NIS2 obveznici: ključni i važni subjekti i kategorizacija

NIS2 obveznici u Hrvatskoj su ključni i važni subjekti prema Zakonu o kibernetičkoj sigurnosti (NN 14/2024). To su srednji i veliki subjekti iz 19 sektora navedenih u prilozima Zakona te, neovisno o veličini, tijela državne uprave, pružatelji usluga povjerenja, DNS-a i drugi subjekti koje Zakon posebno navodi. Subjekt ne određuje sam svoj status: nadležno tijelo provodi kategorizaciju i šalje mu obavijest s kategorijom i obvezama.

Prema pregledu Nacionalnog centra za kibernetičku sigurnost (NCSC-HR) za treće tromjesečje 2026., kategorizirano je 799 pravnih osoba: 162 ključna i 637 važnih subjekata. Vodič prikazuje stanje na 4. studenoga 2026.

Ukratko

• Tri puta do obveze: djelatnost u jednom od 19 sektora i veličina srednjeg subjekta ili veća; djelatnost koju Zakon obuhvaća neovisno o veličini; posebni kriteriji kada je subjekt važan za društvo ili gospodarstvo.
• Srednji subjekt ima 50 ili više zaposlenih ili i godišnji prihod i aktivu veće od 10 milijuna eura. Veliki subjekt ima 250 ili više zaposlenih ili prihod veći od 50 milijuna eura i aktivu veću od 43 milijuna eura.
• Ključni subjekt je u pravilu veliki subjekt iz Priloga I. (sektori visoke kritičnosti). Važni subjekt je srednji subjekt iz Priloga I. ili srednji i veliki subjekt iz Priloga II.
• Gradovi, općine i županije razvrstavaju se kao važni subjekti ako ispune barem jedan od četiri kriterija iz Uredbe. Tijela državne uprave su ključni subjekti.
• Kategorizaciju provode NCSC-HR za većinu sektora, HNB za banke, HANFA za infrastrukturu financijskog tržišta, HAKOM za elektroničke komunikacije, a za javni sektor središnje državno tijelo za informacijsku sigurnost.
• Nakon obavijesti: podaci u 15 dana, prijava na platformu PiXi i prijave incidenata u 30 dana, provedba mjera u godinu dana, prva samoprocjena ili revizija u trećoj godini.
• Popisi obveznika nisu javni (čl. 73. Zakona).

Tko je obveznik Zakona o kibernetičkoj sigurnosti

Subjekt je obveznik ako ispunjava jedan od tri skupa kriterija:

1. Opći kriteriji (čl. 9. i 10. Zakona): obavlja djelatnost iz Priloga I. ili Priloga II. i ima veličinu srednjeg subjekta malog gospodarstva ili veću.
2. Obuhvat neovisno o veličini (čl. 9., 10. i 12.): kvalificirani i drugi pružatelji usluga povjerenja, registar vršne nacionalne domene .hr, pružatelji usluga DNS-a, informacijski posrednici u razmjeni e-računa, kritični subjekti prema zakonu o kritičnoj infrastrukturi, tijela državne uprave i subjekti koji upravljaju državnom informacijskom infrastrukturom.
3. Posebni kriteriji (čl. 11.): subjekt je jedini pružatelj usluge ključne za društvo ili gospodarstvo, njegov bi poremećaj imao znatan učinak na javnu sigurnost ili zdravlje, uzrokovao bi sistemske rizike ili je od posebne važnosti na nacionalnoj, regionalnoj ili lokalnoj razini.

Zakon obuhvaća subjekte s poslovnim nastanom u Hrvatskoj koji usluge pružaju ili djelatnost obavljaju u Europskoj uniji (čl. 14.). Dvije su iznimke: pružatelji javnih elektroničkih komunikacijskih mreža i usluga obuhvaćeni su ako usluge pružaju u Hrvatskoj, neovisno o sjedištu, a pružatelji usluga DNS-a, računalstva u oblaku, podatkovnih centara, upravljanih i upravljanih sigurnosnih usluga, internetskih tržišta, tražilica i društvenih mreža ako u Hrvatskoj imaju glavni poslovni nastan ili predstavnika.

