U Hrvatskoj se NIS2 provodi kroz Zakon o kibernetičkoj sigurnosti (NN 14/2024) i Uredbu o kibernetičkoj sigurnosti (NN 135/2024). Za organizaciju zato nije dovoljno čitati samo tekst Direktive: treba provjeriti hrvatsku kategoriju, obavijest nadležnog tijela, određenu razinu mjera i sektorski CSIRT.
Najvažnija praktična činjenica u 2026. jest da ne postoji jedan novi opći rok za sve tvrtke. Ključni rokovi uglavnom teku od dana kada je subjekt zaprimio obavijest o kategorizaciji. Ako pravna osoba posluje u obuhvaćenom sektoru i smatra da ispunjava kriterije, ali nije zaprimila obavijest, NCSC-HR poziva je da se obrati nadležnom tijelu.
NIS2 u Hrvatskoj ukratko
- Formalnu kategorizaciju provode nadležna tijela; interna procjena organizacije nije zamjena za službenu obavijest.
- Hrvatski okvir obuhvaća 19 sektora i razlikuje ključne i važne subjekte.
- Mjere moraju biti odgovarajuće, razmjerne riziku i usklađene s razinom određenom subjektu.
- Značajni incident prijavljuje se kroz rano upozorenje u 24 sata, početnu obavijest u 72 sata i završno izvješće 30 dana nakon početne obavijesti.
- Upravljačko tijelo odobrava mjere, kontrolira njihovu provedbu i mora se odgovarajuće osposobljavati.
Primjenjuje li se NIS2 na vašu organizaciju
Početna provjera ima četiri dijela:
- Pruža li pravna osoba uslugu ili obavlja djelatnost navedenu u Prilogu I. ili II. Zakona?
- Odgovara li zakonskoj vrsti subjekta unutar tog sektora?
- Ispunjava li kriterij veličine, uz pravilno uračunavanje partnerskih i povezanih poduzeća?
- Postoji li poseban kriterij zbog kojeg se subjekt može ili mora kategorizirati neovisno o veličini?
Odgovor „naša glavna NKD djelatnost nije na popisu“ nije dovoljan. Mjerodavna je stvarna usluga ili djelatnost, a Zakon zahtjeve primjenjuje na mrežne i informacijske sustave koje kategorizirani subjekt koristi u poslovanju, uključujući sustave povezane s drugim djelatnostima.
Za brzu orijentaciju možete koristiti NIS2 provjeru i gap analizu, ali konačan status proizlazi iz postupka nadležnog tijela.
Ključni i važni subjekti
Kategorije ne znače „obveznik“ i „neobveznik“. I ključni i važni subjekti imaju obveze upravljanja rizicima, prijave značajnih incidenata i odgovornosti upravljačkog tijela. Razlike su ponajprije u nadzoru, načinu periodične provjere i rasponu kazni.
| Pitanje | Ključni subjekt | Važni subjekt |
|---|---|---|
| Opći kriterij | U pravilu veći subjekti iz Priloga I. te posebno navedene vrste | U pravilu srednji subjekti iz Priloga I. te srednji i veći iz Priloga II. |
| Posebni slučajevi | Određene digitalne, komunikacijske, javne i kritične usluge neovisno o veličini | Određene vrste subjekata i posebne procjene neovisno o veličini |
| Periodična provjera | Revizija kibernetičke sigurnosti | Samoprocjena; ciljanu reviziju može naložiti nadležno tijelo |
| Nadzor | Može biti proaktivan i reaktivan | U pravilu se pokreće na temelju saznanja o mogućoj povredi |
| Najviši raspon kazne za subjekt | Do 10 milijuna eura ili do 2% svjetskog godišnjeg prometa | Do 7 milijuna eura ili do 1,4% svjetskog godišnjeg prometa |
Ovo je sažetak, a ne formula za samostalno pravno razvrstavanje. Primjerice, Zakon posebno uređuje pružatelje DNS-a i usluga povjerenja, elektroničke komunikacije, javni sektor, državnu informacijsku infrastrukturu, kritične subjekte i sustav obrazovanja.
Devetnaest sektora u hrvatskom okviru
Prilog I. obuhvaća sektore visoke kritičnosti:
- energetika
- promet
- bankarstvo
- infrastruktura financijskog tržišta
- zdravstvo
- voda za ljudsku potrošnju
- otpadne vode
- digitalna infrastruktura
- upravljanje IKT uslugama između poslovnih subjekata
- javna uprava
- svemir.
Prilog II. obuhvaća druge kritične sektore:
- poštanske i kurirske usluge
- gospodarenje otpadom
- izradu, proizvodnju i distribuciju kemikalija
- proizvodnju, preradu i distribuciju hrane
- određenu proizvodnju
- pružatelje digitalnih usluga
- istraživanje
- sustav obrazovanja.
Zbog nacionalnog uključivanja sustava obrazovanja hrvatski Zakon govori o ukupno 19 sektora, dok se u sažecima same Direktive često navodi 18. To je važna razlika za sadržaj usmjeren hrvatskim organizacijama.
Stanje provedbe u 2026.
