Regulatorno savjetovanje.

Utvrđivanje propisa koji se primjenjuju na tvrtku, njihovih obveza i rokova te plan kako ih ispuniti. Uključuje i praćenje izmjena propisa i smjernica nadzornih tijela, kako bi tvrtka na vrijeme znala što se mijenja i koje mjere iz jednog propisa pokrivaju i obveze iz drugog.

Polazi se od djelatnosti, veličine i uloge tvrtke. GDPR vrijedi za svaku obradu osobnih podataka, Zakon o kibernetičkoj sigurnosti za srednje i velike tvrtke iz 19 sektora, DORA za financijske subjekte, a Zakon o zaštiti prijavitelja nepravilnosti za poslodavce s 50 i više radnika. Ostale propise određuju proizvodi, roba i upotreba UI sustava.

Na gospodarske subjekte koji na tržište EU-a stavljaju ili iz njega izvoze goveda, kakao, kavu, palmu uljaricu, gumu, soju i drvo te proizvode od njih iz Priloga I., kao i na subjekte niže u lancu opskrbe i trgovce. Gospodarski subjekt postupa s dužnom pažnjom i podnosi izjavu o postupanju s dužnom pažnjom. Nakon izmjena Uredbom (EU) 2025/2650 subjekti niže u lancu opskrbe i trgovci ne podnose izjave: najmanje pet godina čuvaju podatke o dobavljačima i kupcima, prvi u lancu i referentne brojeve izjava, a oni koji nisu MSP-ovi registriraju se u informacijskom sustavu. Primjena od 30. prosinca 2026., a za mikro i mala poduzeća osnovana do 31. prosinca 2024. od 30. lipnja 2027.

Prema Zakonu o računovodstvu, izmijenjenom u lipnju 2026. (NN 59/2026) u skladu s Direktivom (EU) 2026/470, obveznik je poduzetnik koji na datum bilance ima netoprihod veći od 450 milijuna € i prosječno više od 1.000 radnika, pojedinačno ili na razini grupe. Novi obveznici izvještavaju za poslovnu godinu koja počinje 1. siječnja 2027. Poduzetnik s najviše 1.000 radnika u lancu vrijednosti obveznika može odbiti dati informacije koje prelaze dobrovoljne standarde.

Direktiva (EU) 2024/1760 o dužnoj pažnji u pogledu održivosti poduzeća nakon izmjena Direktivom (EU) 2026/470 obuhvaća poduzeća s prosječno više od 5.000 zaposlenika i neto prihodom na svjetskoj razini većim od 1,5 milijardi €. Države članice prenose je do 26. srpnja 2028., a primjenjuje se od 26. srpnja 2029. Od poslovnih partnera s manje od 5.000 zaposlenika informacije se smiju tražiti samo ako se ne mogu razumno pribaviti na drugi način.

Uredba (EU) 2023/2854 korisnicima povezanih proizvoda i povezanih usluga daje pravo pristupa podacima koje proizvod ili usluga stvaraju, uređuje nepoštene ugovorne odredbe o pristupu podacima i njihovoj uporabi među poduzećima te promjenu usluge obrade podataka, uključujući računalstvo u oblaku. Primjenjuje se od 12. rujna 2025. Povezani proizvodi stavljeni na tržište nakon 12. rujna 2026. moraju biti osmišljeni tako da su podaci korisniku izravno dostupni (članak 3. stavak 1.).

Uredba (EU) 2024/2847 propisuje bitne sigurnosne zahtjeve u pogledu kibernetičke sigurnosti za proizvode s digitalnim elementima, poput softvera i uređaja povezanih na mrežu. Od 11. rujna 2026. proizvođači o aktivno iskorištenim ranjivostima i značajnim incidentima koji utječu na sigurnost proizvoda obavješćuju CSIRT koordinator i ENISA-u putem jedinstvene platforme za izvješćivanje: rano upozorenje u 24 sata, obavijest u 72 sata i završno izvješće (članak 14.). Ostale obveze proizvođača, uključujući oznaku CE, primjenjuju se od 11. prosinca 2027.

Zajedničkim mjerama: jedna procjena rizika, jedan postupak za incidente s rokovima iz GDPR-a, Zakona o kibernetičkoj sigurnosti i DORA-e, jedan registar dobavljača za ugovorne zahtjeve iz svih propisa i jedan program edukacije. Pregled obveza pokazuje gdje se propisi preklapaju i koji dokaz služi za više nadzornih tijela.

Uprava. Zakon o kibernetičkoj sigurnosti odgovornost za mjere stavlja na osobe odgovorne za upravljanje mjerama (članove upravljačkih tijela), DORA na upravljačko tijelo financijskog subjekta, a Zakon o sprječavanju pranja novca na upravu obveznika. Prema GDPR-u odgovara voditelj obrade. Kazne se kod više propisa izriču i odgovornoj osobi.

Već se primjenjuju prijava ranjivosti prema Aktu o kibernetičkoj otpornosti (od 11. rujna 2026.) i obveza da povezani proizvodi korisniku omogućuju pristup podacima prema Aktu o podacima (od 12. rujna 2026.). Slijede nove zabrane iz AI Acta 2. prosinca 2026., EUDR 30. prosinca 2026., prva izvještajna godina za nove obveznike izvještavanja o održivosti od 1. siječnja 2027., EUDR za mikro i mala poduzeća 30. lipnja 2027., pravila Akta o podacima o nepoštenim ugovornim odredbama za ranije dugoročne ugovore 12. rujna 2027., visokorizični UI sustavi iz Priloga III. 2. prosinca 2027., sve obveze Akta o kibernetičkoj otpornosti 11. prosinca 2027. i novi proizvodi u Prilogu I. EUDR-a 30. prosinca 2027.

Pošaljite nam djelatnost, broj zaposlenih, proizvode ili usluge i propise za koje već znate da se na vas primjenjuju. Nakon besplatne konzultacije šaljemo prijedlog pregleda propisa i obveza.