19 sektora iz Zakona

Prilog I. Sektori visoke kritičnosti

Prilog II. Drugi kritični sektori

Sustav obrazovanja hrvatski je dodatak popisu iz Direktive NIS2. Nadležni CSIRT za bankarstvo, infrastrukturu financijskog tržišta, registar domene .hr, istraživanje i obrazovanje je Nacionalni CERT, a za ostale sektore NCSC-HR (Prilog III. Zakona).

Ključni i važni subjekti: kriteriji

Ako je subjekt razvrstan i kao ključni i kao važni, primjenjuju se odredbe za ključne subjekte (čl. 16.).

Veličina subjekta

Zakon za veličinu upućuje na Zakon o poticanju razvoja malog gospodarstva i uzima u obzir godišnji prosjek broja zaposlenika te godišnji poslovni prihod ili ukupnu aktivu iz financijskih izvještaja za prethodnu godinu (čl. 15.).

NCSC-HR u odgovorima na česta pitanja navodi pojednostavnjene raspone: srednji subjekt zapošljava između 50 i 249 osoba i ima godišnji promet od 10 do 50 milijuna eura ili bilancu od 10 do 43 milijuna eura. Za granične slučajeve mjerodavna su pravila Zakona o poticanju razvoja malog gospodarstva i Vodič Europske komisije o definiciji malih i srednjih poduzeća, na koje NCSC-HR upućuje.

Tri pravila koja se često previde:

• Financijska granica: subjekt s 30 zaposlenih, prihodom od 15 i aktivom od 12 milijuna eura nije mali subjekt, jer i prihod i aktiva prelaze 10 milijuna eura.
• Cijela djelatnost: veličina se računa za subjekt u cjelini, neovisno o tome obavlja li i djelatnosti izvan priloga Zakona.
• Povezana i partnerska društva: subjekt je neovisan ako druga društva koja nisu malo gospodarstvo ne drže više od 25 % udjela ili prava odlučivanja. Inače se podaci povezanih i partnerskih društava uključuju prema Preporuci Komisije 2003/361/EZ, a Zakon traži da se uzmu u obzir smjernice Europske komisije o kriteriju veličine.

Subjekti obuhvaćeni neovisno o veličini

Uredba o kibernetičkoj sigurnosti (NN 135/2024) razrađuje posebne kriterije iz čl. 11. Zakona:

• Pružatelji upravljanih usluga i upravljanih sigurnosnih usluga koji te usluge pružaju ključnim i važnim subjektima razvrstavaju se kao važni subjekti (čl. 11. Uredbe). To je važno za IT tvrtke koje održavaju sustave bolnica, banaka, energetskih ili komunalnih poduzeća.
• Pravne osobe od posebnog interesa za Republiku Hrvatsku, određene odlukom Vlade, razvrstavaju se kao ključni subjekti ako su iz Priloga I., odnosno kao važni ako su iz Priloga II. (čl. 12. st. 1. do 3. Uredbe).
• Regionalni i lokalni značaj: subjekti iz električne energije, centraliziranog grijanja i hlađenja, plina, vode za ljudsku potrošnju i otpadnih voda s tržišnim udjelom od 40 % ili više u jednoj županiji razvrstavaju se kao ključni subjekti. Pružatelji poštanskih i kurirskih usluga s takvim udjelom razvrstavaju se kao važni (čl. 12. st. 4. do 6. Uredbe).

Komunalno poduzeće za vodu ili grijanje s 40 zaposlenih može zato biti ključni subjekt, iako je po veličini mali subjekt.

Javni sektor, gradovi, općine i škole

Tijela državne uprave razvrstavaju se kao ključni subjekti neovisno o veličini. Druga državna tijela i pravne osobe s javnim ovlastima razvrstavaju se kao ključni subjekti ako im je osnivač Republika Hrvatska, djeluju na nacionalnoj razini, nisu već kategorizirani u drugom sektoru, a značajan incident kod njih može izazvati ozbiljne posljedice za život i zdravlje, materijalnu štetu, poremećaj rada, posljedice za druge sektore ili negativne javne učinke (čl. 14. Uredbe).