NCSC-HR je u rujnu 2025. objavio da je usklađeni proces inicijalne kategorizacije proveden i pozvao pravne osobe koje smatraju da ispunjavaju kriterije, a nisu zaprimile obavijest, da se jave sektorski nadležnom tijelu.
Prema službenom pregledu za drugo tromjesečje 2026., u Hrvatskoj je tada bilo kategorizirano 798 pravnih osoba: 162 ključna i 636 važnih subjekata. Broj je vremenski presjek, a ne konačan zatvoren popis. Popisi kategoriziranih subjekata nisu javni i nadležna tijela ih redovito provjeravaju i ažuriraju.
Rokovi nakon obavijesti o kategorizaciji
NCSC-HR u aktualnim pitanjima kategoriziranih subjekata navodi ovaj slijed:
| Rok od primitka obavijesti | Obveza |
|---|---|
| 15 dana | Dostava traženih podataka o subjektu prema uputi nadležnog tijela |
| 30 dana | Početak prijavljivanja značajnih incidenata nadležnom CSIRT-u i prethodna prijava na PiXi |
| 1 godina | Inicijalna provedba mjera prema određenoj osnovnoj, srednjoj ili naprednoj razini |
| 2. godina | Unaprjeđenje mjera kroz lokalno upravljanje rizicima |
| 3. godina | Prva revizija za ključni odnosno samoprocjena za važni subjekt |
Za naknadnu promjenu kategorije Zakon dopušta drukčiji rok: nadležno tijelo ga određuje u obavijesti, između 60 dana i šest mjeseci, ovisno o opsegu i složenosti novih obveza.
Rok se stoga dokazuje datumom primitka konkretne obavijesti. Generički datum s interneta nije sigurna osnova za plan projekta.
Obvezne mjere upravljanja rizicima
Članak 21. Direktive NIS2 i članak 30. hrvatskog Zakona postavljaju područja koja treba obuhvatiti. Organizacija mora uspostaviti odgovarajuće i razmjerne mjere za:
- politiku analize rizika i sigurnost informacijskih sustava
- postupanje s incidentima
- kontinuitet, sigurnosne kopije, oporavak i krizno upravljanje
- sigurnost lanca opskrbe i odnosa s izravnim dobavljačima
- sigurnost nabave, razvoja i održavanja te upravljanje ranjivostima
- procjenu djelotvornosti mjera
- kibernetičku higijenu i osposobljavanje
- kriptografiju i, prema potrebi, kriptiranje
- sigurnost ljudskih resursa, pristupa i imovine
- višefaktorsku ili kontinuiranu autentikaciju te zaštićene komunikacije, prema potrebi.
Uredba detaljnije razrađuje tri razine mjera. Subjekt ne bira sam koja mu je razina obvezujuća; razina je navedena u obavijesti o kategorizaciji na temelju nacionalne procjene rizika. Lokalna procjena služi prilagodbi i uvođenju dodatnih mjera, a ne ukidanju obvezujućih.
Prijava značajnog incidenta
Nije svaki sigurnosni događaj značajan incident. Uredba sadrži opće i sektorske kriterije, uključujući težak operativni poremećaj, financijski gubitak, znatnu materijalnu ili nematerijalnu štetu te određene pragove dostupnosti, cjelovitosti, autentičnosti i povjerljivosti.
Kada kategorizirani subjekt sazna za značajan incident:
- dostavlja rano upozorenje bez odgode, najkasnije u 24 sata
- dostavlja početnu obavijest bez odgode, najkasnije u 72 sata
- po potrebi dostavlja privremeno izvješće ili izvješće o napretku
- završno izvješće dostavlja najkasnije 30 dana od početne obavijesti.
Za pružatelje usluga povjerenja postoji posebna 24-satna početna obavijest. Prijava ide nadležnom CSIRT-u prema sektoru i službenim uputama, pa nije točno sve incidente automatski usmjeriti istom tijelu.
Rok počinje od saznanja za značajan incident, ne od završetka forenzike. Postupak mora omogućiti ranu procjenu, evidentiranje vremena i odobrenu eskalaciju izvan radnog vremena.
Odgovornost upravljačkog tijela
Članak 20. NIS2 i članak 29. hrvatskog Zakona upravljanje kibernetičkom sigurnošću stavljaju na razinu upravljačkog tijela. Odgovorne osobe moraju:
- odobravati mjere
- kontrolirati njihovu provedbu
- pohađati odgovarajuća osposobljavanja
- zaposlenicima omogućiti odgovarajuća osposobljavanja.
Operativni zadaci mogu se dodijeliti CISO-u, IT-u ili vanjskom pružatelju, ali to ne uklanja zakonske dužnosti upravljačkog tijela. U praksi su važni zapisnici, odluke, prihvaćanje rizika, odobreni resursi i praćenje korektivnih radnji.
Hrvatske kazne i korektivne mjere
Hrvatski Zakon propisuje pune raspone, a ne samo europske gornje granice:
- ključni subjekt: 10.000 do 10.000.000 eura ili 0,5% do najviše 2% svjetskog godišnjeg prometa, ovisno o tome koji je iznos veći
- važni subjekt: 5.000 do 7.000.000 eura ili 0,2% do najviše 1,4% svjetskog godišnjeg prometa, ovisno o tome koji je iznos veći
- odgovorne fizičke osobe ključnog subjekta: 1.000 do 6.000 eura
- odgovorne fizičke osobe važnog subjekta: 500 do 3.000 eura.
