Usklađujemo tvrtke i javna tijela sa Zakonom o kibernetičkoj sigurnosti, kojim je Hrvatska prenijela Direktivu NIS2. Uvodimo mjere koje traži vaša obavijest o kategorizaciji, postavljamo prijavu incidenata i pripremamo vas za samoprocjenu, reviziju i nadzor.
Zakon o kibernetičkoj sigurnosti (NN 14/2024) i Uredba o kibernetičkoj sigurnosti (NN 135/2024) hrvatska su provedba Direktive NIS2. Prema pregledu NCSC-HR-a za treće tromjesečje 2026. kategorizirano je 799 pravnih osoba: 162 ključna i 637 važnih subjekata. Vaši rokovi počinju teći danom kada primite obavijest o kategorizaciji.
Od energetike, prometa i zdravstva do proizvodnje, prehrane i digitalnih usluga. Velike tvrtke iz najkritičnijih sektora su ključni subjekti, a ostale važni. Neki su obveznici bez obzira na veličinu, primjerice tijela državne uprave i pružatelji usluga povjerenja.
Za većinu sektora to je NCSC-HR, za banke HNB, a za telekome HAKOM. U obavijesti piše jeste li ključni ili važni subjekt i koju razinu mjera morate provesti: osnovnu, srednju ili naprednu.
Članovi uprave odobravaju mjere, kontroliraju njihovu provedbu i moraju proći osposobljavanje iz kibernetičke sigurnosti. Za propuste se kažnjavaju i tvrtka i odgovorna osoba.
Za tvrtke koje su primile obavijest o kategorizaciji. Plan slažemo prema datumu obavijesti, tako da svaku obvezu ispunite na vrijeme.
Uspoređujemo vaše postojeće mjere sa zahtjevima Uredbe za vašu razinu. Dobivate popis nedostataka po važnosti i plan provedbe koji uprava može odobriti.
Vodimo obveze koje se ponavljaju: godišnju procjenu rizika, samoprocjenu svake dvije godine te pripremu za reviziju i nadzor.
Vjerojatno jeste ako ste srednja ili velika tvrtka iz jednog od 19 sektora koje Zakon navodi, primjerice energetike, prometa, zdravstva, proizvodnje, prehrane ili digitalnih usluga. Veličina se računa prema broju zaposlenih i godišnjem prihodu ili aktivi iz financijskih izvještaja za prošlu godinu. Neka tijela i tvrtke obveznici su bez obzira na veličinu. Konačno odlučuje nadležno tijelo obaviješću o kategorizaciji, a prvu procjenu možete napraviti NIS2 provjerom.
Obveze iz Zakona počinju primitkom obavijesti. Do tada morate odgovoriti ako nadležno tijelo zatraži vaše podatke: rok je od 15 do 45 dana, a za propust je propisana kazna od 2.000 do 20.000 eura. Kategorizacija se nastavlja i popisi se provjeravaju najmanje jednom u dvije godine. Ako radite za kategorizirane tvrtke, one od vas već sada traže sigurnosne odredbe u ugovorima.
Administratora za platformu PiXi imenujete u 8 dana, a podatke o tvrtki dostavljate u 15 dana. Značajne incidente prijavljujete od 30. dana. Mjere iz Uredbe morate provesti u godinu dana. Prva samoprocjena ili revizija slijedi u trećoj godini, a zatim svake dvije godine.
Uredba propisuje 13 mjera, od odgovornosti uprave i upravljanja rizicima do kontrole pristupa, sigurnosnih kopija, šifriranja, dobavljača i fizičke sigurnosti. Mjere su raspoređene u tri razine: osnovnu, srednju i naprednu. Koju razinu provodite, piše u vašoj obavijesti o kategorizaciji. Što je razina viša, to je više obveznih zahtjeva.
Incident koji ozbiljno ometa vaše usluge, uzrokuje financijski gubitak ili nanosi štetu drugima. Uredba daje konkretne pragove, primjerice: najmanje 20 % korisnika sat vremena ne može koristiti uslugu, netko je neovlašteno pristupio kritičnim sustavima ili podacima, ili šteta doseže 100.000 eura ili 5 % godišnjeg prihoda, ovisno o tome što je niže. Ako niste odredili koji su vaši sustavi kritični, Uredba ih sve smatra kritičnima. Planirano održavanje nije incident.
Putem platforme PiXi, koju vodi CARNET. Prijava ide NCSC-HR-u ili Nacionalnom CERT-u, ovisno o sektoru: rano upozorenje u 24 sata, početna obavijest u 72 sata i završno izvješće u 30 dana. Ako platforma ne radi, obrasci se šalju e-poštom. Kad su pogođeni osobni podaci, povredu zasebno prijavljujete i AZOP-u, u roku od 72 sata.
Važni subjekti provode samoprocjenu svake dvije godine, sami ili uz vanjskog savjetnika s iskustvom u internim revizijama. Rezultat je izjava o sukladnosti ili plan otklanjanja nedostataka, koji šaljete nadležnom tijelu u osam dana. Ključni subjekti prolaze reviziju svake dvije godine, a provode je samo revizori s certifikatom Zavoda za sigurnost informacijskih sustava. Mi vas pripremamo za reviziju.
Ne. Zakon traži provedbu mjera iz Uredbe, a certifikat nije obvezan. Ako već imate sustav prema normi ISO 27001, velik dio dokumentacije možete iskoristiti jer NCSC-HR objavljuje usporedbu mjera Uredbe s normama. Više u vodiču NIS2 i ISO 27001.
Zakonski rok za provedbu mjera je godinu dana od obavijesti. Trajanje i cijena ovise o razini mjera, broju lokacija i sustava te o tome što već imate. Nakon besplatnog razgovora dobivate pisani prijedlog s opsegom, rokovima i cijenom.
Da. Uprava odobrava mjere i kontrolira njihovu provedbu, a uz kaznu za tvrtku odgovorna osoba može platiti od 1.000 do 6.000 eura u ključnom, odnosno od 500 do 3.000 eura u važnom subjektu. Sam incident nije prekršaj. Kazna slijedi kada tvrtka ne ispunjava obveze, što nadležno tijelo utvrđuje nadzorom.
Pošaljite upit i javit ćemo vam se u roku od jednog radnog dana. U besplatnom razgovoru utvrđujemo jeste li obveznik, koja vam je razina mjera propisana i koji su vaši rokovi, a zatim dobivate prijedlog s opsegom i cijenom.