Jedinice lokalne i područne (regionalne) samouprave razvrstavaju se kao važni subjekti ako ispunjavaju najmanje jedan kriterij (čl. 15. Uredbe):

• obavljaju poslove od područnog (regionalnog) značaja;
• gospodarska su, financijska, kulturna, zdravstvena, prometna i znanstvena središta razvitka šireg okruženja;
• ovlaštene su provoditi poslove gospodarskog razvoja te planiranja i razvoja mreže obrazovnih, zdravstvenih, socijalnih i kulturnih ustanova;
• povjereni su im poslovi državne uprave.

Obrazovne ustanove razvrstavaju se kao važni subjekti ako pružaju e-usluge nacionalnih informacijskih sustava za obrazovanje, ako su visoka učilišta koja provode primijenjena istraživanja ili pružaju usluge informacijskih sustava značajnih za obrazovanje, ili ako provode vanjsko vrednovanje i nacionalne ispite (čl. 16. Uredbe).

Bolnice, domovi zdravlja i druge zdravstvene ustanove pripadaju sektoru zdravstva iz Priloga I. Za njih vrijede opći kriteriji veličine: ustanova srednje veličine je važni, a velika ključni subjekt. Vlasništvo ili osnivač ne mijenjaju to pravilo.

Tko provodi kategorizaciju

Kategorizaciju provode i popise vode nadležna tijela za provedbu zahtjeva kibernetičke sigurnosti i tijela nadležna prema posebnim zakonima (čl. 17. Zakona). Popise provjeravaju najmanje jednom u dvije godine. Subjektu u roku od 30 dana od kategorizacije šalju obavijest o provedenoj kategorizaciji s kategorijom, razinom mjera i obvezama (čl. 19.).

Razinu mjera određuje nacionalna procjena rizika: za nisku razinu rizika subjekt provodi osnovnu, za srednju srednju, a za visoku naprednu razinu mjera iz Priloga II. Uredbe (čl. 38. Uredbe).

Nadležno tijelo prikuplja podatke od samih subjekata i iz javnih registara. Subjekt na zahtjev dostavlja naziv, kontakte, IP adresne raspone, sektor i vrstu subjekta te države u kojima pruža usluge, u roku koji ne može biti kraći od 15 ni duži od 45 dana (čl. 20.). Promjene podataka prijavljuje u dva tjedna. Osoba za kontakt odgovorna za dostavu podataka mora biti član uprave, državni dužnosnik ili izvršno tijelo jedinice lokalne samouprave (čl. 17. Uredbe).

Pružatelji usluga DNS-a, registrari, pružatelji računalstva u oblaku, podatkovnih centara, mreža za isporuku sadržaja, upravljanih i upravljanih sigurnosnih usluga, internetskih tržišta, tražilica i društvenih mreža upisuju se i u poseban registar NCSC-HR-a (čl. 22. Zakona), neovisno o popisu ključnih i važnih subjekata.

Što ako niste dobili obavijest

NCSC-HR je 17. rujna 2025. objavio da je inicijalna kategorizacija provedena i da su kategorizirani subjekti iz svih sektora zaprimili obavijesti. Pravne osobe koje posluju u djelatnostima iz Priloga I. i II., smatraju da ispunjavaju kriterije, a obavijest nisu dobile, trebaju se javiti nadležnom tijelu za svoj sektor prema Prilogu III. Zakona.

Prijava sadrži:

• naziv i OIB pravne osobe;
• podatke za kontakt;
• kratak opis djelatnosti zbog koje subjekt smatra da je u obuhvatu Zakona;
• broj zaposlenika te godišnji promet i bilancu za posljednju zaključenu poslovnu godinu.

