NIS2 kazne i osobna odgovornost uprave: vodič za direktore

Zakon o kibernetičkoj sigurnosti (NN 14/2024) propisuje kazne za ključne i važne subjekte do 10 milijuna eura ili 2 % ukupnog svjetskog godišnjeg prometa te osobne kazne za članove uprave do 6.000 eura. Postupak počinje stručnim nadzorom nadležnog tijela. Kaznu izriče prekršajni sud na optužni prijedlog državnog odvjetništva ili nadležno tijelo prekršajnim nalogom, a uz kaznu ili prije nje nadležno tijelo može izreći korektivne mjere s rokom za ispravak.

Incident sam po sebi nije prekršaj. Odgovornost nastaje kada subjekt ne provodi propisane mjere, ne prijavi značajan incident, ne surađuje u nadzoru ili ne postupi po korektivnim mjerama. Vodič prikazuje stanje na 4. studenoga 2026.

Ukratko

• Ključni subjekt: od 10.000 do 10.000.000 eura ili od 0,5 % do 2 % ukupnog svjetskog godišnjeg prometa, ovisno o tome koji je iznos veći (čl. 101.).
• Važni subjekt: od 5.000 do 7.000.000 eura ili od 0,2 % do 1,4 % prometa (čl. 102.).
• Članovi uprave: od 1.000 do 6.000 eura u ključnom i od 500 do 3.000 eura u važnom subjektu, uz kaznu za subjekt.
• Uprava mora odobravati mjere, kontrolirati njihovu provedbu, pohađati osposobljavanje i omogućiti ga zaposlenicima (čl. 29.).
• Stručni nadzor ključnog subjekta provodi se najmanje jednom u tri do pet godina, a važnog subjekta kada postoje naznake povrede (čl. 75. i 76.).
• Zabrana obavljanja upravljačkih dužnosti moguća je samo u ključnom subjektu koji ne postupi po korektivnim mjerama, i traje dok ne postupi (čl. 84.).
• Rok od godine dana za provedbu mjera teče od obavijesti o kategorizaciji. Za subjekte iz inicijalne kategorizacije, dovršene do rujna 2025., taj je rok istekao tijekom 2026.

Kazne prema Zakonu o kibernetičkoj sigurnosti

Primjer pravila „veći iznos”: za ključni subjekt sa svjetskim prometom od 800 milijuna eura gornja granica nije 10 milijuna eura, nego 2 % prometa, odnosno 16 milijuna eura.

Tko pokreće postupak. Nadležno tijelo nakon stručnog nadzora podnosi prijavu ovlaštenom tužitelju ili izdaje prekršajni nalog (čl. 86.). Ovlašteni tužitelj je nadležni državni odvjetnik, za pružatelje javnih elektroničkih komunikacija HAKOM, a za pružatelje usluga povjerenja tijelo državne uprave nadležno za razvoj digitalnog društva (čl. 104.).

Za koje se povrede izriču kazne

Članci 101. i 102. navode iste skupine prekršaja za obje kategorije, uz razliku u periodičnoj provjeri:

Incident nije isto što i prekršaj

NCSC-HR u odgovorima kategoriziranim subjektima navodi da se kibernetički incidenti događaju i da sami po sebi ne predstavljaju prekršajnu odgovornost. Iznimka su, primjerice, višestruko ponovljeni incidenti iste vrste ili slučajevi u kojima se može procijeniti da je incident uzrokovan nepoštivanjem zakonskih obveza. I tada se stanje utvrđuje izvanrednim stručnim nadzorom.

Kazna zato ne prijeti zbog toga što se incident dogodio, nego zbog onoga što subjekt nije učinio: nije proveo mjere, nije prijavio značajan incident u 24 sata, nije uklonio poznate uzroke ili nije postupio po nalogu. Neprijavljivanje je zaseban prekršaj i jedna od ozbiljnih povreda iz čl. 85. Uprava koja potiče skrivanje incidenta povećava rizik.

Osobna odgovornost uprave

Tko odgovara. Za provedbu mjera odgovorni su članovi upravljačkih tijela ključnih i važnih subjekata, a u javnom sektoru čelnici tijela državne uprave i drugih državnih tijela te izvršna tijela jedinica lokalne i područne (regionalne) samouprave (čl. 29. st. 1.). Iste obveze imaju i druge fizičke osobe koje na temelju ovlasti za nadzor nad vođenjem poslova, punomoći ili druge ovlasti sudjeluju u odlučivanju o mjerama i njihovoj provedbi (čl. 29. st. 4.). To može obuhvatiti članove nadzornog odbora i prokuriste.

