Sadržaj vodiča
ISO/IEC 27001:2022 dobar je temelj za NIS2, ali certifikat ne dokazuje da tvrtka ispunjava Zakon o kibernetičkoj sigurnosti. Norma uređuje sustav upravljanja informacijskom sigurnošću (ISMS) u opsegu koji tvrtka sama odredi. Zakon i Uredba propisuju obvezne mjere za kategorizirane subjekte, razinu mjera, prijavu incidenata, dužnosti uprave i reviziju ili samoprocjenu. NCSC-HR izričito navodi da certifikacija prema ISO 27001:2022 nije obvezna, ali može pomoći u usklađivanju.
Vodič pokazuje kako se 13 mjera iz Priloga II. Uredbe povezuje s dijelovima norme, što certifikat ne pokriva i kako izraditi mapu dokaza. Stanje je na 5. studenoga 2026.
Ukratko
- Certifikat nije obvezan: Zakon traži provedbu mjera iz Priloga II. Uredbe, ne certifikaciju. Postojeća ISO dokumentacija može se koristiti i mapirati na mjere iz Uredbe.
- Preklapanje je veliko: upravljanje rizicima, incidenti, kontinuitet, dobavljači, pristup, kriptografija, obuka i fizička sigurnost postoje u oba okvira.
- Praznine su pravne: kategorizacija, obvezna razina mjera, prijava značajnih incidenata u 24 i 72 sata, osobne dužnosti uprave te revizija ili samoprocjena svake dvije godine.
- ENISA mapiranje: za digitalne pružatelje iz Provedbene uredbe (EU) 2024/2690 ENISA je objavila tablicu koja svaki zahtjev povezuje s ISO 27001:2022. Tablica je savjetodavna, ali korisna i za ostale subjekte.
- Revizija: ključni subjekti reviziju provode najmanje jednom u dvije godine kod revizora s nacionalnim sigurnosnim certifikatom. ISO certifikacijski audit nije ta revizija.
Temeljna razlika
| Pitanje | ISO/IEC 27001:2022 | Zakon i Uredba o kibernetičkoj sigurnosti |
|---|---|---|
| Vrsta | Međunarodna norma za ISMS | Zakon koji prenosi Direktivu NIS2 i Uredba s mjerama |
| Tko primjenjuje | Dobrovoljno, ili kada to traži ugovor ili kupac | Obvezno za kategorizirane ključne i važne subjekte |
| Opseg | Tvrtka sama određuje granice ISMS-a | Mrežni i informacijski sustavi kategoriziranog subjekta |
| Kontrole | 93 kontrole iz Priloga A, odabir prema procjeni rizika | 13 mjera s podmjerama, obveznost prema razini (osnovna, srednja, napredna) |
| Provjera | Certifikacijski audit akreditiranog tijela | Revizija ključnih ili samoprocjena važnih subjekata, stručni nadzor |
| Incidenti | Interno upravljanje incidentima | Prijava značajnih incidenata CSIRT-u: 24 sata, 72 sata, 30 dana |
| Uprava | Vodstvo ima obveze unutar sustava upravljanja | Uprava odobrava mjere, nadzire provedbu, mora proći obuku i odgovara za prekršaje |
Okviri se ne isključuju. ISO daje strukturu upravljanja i ponovljive dokaze, a Zakon određuje pravni minimum i posljedice ako se ne provede.
Kako se mjere iz Uredbe povezuju s ISO 27001
Tablica povezuje 13 mjera iz Priloga II. Uredbe s točkama norme i kontrolama iz Priloga A. Brojevi kontrola preuzeti su iz ENISA-ine tablice mapiranja za Provedbenu uredbu 2024/2690 za odgovarajuće teme. Hrvatsko službeno mapiranje ne postoji, pa tablica služi kao polazište za vlastitu analizu, a ne kao dokaz usklađenosti.
