U Hrvatskoj se organizacija ne „samokategorizira“ konačnom odlukom. Nadležno tijelo provodi formalnu kategorizaciju i subjektu dostavlja obavijest s kategorijom, obvezama i razinom mjera. Organizacija ipak mora napraviti vlastitu početnu provjeru: ako posluje u obuhvaćenom sektoru i ispunjava kriterije, a nije zaprimila obavijest, treba se javiti sektorski nadležnom tijelu.
Ovaj vodič daje postupak za tu provjeru bez prečaca poput „imamo manje od 50 zaposlenih pa sigurno nismo obveznik“ ili „naš glavni NKD nije na popisu“.
Ključne poruke
- Hrvatski Zakon obuhvaća 19 sektora i 15 podsektora.
- Formalnu kategorizaciju i popise vode nadležna tijela; popisi ključnih i važnih subjekata nisu javni.
- Kriterij veličine uključuje zaposlenike i financijske podatke te može zahtijevati uključivanje partnerskih i povezanih poduzeća.
- Određene vrste subjekata kategoriziraju se ili se mogu kategorizirati neovisno o veličini.
- Ključni i važni subjekti imaju iste temeljne obveze mjera i prijave, ali različit model provjere, nadzora i kazni.
Četiri pitanja za početnu provjeru
1. Koju uslugu stvarno pružate
Pođite od Priloga I. i II. Zakona i Popisa sektora djelatnosti iz Uredbe. Ne oslanjajte se samo na registriranu glavnu djelatnost. Važno je pruža li pravna osoba konkretnu vrstu usluge ili obavlja djelatnost navedenu uz sektor.
Primjer: tvrtka se može primarno opisivati kao softverska, ali stvarno pružati upravljanu IKT uslugu ili cloud uslugu koja ima zaseban status u okviru Zakona.
2. Kojoj zakonskoj vrsti subjekta odgovarate
Naziv sektora nije dovoljan. Unutar sektora navedene su vrste subjekata, a ponekad i podsektori. Proizvođač koji nije unutar navedenih proizvodnih djelatnosti ne ulazi automatski u opseg samo zato što „proizvodi“.
3. Koja je veličina poduzeća
Zakon pri primjeni kriterija veličine gleda:
- godišnji prosjek ukupnog broja zaposlenika
- godišnji poslovni prihod
- ukupnu aktivu ili, za određene obveznike poreza na dohodak, dugotrajnu imovinu
- odnose s partnerskim i povezanim poduzećima prema pravilima za MSP-ove.
EU preporuka srednje poduzeće opisuje kao poduzeće s manje od 250 zaposlenih koje zadovoljava i odgovarajući financijski prag; malo poduzeće ima manje od 50 zaposlenih i niže financijske pragove. Za NIS2 nije dovoljno pogledati samo jednu brojku ili jednu hrvatsku pravnu osobu izdvojenu iz grupe.
4. Postoji li kriterij neovisan o veličini
Zakon izričito uređuje neke slučajeve bez obzira na veličinu, a nadležno tijelo može koristiti i posebne kriterije važnosti. Zato se analiza ne završava ispod praga za srednje poduzeće.
Devetnaest hrvatskih sektora
| Prilog I. — sektori visoke kritičnosti | Prilog II. — drugi kritični sektori |
|---|---|
| Energetika | Poštanske i kurirske usluge |
| Promet | Gospodarenje otpadom |
| Bankarstvo | Izrada, proizvodnja i distribucija kemikalija |
| Infrastruktura financijskog tržišta | Proizvodnja, prerada i distribucija hrane |
| Zdravstvo | Određene proizvodne djelatnosti |
| Voda za ljudsku potrošnju | Pružatelji digitalnih usluga |
| Otpadne vode | Istraživanje |
| Digitalna infrastruktura | Sustav obrazovanja |
| Upravljanje IKT uslugama (B2B) | |
| Javna uprava | |
| Svemir |
Sama Direktiva NIS2 često se sažima kroz 18 sektora. Hrvatski Zakon uključuje i sustav obrazovanja, pa NCSC-HR za nacionalni okvir navodi ukupno 19.
Kako se razlikuju ključni i važni subjekti
Opći obrazac je:
- veći subjekti iz sektora visoke kritičnosti češće su ključni
- srednji subjekti iz Priloga I. češće su važni
- srednji i veći subjekti iz Priloga II. u pravilu su važni
- posebno navedene vrste i procjene mogu promijeniti rezultat neovisno o veličini.