Što moraju. Osobe odgovorne za upravljanje mjerama dužne su (čl. 29. st. 2. i 3.):

1. odobravati mjere upravljanja kibernetičkim sigurnosnim rizicima;
2. kontrolirati njihovu provedbu;
3. pohađati odgovarajuća osposobljavanja;
4. zaposlenicima omogućiti odgovarajuća osposobljavanja.

Isto traži čl. 20. Direktive NIS2: upravljačka tijela odobravaju mjere, nadgledaju provedbu, mogu se smatrati odgovornima za povrede i moraju pohađati osposobljavanje.

Tko je kažnjen. NCSC-HR navodi da su za neprovođenje obveza prekršajno odgovorni i subjekt kao pravna osoba i fizička osoba koja je glavna odgovorna osoba subjekta i ima pravo zastupati ga u poslovanju. Kazna za člana uprave izriče se uz kaznu za subjekt, a pri odlučivanju o visini uzimaju se u obzir okolnosti iz čl. 85.

Delegiranje. CISO, IT direktor ili vanjski pružatelj usluga mogu provoditi mjere. Zakonska dužnost odobravanja, kontrole i osposobljavanja ostaje na upravi.

Što uprava mora moći dokazati

U stručnom nadzoru ne traži se samo potpisana politika, nego trag upravljanja:

Stručni nadzor

U nadzoru nadležno tijelo može izravno pregledati podatke, dokumentaciju i sustave, provesti nasumične provjere, tražiti dokaze o prijavama incidenata, izvješća o reviziji i druge podatke te naložiti ciljanu reviziju (čl. 79.). Subjekt mora omogućiti pristup prostorima, opremi, sustavima i dokumentaciji (čl. 78.).

Korektivne mjere

Ovisno o rezultatima nadzora, nadležno tijelo ključnom i važnom subjektu može (čl. 82.):

• izdati upozorenje o povredi;
• izdati obvezujuću uputu ili nalog za otklanjanje nedostataka;
• naložiti prestanak protupravnog postupanja;
• naložiti usklađenje mjera ili prijava incidenata u zadanom roku;
• naložiti provedbu preporuka iz revizije ili analize sigurnosti;
• naložiti objavu aspekata povrede.

Svaka uputa ili nalog ima rok za provedbu i rok za obavijest o provedbi. Ako subjekt ne postupi, dobiva dodatni primjereni rok, osim kada bi to onemogućilo hitne mjere protiv značajnih incidenata (čl. 82. st. 3. i 4.). Ključnom subjektu nadležno tijelo može i imenovati službenika za praćenje usklađenosti na određeno razdoblje (čl. 83.).

Suspenzija i zabrana upravljačkih dužnosti

Ako ključni subjekt ne postupi po korektivnim mjerama, nadležno tijelo može (čl. 84.):

• zatražiti privremenu suspenziju ovlaštenja za obavljanje usluge ili djelatnosti;
• zatražiti privremenu zabranu obavljanja upravljačkih dužnosti u ključnom subjektu za osobe iz čl. 29.

Te mjere traju samo dok subjekt ne postupi po korektivnim mjerama. Ne primjenjuju se na važne subjekte ni na tijela državne uprave, druga državna tijela, jedinice lokalne i područne (regionalne) samouprave i javne naručitelje. Zabrana nije automatska posljedica incidenta.

Kako se određuje kazna ili mjera

Nadležno tijelo pri izricanju korektivnih mjera i sud pri određivanju kazne uzimaju u obzir (čl. 85.):

• ozbiljnost povrede i važnost prekršenih odredaba;
• trajanje povrede;
• ranije povrede istog subjekta;
• štetu, uključujući financijske gubitke, učinke na druge usluge i broj pogođenih korisnika;
• namjeru ili nepažnju;
• mjere za sprečavanje ili ublažavanje štete;
• postupanje u skladu s kodeksima ponašanja ili pravilima certificiranja;
• razinu suradnje uprave s nadležnim tijelima.

Ozbiljne povrede su opetovane povrede, neprijavljivanje ili nerješavanje značajnih incidenata, neuklanjanje nedostataka po nalogu, ometanje revizije ili praćenja i davanje lažnih ili izrazito netočnih informacija.

ISO 27001 certifikat može pokazati postupanje prema pravilima certificiranja, ali ne štiti od kazne ako mjere iz Uredbe nisu stvarno provedene.

NIS2 i GDPR: bez dvostruke kazne za isto postupanje

Incident u kojem su pogođeni osobni podaci prijavljuje se i CSIRT-u prema Zakonu o kibernetičkoj sigurnosti i AZOP-u prema GDPR-u. Ipak, ako je AZOP subjektu već izrekao upravnu novčanu kaznu za povredu osobnih podataka koja proizlazi iz istog postupanja, nadležno tijelo u stručnom nadzoru ne može za to postupanje podnijeti prijavu ni izdati prekršajni nalog (čl. 86. st. 2.).

