, letnega prometa in bilan\u010dne vsote ter preverjanje morebitnih posebnih statusov, kot so kriti\u010dna infrastruktura, storitve registracije domenskih imen ali naloge, povezane z za\u0161\u010dito in re\u0161evanjem. Uradna pojasnila poudarjajo, da za presojo ni dovolj upo\u0161tevati samo glavne registrirane dejavnosti, temve\u010d tudi dejansko izvajane dejavnosti.<\/p>\n

\u010ce podjetje ugotovi, da je zavezanec, mora urediti samoregistracijo, dolo\u010diti odgovorne osebe, pripraviti ali posodobiti varnostno dokumentacijo, izvesti analizo tveganj, pregledati tehni\u010dne varnostne ukrepe in vzpostaviti postopek za poro\u010danje incidentov.<\/p>\n

\u010ce podjetje ni zavezanec, to \u0161e ne pomeni, da so ukrepi nepomembni. ZInfV-1 in NIS 2 postavljata standarde, ki bodo postopoma postali pri\u010dakovana raven kibernetske higiene tudi za manj\u0161a podjetja, dobavitelje, zunanje izvajalce in poslovne partnerje ve\u010djih organizacij.<\/p>\n

Prakti\u010dna kontrolna lista za podjetja<\/strong><\/h4>\n

Za za\u010detni pregled priporo\u010damo naslednja vpra\u0161anja:<\/p>\n