| Mjera iz Uredbe | ISO 27001:2022 (točke i kontrole Priloga A) | Što dodatno provjeriti za Zakon |
|---|---|---|
| 1. Predanost i odgovornost uprave | 5.2, 5.3, 9.3; A.5.1 do A.5.4 | Strateški akt koji usvaja upravljačko tijelo, obuka uprave (čl. 29. Zakona), imenovana osoba odgovorna za kibernetičku sigurnost |
| 2. Upravljanje imovinom | A.5.9 do A.5.14, A.7.10 | Popis kritične imovine na koji se pozivaju druge mjere, primjerice 5.8. |
| 3. Upravljanje rizicima | 6.1, 6.2, 8.2, 8.3 | Godišnja lokalna procjena rizika i nacionalna procjena rizika iz kategorizacije |
| 4. Ljudi i digitalni identiteti | 7.1 do 7.3; A.6.1 do A.6.5, A.5.16, A.5.18 | Obuka svih zaposlenika pri zapošljavanju i redovito (4.4.), povezivanje evidencije zaposlenika s pravima pristupa (4.12.) |
| 5. Osnovne prakse kibernetičke higijene | 7.3; A.6.3, A.8.5, A.8.7, A.8.8 | MFA za VPN i SaaS dostupan s interneta (5.3.), zakrpe (5.5.), redovita provjera ranjivosti (5.8.) |
| 6. Sigurnost mreže | A.8.16, A.8.20, A.8.22 | Odvajanje mreža različitih namjena, razmatranje načela nultog povjerenja (6.1.) |
| 7. Kontrola pristupa | A.5.15, A.5.17, A.8.2, A.8.3, A.8.18 | Posebni administratorski računi (7.4.) |
| 8. Lanac opskrbe | A.5.19 do A.5.22, A.8.30 | Sigurnosni zahtjevi i pravo na reviziju u ugovorima s izravnim dobavljačima (8.3.) |
| 9. Razvoj i održavanje | A.8.9, A.8.25, A.8.29, A.8.31 do A.8.34 | Siguran dizajn i arhitektura nultog povjerenja kada subjekt sam razvija sustave (9.4.) |
| 10. Kriptografija | A.8.24 | Politika kriptografije i upravljanje ključevima |
| 11. Postupanje s incidentima | A.5.24 do A.5.28, A.6.8, A.8.15, A.8.16 | Kriteriji značajnog incidenta, platforma PiXi, rokovi prijave |
| 12. Kontinuitet i krizno upravljanje | A.5.29, A.5.30, A.8.13, A.8.14 | Scenariji kibernetičke krize i dokaz stvarnog povrata |
| 13. Fizička sigurnost | A.7.1 do A.7.5, A.7.11 | Opseg prema rizicima subjekta |
| Procjena djelotvornosti | 9.1 do 9.3, 10.1; A.5.35, A.5.36 | Revizija ili samoprocjena prema čl. 34. i 35. Zakona |
Rezultat mapiranja nije postotak. Podatak „pokriveno 87 %” ne znači ništa ako jedna od preostalih praznina onemogućuje prijavu incidenta u 24 sata.
Digitalni pružatelji i Provedbena uredba 2024/2690
Za pružatelje usluga DNS-a, registre vršnih domena, pružatelje računalstva u oblaku, podatkovnih centara i mreža za isporuku sadržaja, pružatelje upravljanih i upravljanih sigurnosnih usluga, internetska tržišta, tražilice, društvene mreže i pružatelje usluga povjerenja tehničke zahtjeve izravno propisuje Provedbena uredba Komisije (EU) 2024/2690 od 17. listopada 2024. Njezini zahtjevi temelje se, prema uvodnoj izjavi 3., na normama kao što su ISO/IEC 27001 i 27002.
ENISA je 26. lipnja 2025. objavila tehničke smjernice za tu uredbu, s primjerima dokaza i tablicom mapiranja na ISO 27001:2022, NIST CSF 2.0 i druge okvire. Važeća verzija tablice je 1.2 iz kolovoza 2025. ENISA naglašava da tablica nije pravno obvezujuća.
Praznine koje certifikat ne zatvara
Kategorizacija i opseg
Opseg ISO certifikata određuje tvrtka, a kategorizaciju provodi nadležno tijelo. Certificirana može biti samo jedna usluga ili lokacija, dok se Zakon odnosi na sve mrežne i informacijske sustave kategoriziranog subjekta. Prvi korak svake analize je obavijest o kategorizaciji: sektor, kategorija, nadležno tijelo, CSIRT i razina mjera. Postupak opisuje vodič NIS2 kategorizacija.