Zakon, primjerice, posebno uređuje kvalificirane pružatelje usluga povjerenja, registar vršne nacionalne domene, pružatelje DNS-a, javne elektroničke komunikacije, informacijske posrednike za e-račun, kritične subjekte, javni sektor, državnu informacijsku infrastrukturu i obrazovanje.
Ako bi subjekt prema različitim osnovama istodobno bio ključni i važni, primjenjuju se odredbe za ključne subjekte.
| Obveza | Ključni | Važni |
|---|---|---|
| Razmjerne mjere upravljanja rizicima | Da | Da |
| Prijava značajnih incidenata | Da | Da |
| Odgovornost upravljačkog tijela | Da | Da |
| Periodična provjera | Revizija kibernetičke sigurnosti | Samoprocjena kibernetičke sigurnosti |
| Nadzor | Proaktivne i reaktivne ovlasti | U pravilu naknadni nadzor na temelju saznanja |
| Najviši zakonski raspon kazne za subjekt | 10 mil. € ili do 2% prometa | 7 mil. € ili do 1,4% prometa |
Veličina bez pogrešnih prečaca
Je li 50 zaposlenika automatski dovoljno
Točno 50 zaposlenika znači da poduzeće više ne ispunjava kriterij „manje od 50“ za malo poduzeće, ali to još nije potpuna analiza. Treba provjeriti financijske pragove, godišnji prosjek, referentno razdoblje te partnerska i povezana poduzeća.
Računa li se cijela grupa
Pravila o MSP-ovima razlikuju samostalna, partnerska i povezana poduzeća. Podaci drugih društava mogu se pribrajati u cijelosti ili razmjerno, ovisno o odnosu. Jednostavno osnivanje male lokalne podružnice ne znači nužno da je kriterij veličine izbjegnut.
Što ako se veličina promijeni
Popisi se redovito provjeravaju najmanje jednom u dvije godine i ažuriraju po potrebi. Subjekti također imaju obveze dostave traženih podataka i prijave promjena. Promjenu zaposlenika, prihoda, aktive, vlasništva ili djelatnosti treba uključiti u godišnji pregled opsega.
Posebni kriteriji i javni sektor
Privatni ili javni subjekt iz Priloga I. ili II. može biti kategoriziran neovisno o veličini ako je, primjerice, jedini pružatelj ključne usluge ili bi poremećaj mogao imati znatan učinak na javnu sigurnost, zdravlje, sistemski rizik ili nacionalnu, regionalnu odnosno lokalnu razinu.
Za javni sektor postoje posebna pravila:
- tijela državne uprave razvrstavaju se kao ključni subjekti
- druga državna tijela i pravne osobe s javnim ovlastima ovise o procjeni važnosti
- upravljanje, razvoj ili održavanje državne informacijske infrastrukture može voditi ključnoj kategoriji neovisno o veličini
- lokalna i regionalna samouprava može biti važan subjekt prema procjeni
- obrazovne ustanove mogu biti važni subjekti prema kriterijima Uredbe.
Neprofitni status sam po sebi ne isključuje pravnu osobu. Odlučuju vrsta subjekta, djelatnost, veličina i posebni kriteriji.
Tko provodi kategorizaciju
Članak 17. Zakona propisuje da kategorizaciju provode nadležna tijela za zahtjeve kibernetičke sigurnosti i nadležna tijela prema posebnim zakonima. Prilog III. raspodjeljuje nadležnost po sektoru i podsektoru.
Subjekt može biti pozvan dostaviti podatke potrebne za kategorizaciju. Nadležno tijelo u zahtjevu određuje rok prema opsegu i složenosti podataka; za podatke iz članka 20. Zakona taj rok ne smije biti kraći od 15 ni dulji od 45 dana od primitka zahtjeva. Nakon provedene kategorizacije nadležno tijelo šalje obavijest u roku od 30 dana.
Obavijest treba čuvati kao ključni dokument opsega jer iz nje proizlaze:
- kategorija
- sektor i pravna osnova
- obvezujuća razina mjera
- nadležno tijelo i CSIRT
- upute za dostavu podataka i prijavu incidenata
- datum od kojeg se računaju rokovi.
Stanje procesa u 2026.
Nadležna tijela provela su usklađeni proces inicijalne kategorizacije. Prema NCSC-HR pregledu za drugo tromjesečje 2026., tada je bilo kategorizirano 798 pravnih osoba, od toga 162 ključna i 636 važnih subjekata.
To nije javni registar za provjeru svake tvrtke. NCSC-HR navodi da popisi nisu javno dostupni. Broj se nastavlja mijenjati jer se utvrđuju novi obveznici, mijenjaju djelatnosti i ažuriraju podaci.