Različiti propusti, primjerice neprijavljivanje incidenta CSIRT-u i nedostatna zaštita osobnih podataka, mogu i dalje dovesti do zasebnih postupaka. GDPR kazne do 20 milijuna eura ili 4 % prometa objašnjava vodič GDPR kazne u Europi.

Od kada prijeti kazna

Prema Zakonu i odgovorima NCSC-HR-a:

NCSC-HR navodi da nakon toga, u slučaju nepotpune sukladnosti, nadležna tijela mogu provesti izvanredni stručni nadzor i izreći korektivne mjere ili podnijeti prijavu prema čl. 101. do 104. Prema pregledu NCSC-HR-a za treće tromjesečje 2026., kategorizirano je 799 subjekata: 162 ključna i 637 važnih.

Primjeri

Bolnica, ključni subjekt, ransomware. Napad zaustavi bolnički informacijski sustav. Bolnica prijavi rano upozorenje u 24 sata i ima dokumentirane mjere, testirane sigurnosne kopije i plan odgovora. Sam incident nije prekršaj. Ako nadzor utvrdi da višefaktorska autentifikacija za udaljeni pristup, obvezna na razini mjera iz njezine obavijesti, nije uvedena, nadležno tijelo izriče korektivnu mjeru s rokom, a prekršajni postupak može uslijediti ako bolnica mjeru ne provede.

Energetska tvrtka, ključni subjekt, prešućeni incident. Tvrtka otkrije neovlašteni pristup sustavu za upravljanje mrežom i ne obavijesti CSIRT jer se „ništa nije dogodilo”. Ako incident ispunjava kriterije značajnog incidenta, neprijavljivanje je prekršaj iz čl. 101. i ozbiljna povreda iz čl. 85. Rizik kazne za tvrtku i članove uprave tada je stvaran.

IT tvrtka, važni subjekt, bez samoprocjene. Pružatelj upravljanih usluga kategoriziran kao važni subjekt ne provede samoprocjenu u roku i ne dostavi izjavu o sukladnosti. To je prekršaj iz čl. 102. Klijenti iz bankarstva i zdravstva istodobno traže dokaz o sukladnosti prema mjeri 8. Uredbe.

Šest koraka za upravu

1. Potvrdite status. Kategorija, razina mjera, nadležno tijelo i datum obavijesti, s izračunom svih rokova.
2. Donesite odluku o mjerama. Odluka uprave s popisom mjera, vlasnicima, rokovima i proračunom.
3. Uvedite izvještavanje. Godišnje izvješće o stanju kibernetičke sigurnosti i tromjesečni pregled metrika, incidenata i otvorenih nalaza.
4. Osposobite upravu. Osposobljavanje usmjereno na odluke koje uprava donosi, s evidencijom sudionika. Program za upravu opisuje stranica edukacije za upravu.
5. Uvježbajte značajan incident. Vježba za stolom s prijavom u 24 i 72 sata, odlukama uprave i komunikacijom.
6. Provjerite neovisno. Samoprocjena ili revizija prije roka, a ne tek na zahtjev nadležnog tijela.

D&O osiguranje

Polica osiguranja od odgovornosti članova uprave (D&O) može pokriti troškove obrane, ali pokriće prekršajnih kazni ovisi o uvjetima police i o tome dopušta li ga mjerodavno pravo. Uvjete treba provjeriti pisano s osigurateljem. Osiguranje ne uklanja obvezu odobravanja i kontrole mjera.

Česta pitanja

Sljedeći korak

Odluke uprave, plan mjera, izvještavanje i pripremu za stručni nadzor radimo u sklopu usluge NIS2 usklađenosti. Osposobljavanje za članove uprave opisano je na stranici edukacije za upravu. Tko je obveznik i kako se provodi kategorizacija objašnjava vodič NIS2 obveznici.

Izvori i pregled

Pregledano 4. studenoga 2026. prema sljedećim primarnim izvorima:

• Zakon o kibernetičkoj sigurnosti, NN 14/2024
• Uredba o kibernetičkoj sigurnosti, NN 135/2024
• Direktiva (EU) 2022/2555 (NIS2)
• NCSC-HR: Pitanja kategoriziranih subjekata
• NCSC-HR: Pregled implementacije Zakona o kibernetičkoj sigurnosti, Q3 2026.

Ovaj vodič daje opće informacije. Stvarna kazna ili korektivna mjera ovisi o činjenicama, okolnostima iz čl. 85. Zakona i postupku nadležnog tijela.