Obvezna razina mjera
Uredba ima osnovnu, srednju i naprednu razinu, a razina iz obavijesti obvezuje subjekt. Svaka podmjera označena je kao obvezna, obvezna pod uvjetom ili dobrovoljna. Procjena rizika iz ISMS-a može opravdati dodatne kontrole, ali ne može isključiti obveznu podmjeru. Izjava o primjenjivosti iz norme to ne rješava jer se oslanja na vlastitu odluku tvrtke.
Prijava incidenata
ISO postupak za incidente treba dopuniti hrvatskim kriterijima značajnog incidenta, ulogama za platformu PiXi, nadležnim CSIRT-om i rokovima: rano upozorenje u 24 sata, početna obavijest u 72 sata i završno izvješće 30 dana od početne obavijesti. Pružatelji usluga povjerenja početnu obavijest šalju već u 24 sata. Detalje opisuje vodič Upravljanje kibernetičkim incidentima.
Dužnosti uprave
Zakon od uprave traži da odobri mjere, nadzire njihovu provedbu i prođe osposobljavanje, a za propuste predviđa prekršajnu odgovornost. Za to treba postojati dokaz neovisan o certifikacijskom auditu: odluke, zapisnici, potvrde o obuci. Posljedice opisuje vodič NIS2 kazne i osobna odgovornost uprave.
Revizija i samoprocjena
ISO certifikacijski audit nije revizija kibernetičke sigurnosti prema Zakonu. Ključni subjekti reviziju provode najmanje jednom u dvije godine i izvješće dostavljaju nadležnom tijelu u osam dana (čl. 34.). Reviziju provode revizori s nacionalnim sigurnosnim certifikatom ili odgovarajućim europskim certifikatom (čl. 32.). Važni subjekti najmanje jednom u dvije godine provode samoprocjenu i dostavljaju izjavu o sukladnosti ili plan ispravljanja (čl. 35.). Revizija se može provesti i u sklopu druge provjere sukladnosti koju propisuju posebni propisi, ali ISO audit sam po sebi tu ulogu nema.
Kako izraditi korisnu mapu
- Popišite pravni okvir za svaku pravnu osobu: usluge i sektor, kategoriju i razinu mjera, nadležno tijelo i CSIRT, datum obavijesti, druge propise poput DORA-e ili GDPR-a i opseg ISO certifikata.
- Razložite mjere na provjerljive iskaze: jedan red za jednu podmjeru. Ne spajajte kontinuitet, sigurnosne kopije i oporavak u jedan red ako ih provode različiti vlasnici.
- Povežite četiri vrste dokaza: upravljački (odluka, politika, prihvaćeni rizik), operativni (zapis provedbe, pregled, odobrenje), tehnički (konfiguracija, zapis sustava, rezultat testa) i dokaz djelotvornosti (metrika, vježba, audit, korektivna radnja).
- Ocijenite prazninu opisno: nije uspostavljeno, djelomično, uspostavljeno bez dovoljno dokaza, provedeno i dokazano, provedeno i redovito poboljšavano. Uz ocjenu navedite nalaz, rizik, vlasnika i rok.
- Mapu vodite odvojeno od Izjave o primjenjivosti. Izjava ima svoju svrhu unutar ISMS-a. Mapa za Zakon treba biti zaseban dokument koji upućuje na ISMS dokumente, kako promjena propisa ne bi mijenjala certifikacijsku dokumentaciju.
- Testirajte najrizičnije tokove: vježbu značajnog incidenta s prijavom u 24 sata, test povrata kritične usluge, provjeru administratorskih pristupa, pregled kritičnog dobavljača i trag od odluke uprave do zatvorene korektivne radnje.
Dokument koji opisuje kako će se nešto raditi nije dokaz da se to redovito radi.
Kada ISO certifikacija ima smisla
Certifikat nije preduvjet za usklađivanje sa Zakonom. Subjekt može izravno uvesti mjere iz Uredbe, lokalnu procjenu rizika i dokaze. Ako ranije nije koristio nijedan okvir, NCSC-HR preporučuje kontrole koje je za samoprocjenu razradio Zavod za sigurnost informacijskih sustava.