Što ako obavijest nije stigla
Ako početna analiza pokazuje da pravna osoba posluje u Prilogu I. ili II. i vjerojatno zadovoljava kriterije, treba:
- utvrditi nadležno tijelo prema Prilogu III.
- pripremiti naziv, OIB, kontakte i kratak opis relevantne djelatnosti
- pripremiti broj zaposlenika te prihod i bilančne podatke za posljednju zaključenu godinu
- obratiti se nadležnom tijelu prema aktualnoj službenoj uputi.
NCSC-HR je takve pravne osobe javno pozvao da se uključe u postupak. Tvrdnja „nismo na javnom popisu“ nije primjenjiva jer popis nije javan.
Rokovi nakon kategorizacije
Prema aktualnim odgovorima NCSC-HR:
- u 15 dana dostavljaju se podaci o subjektu
- u 30 dana treba započeti s prijavama značajnih incidenata i urediti pristup PiXi platformi
- u jednoj godini provodi se inicijalna razina mjera
- u drugoj godini mjere se unaprjeđuju kroz lokalno upravljanje rizicima
- u trećoj godini provodi se prva revizija ključnog ili samoprocjena važnog subjekta.
Rokovi se računaju od primitka pojedinačne obavijesti. Kod naknadne promjene kategorije nadležno tijelo određuje rok između 60 dana i šest mjeseci.
Dokument koji vrijedi pripremiti prije kontakta
Interni memorandum o opsegu trebao bi sadržavati:
| Element | Dokaz |
|---|---|
| Pravna osoba i vlasnička struktura | Izvadak, organigram i podaci o povezanim društvima |
| Relevantna usluga | Ugovori, opis usluge, korisnici i arhitektura |
| Sektor, podsektor i vrsta subjekta | Upućivanje na konkretan redak Priloga/Uredbe |
| Veličina | Zaposlenici, prihod, aktiva i obračun povezanih poduzeća |
| Posebni kriterij | Podaci o jedinstvenosti, javnom učinku ili kritičnosti |
| Zaključak i otvorena pitanja | Obrazložena procjena, ne samo oznaka „da/ne“ |
Za provjeru pravne osnove i pripremu komunikacije s nadležnim tijelom pogledajte NIS2 usklađenost.
Česta pitanja
Tko konačno odlučuje jesmo li ključni ili važni subjekt?
Sektorski nadležno tijelo provodi kategorizaciju i šalje obavijest. Organizacija treba napraviti internu provjeru i dostaviti točne podatke, ali ne zamjenjuje nadležno tijelo.
Postoji li javni popis obveznika?
Ne. NCSC-HR navodi da popisi ključnih i važnih subjekata nisu javno dostupni.
Jesmo li izvan opsega s 49 zaposlenika?
Ne nužno. Provjeravaju se financijski podaci i odnosi s drugim poduzećima, a postoje i kategorije te posebni kriteriji neovisni o veličini.
Odnosi li se Zakon samo na glavnu djelatnost?
Ne treba se osloniti samo na glavnu registriranu djelatnost. Bitna je stvarna obuhvaćena usluga ili djelatnost i zakonska vrsta subjekta.
Što ako pružamo usluge banci?
Ugovor s bankom sam po sebi ne određuje NIS2 status. Ako pružate, primjerice, cloud, podatkovni centar, upravljanu ili upravljanu sigurnosnu uslugu, trebate zasebno provjeriti svoj status. Banka istodobno prema DORA-i upravlja vašim rizikom kao IKT treće strane.
Možemo li čekati sljedeći krug kategorizacije?
Ako postoje jasni pokazatelji da ispunjavate kriterije, to nije razborito. Slijedite javni poziv NCSC-HR i obratite se nadležnom tijelu sada.
Izvori i pregled
Pregledano 8. kolovoza 2026. Broj kategoriziranih subjekata vremenski je presjek iz Q2 2026. Za konačan status mjerodavna je obavijest nadležnog tijela, a za obračun veličine treba primijeniti puna pravila o samostalnim, partnerskim i povezanim poduzećima.
- Zakon o kibernetičkoj sigurnosti, NN 14/2024
- Uredba o kibernetičkoj sigurnosti, NN 135/2024
- NCSC-HR: Zakon o kibernetičkoj sigurnosti — 19 sektora i nadležnosti
- NCSC-HR: Poziv pravnim osobama za uključivanje u kategorizaciju
- NCSC-HR: Pitanja kategoriziranih subjekata
- NCSC-HR: Pregled implementacije ZKS-a, Q2 2026
- Preporuka Komisije 2003/361/EZ o definiciji MSP-ova, EUR-Lex
Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.