Uz kazne postoje upozorenja, obvezujuće upute i nalozi, objava aspekata povrede te druge korektivne mjere. Za ključni subjekt koji ne postupi po korektivnim mjerama nadležno tijelo pod zakonskim uvjetima može tražiti privremenu suspenziju ovlaštenja ili privremenu zabranu upravljačkih dužnosti određenim odgovornim osobama.
Incident sam po sebi nije automatski prekršaj. Odgovornost se veže uz neprovođenje obveza, neprijavljivanje, nesuradnju ili nepostupanje po mjerama, što se utvrđuje u propisanom postupku.
NIS2 i GDPR
Isti događaj može aktivirati različite obveze. NIS2 štiti sigurnost mrežnih i informacijskih sustava i kontinuitet usluga; GDPR uređuje povredu osobnih podataka i prava ispitanika. Rokovi, pragovi, sadržaj i primatelji prijave nisu isti.
Ne treba automatski zbrajati maksimalne kazne. Hrvatski Zakon u članku 86. sadrži zaštitu od prekršajnog kažnjavanja u stručnom nadzoru za isto postupanje za koje je tijelo za zaštitu osobnih podataka već izreklo GDPR kaznu. Različite povrede ipak mogu otvoriti različite postupke.
Plan usklađivanja u sedam koraka
- Potvrdite status i opseg. Prikupite obavijest, sektor, kategoriju, razinu mjera, nadležno tijelo i CSIRT.
- Imenujte vlasnike. Formalizirajte odgovorne osobe, kontakt za podatke, incidentne uloge i zamjene.
- Usporedite postojeće stanje s Uredbom. Za svaku obvezu zabilježite dokaz, prazninu, rizik i vlasnika.
- Prioritizirajte kritične ovisnosti. Identiteti, javno izloženi sustavi, sigurnosne kopije, nadzor i ključni dobavljači obično nose najveći operativni rizik.
- Uspostavite prijavu incidenata. Uvježbajte 24/72/30 tijek i PiXi pristup prije događaja.
- Uključite upravu. Odobrite mjere, resurse, rizike i ritam izvješćivanja; provedite osposobljavanje.
- Testirajte i čuvajte dokaze. Vježbe, povrati, pregledi pristupa, dobavljački nadzor i korektivne radnje trebaju ostaviti provjerljiv trag.
Česta pitanja
Jesmo li obveznik ako nismo primili obavijest?
Temeljne obveze koje Zakon veže uz status ključnog ili važnog subjekta nastupaju prema rokovima povezanim sa službenom kategorizacijom i dostavom obavijesti. To ipak ne znači da prije obavijesti nema obveza: obveza iz članka 20. znači da subjekt iz Priloga I. ili II. mora, na zahtjev nadležnog tijela, u ostavljenom roku od 15 do 45 dana dostaviti podatke potrebne za kategorizaciju i vođenje popisa te promjene tih podataka prijaviti bez odgode, najkasnije u dva tjedna.
Prekršajne odredbe članka 103. za nedostavljanje, zakašnjelu dostavu ili nepravodobno ažuriranje tih podataka predviđaju kaznu od 2.000 do 20.000 eura za subjekt i od 200 do 1.000 eura za odgovornu osobu. Ako poslujete u sektoru iz Priloga I. ili II. i smatrate da ispunjavate kriterije, NCSC-HR poziva da se javite sektorski nadležnom tijelu; izostanak obavijesti nije razlog za ignoriranje mogućeg opsega.
Je li rok za NIS2 bio 17. listopada 2024.?
To je bio rok državama članicama za prenošenje Direktive. Hrvatska je Zakon donijela ranije, a provedbeni rokovi za subjekt vezani su prvenstveno uz njegovu obavijest o kategorizaciji i Uredbu.
Je li ISO/IEC 27001 certifikat dovoljan?
Ne. Može biti koristan temelj, ali NCSC-HR navodi da certifikacija nije obvezna niti zamjenjuje hrvatske mjere, kategorizaciju, rokove prijave i propisane provjere.
Moraju li dobavljači biti NIS2 obveznici?
Ne moraju svi. Kategorizirani subjekt ipak mora upravljati sigurnošću lanca opskrbe i ugovorima bez obzira na to je li dobavljač zasebno kategoriziran.
Tko provodi nadzor?
Ovisi o sektoru i posebnom zakonu. Prilog III. Zakona raspodjeljuje nadležna tijela i CSIRT-ove. NCSC-HR ima središnje uloge, ali nije jedino nadležno tijelo za sve subjekte.
Izvori i pregled
Pregledano 8. kolovoza 2026. Članak razlikuje obvezujući tekst Zakona i Uredbe od operativnih pojašnjenja NCSC-HR. Za konkretan status, razinu mjera i rokove mjerodavna je individualna obavijest te uputa nadležnog tijela.
Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.