ISO 27001 ima smisla kada ga traže kupci ili natječaji, kada tvrtka posluje izvan Hrvatske ili kada želi neovisnu potvrdu šireg sustava upravljanja. Tada je razuman redoslijed:
- uskladiti pravni i poslovni opseg;
- izgraditi zajedničke upravljačke procese za oba okvira;
- zatvoriti praznine specifične za Zakon;
- provesti interni audit;
- tek onda pristupiti certifikacijskom auditu.
Strukturu norme, kontrole i postupak certifikacije objašnjava vodič Što je ISO 27001.
Česta pitanja
Je li ISO 27001 dovoljan za NIS2?
Ne. Certifikat može pokazati zreo ISMS u određenom opsegu, ali ne pokriva kategorizaciju, obveznu razinu mjera, prijavu značajnih incidenata, osobne dužnosti uprave ni reviziju ili samoprocjenu prema Zakonu.
Moramo li se certificirati prema ISO 27001?
Ne. NCSC-HR navodi da Zakon ne traži certifikaciju prema ISO 27001:2022, nego provedbu mjera iz Priloga II. Uredbe. Certifikat može tražiti kupac, natječaj ili ugovor.
Možemo li koristiti postojeću ISO dokumentaciju?
Da. NCSC-HR navodi da subjekt koji već koristi ISO 27001 može pratiti postojeću dokumentaciju i mapirati mjere iz Uredbe na normu. Treba provjeriti opseg i dopuniti elemente specifične za Zakon.
Postoji li službeno mapiranje NIS2 i ISO 27001?
Za Hrvatsku ne postoji službeno mapiranje Uredbe na ISO 27001. ENISA je objavila savjetodavnu tablicu za Provedbenu uredbu 2024/2690, koja se odnosi na digitalne pružatelje, ali je korisna polazna točka i za druge subjekte.
Dokazuje li ISO certifikat dobavljača da je on NIS2 usklađen?
Ne. Provjerite pravnu osobu, opseg certifikata i uslugu koju koristite, a ugovorom uredite sigurnosne zahtjeve, upravljanje ranjivostima i obavještavanje o incidentima kako traži mjera 8.3. Uredbe.
Je li ISO certifikacijski audit isto što i revizija prema Zakonu?
Nije. Reviziju prema Zakonu provode revizori s nacionalnim sigurnosnim certifikatom ili odgovarajućim europskim certifikatom, a izvješće se dostavlja nadležnom tijelu. ISO audit provodi certifikacijsko tijelo za potrebe certifikata.
Koju verziju norme koristiti?
ISO/IEC 27001:2022 s Amandmanom 1:2024. Prijelazno razdoblje za certifikate prema izdanju iz 2013. završilo je 31. listopada 2025.
Sljedeći korak
Analizu razlika između postojećeg ISMS-a i mjera iz Uredbe, mapu dokaza i pripremu za reviziju ili samoprocjenu radimo kroz uslugu NIS2 usklađenosti. Uvođenje i certifikaciju norme pokrivamo kroz ISO 27001 savjetovanje. Pregled cijelog Zakona donosi vodič NIS2 direktiva u Hrvatskoj.
Izvori i pregled
Pregledano 5. studenoga 2026. Brojevi točaka i kontrola norme navedeni su bez prenošenja zaštićenog teksta norme.
- Zakon o kibernetičkoj sigurnosti, NN 14/2024
- Uredba o kibernetičkoj sigurnosti, NN 135/2024, Prilog II.
- NCSC-HR: Pitanja kategoriziranih subjekata
- Provedbena uredba Komisije (EU) 2024/2690
- ENISA: NIS2 Technical Implementation Guidance, lipanj 2025.
- ENISA: tablica mapiranja, verzija 1.2
- ISO: ISO/IEC 27001:2022
- Direktiva (EU) 2022/2555 (NIS2)
Vodič daje opće informacije. Mapa za konkretan subjekt izrađuje se prema obavijesti o kategorizaciji, razini mjera i stvarnim dokazima.
Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.