Subjekti iz sektora za koje je nadležan NCSC-HR prijavljuju se e-poštom na adresu objavljenu na stranici ncsc.hr.

Rokovi nakon kategorizacije

Prema Zakonu i odgovorima NCSC-HR-a kategoriziranim subjektima:

Za značajan incident subjekt šalje rano upozorenje u 24 sata, početnu obavijest u 72 sata i završno izvješće u 30 dana (čl. 66., 67. i 70. Uredbe).

Razlike u obvezama ključnih i važnih subjekata

Obje kategorije imaju istu obvezu odgovornosti uprave: članovi upravljačkog tijela odgovaraju za provedbu mjera i moraju proći osposobljavanje. Detaljno u vodiču o kaznama i odgovornosti uprave.

Najčešće pogreške pri procjeni

• „Imamo manje od 50 zaposlenih.” Prihod i aktiva iznad 10 milijuna eura, podaci grupe ili kriterij neovisan o veličini mogu subjekt ipak učiniti obveznikom.
• Gledanje samo glavne djelatnosti iz NKD-a. Obuhvat određuje usluga koju subjekt stvarno pruža, primjerice podatkovni centar unutar tvrtke koja je registrirana za drugu djelatnost.
• Zanemarivanje uloge dobavljača. IT tvrtka koja održava sustave ključnih i važnih subjekata može biti važni subjekt kao pružatelj upravljanih usluga.
• Čekanje bez provjere. Ako subjekt ispunjava kriterije, a obavijest nije stigla, NCSC-HR traži da se javi sam.
• Pretpostavka da je javna ustanova izuzeta. Gradovi, županije, škole, bolnice i komunalna poduzeća imaju vlastite kriterije.
• Kategorija bez plana. Rok od godine dana za provedbu mjera teče od obavijesti, a nadležno tijelo ne šalje podsjetnik.

Što pripremiti za početnu provjeru

Kratki interni dokument za upravu treba sadržavati:

1. popis usluga i djelatnosti s oznakom sektora i vrste subjekta iz priloga Zakona;
2. broj zaposlenika, prihod i aktivu za prethodnu godinu, za subjekt i za povezana i partnerska društva;
3. ugovore s klijentima koji su ključni ili važni subjekti, ako tvrtka pruža IT ili sigurnosne usluge;
4. tržišni udio u županiji za komunalne, energetske i poštanske djelatnosti;
5. zaključak o vjerojatnoj kategoriji, s obrazloženjem i datumom;
6. odgovornu osobu iz uprave za komunikaciju s nadležnim tijelom.

Takav dokument pomaže i kod upita nadležnom tijelu i kod pripreme za mjere nakon obavijesti. Brzu orijentacijsku provjeru možete napraviti alatom NIS2 provjera.

Česta pitanja

Sljedeći korak

Provjeru obuhvata i kategorije, plan mjera prema razini iz obavijesti, samoprocjenu i pripremu za reviziju radimo u sklopu usluge NIS2 usklađenosti. Opći pregled Zakona i Uredbe donosi vodič NIS2 direktiva u Hrvatskoj.

Izvori i pregled

Pregledano 4. studenoga 2026. prema sljedećim primarnim izvorima:

• Zakon o kibernetičkoj sigurnosti, NN 14/2024
• Uredba o kibernetičkoj sigurnosti, NN 135/2024
• Zakon o poticanju razvoja malog gospodarstva, pročišćeni tekst
• NCSC-HR: Pregled implementacije Zakona o kibernetičkoj sigurnosti, Q3 2026.
• NCSC-HR: Poziv pravnim osobama za uključivanje u proces kategorizacije, 17. rujna 2025.
• NCSC-HR: Pitanja kategoriziranih subjekata
• NCSC-HR: Česta pitanja o Zakonu o kibernetičkoj sigurnosti
• Preporuka Komisije 2003/361/EZ o definiciji mikro, malih i srednjih poduzeća

Ovaj vodič daje opće informacije. Konačnu kategoriju i razinu mjera određuje nadležno tijelo obaviješću o kategorizaciji.