Od Toma Meevisa, advokata u Law & More
Kibernetička sigurnost više nije isključivo tehničko pitanje. To je također pravno i upravljačko pitanje koje utiče na gotovo svaku organizaciju bilo koje veličine.
S evropskom NIS2 direktivom i holandskim Zakonom o kibernetičkoj sigurnosti, odgovornost za digitalnu otpornost čvrsto se prebacuje na upravni odbor. Holandski Zakon o kibernetičkoj sigurnosti stupa na snagu 15. augusta 2026. Vlasnici preduzeća, direktori i službenici za usklađenost stoga moraju u kratkom roku uspostaviti:
- da li njihova organizacija spada u područje primjene novih pravila;
- koje obaveze iz njih proizilaze;
- koje su mjere potrebne;
- i kako organizacija može ispuniti te obaveze.
Ovaj članak utvrđuje glavne elemente NIS2 i holandskog Zakona o kibernetičkoj sigurnosti: opseg, dužnost pažnje, dužnost obavještavanja, odgovornost odbora, provođenje i korake koje organizacije sada mogu poduzeti.
Šta je NIS2?
NIS2 je formalni naziv Direktive (EU) 2022/2555. Ona nasljeđuje prvu evropsku direktivu o sigurnosti mreža i informacija, koja se općenito naziva NIS1.
Države članice su bile dužne prenijeti NIS2 u nacionalno zakonodavstvo do 17. oktobra 2024. Od 18. oktobra 2024. NIS2 je formalno zamijenio raniju direktivu.
Njegov cilj je podizanje i bolje usklađivanje nivoa kibernetičke otpornosti unutar Evropske unije. To se odvija u dva glavna pravca. Prvo, širi opseg: mnogo više organizacija potpada pod pravila nego pod NIS1. Drugo, pooštren nadzor i stroža primjena, sa širim setom alata i jasnijim odgovornostima direktora.
Dok je NIS1 pravio razliku između operatera osnovnih usluga i pružatelja digitalnih usluga, NIS2 radi s osnovnim i važnim subjektima. Ta razlika nije samo terminološka: između ostalog, ona određuje intenzitet nadzora i nivo potencijalnih kazni.
Koje organizacije spadaju pod NIS2?
NIS2 se primjenjuje na organizacije aktivne u osamnaest određenih sektora, podijeljenih na sektore visoke kritičnosti i ostale kritične sektore.
Sektori od visoke kritičnosti uključuju energetiku, transport, bankarstvo, infrastrukturu finansijskog tržišta, zdravstvo, vodu za piće i otpadne vode, digitalnu infrastrukturu, upravljanje IKT uslugama za poslovne korisnike, javnu upravu i svemir.
Ostali kritični sektori uključuju poštanske i kurirske usluge, upravljanje otpadom, hemikalije, hranu, proizvodnju, digitalne pružatelje usluga i istraživačke institucije.
Prag veličine
Unutar ovih sektora glavno pravilo je da organizacija spada pod NIS2 ako se kvalifikuje kao srednje ili veliko preduzeće. Kriteriji su najmanje 50 zaposlenih ili godišnji promet ili ukupna bilansna suma veća od 10 miliona eura.
Postoje izuzeci od ovog glavnog pravila. Određene organizacije spadaju u opseg bez obzira na veličinu, jer se njihove usluge smatraju posebno važnim:
- pružaoci javnih elektronskih komunikacijskih mreža i usluga;
- pružatelji usluga povjerenja;
- pružatelji usluga registracije domenskih imena;
- registri domena najvišeg nivoa;
- tijela javnog sektora.
Od 15. augusta 2026. godine nove obaveze primjenjuju se na preko 8,000 organizacija u Holandiji. To je znatno povećanje u poređenju s brojem koji pokriva trenutni Zakon o sigurnosti mreža i informacionih sistema.
Organizacije koje se ranije nisu smatrale dijelom kritičnog sektora stoga mogu biti obuhvaćene, uključujući proizvođače srednje veličine, proizvođače hrane, istraživačke institucije i pružatelje digitalnih usluga. Važno je napomenuti da su same organizacije odgovorne za procjenu da li spadaju u opseg. Neće stići pismo od nadređenog u kojem im se to obavještava.
Dužnost pažnje: koje su mjere potrebne?
Suština NIS2 i holandskog Zakona o kibernetičkoj sigurnosti je dužnost pažnje. Bitni i važni subjekti moraju poduzeti odgovarajuće i proporcionalne tehničke, operativne i organizacijske mjere za upravljanje rizicima za svoje mreže i informacione sisteme.
Pravila identificiraju teme koje politika u svakom slučaju mora obraditi:
- analiza rizika i politika sigurnosti informacija;
- rješavanje incidenata;
- kontinuitet poslovanja, upravljanje sigurnosnim kopijama i oporavak od katastrofe;
- sigurnost lanca snabdijevanja;
- sajber higijena i obuka osoblja;
- politika upravljanja ranjivostima;
- višefaktorska autentifikacija;
- osigurane komunikacije;
- kriptografija;
- periodična procjena efikasnosti mjera.
Mjere moraju biti proporcionalne veličini organizacije i rizicima kojima je ona stvarno izložena. Manji važan subjekt stoga ne mora poduzeti iste mjere kao veliki, ključni subjekt u sektoru visokog rizika.
To ne čini dužnost pažnje opcionalnom. Organizacije moraju biti u stanju da potkrepe koje su rizike identifikovale, koje su mjere preduzele i zašto su te mjere prikladne. Nadzoru podliježu ne samo same mjere, već i način na koji se one procjenjuju, evidentiraju i periodično evaluiraju.
Obaveza obavještavanja nakon incidenta
Uz obavezu pažnje, NIS2 nameće obavezu faznog obavještavanja o značajnim incidentima. U slučajevima kada incident ima ili može imati značajan utjecaj na kontinuitet usluga, primjenjuju se sljedeći rokovi u širem smislu:
- u roku od 24 sata, rano upozorenje nacionalnom timu za reagovanje na incidente u oblasti računarske sigurnosti ili nadležnom organu;
- u roku od 72 sata, formalno obavještenje s početnom procjenom ozbiljnosti i utjecaja;
- najkasnije u roku od mjesec dana, konačni izvještaj u kojem se opisuje incident, njegov vjerovatni uzrok, poduzete mjere i sve prekogranične posljedice.
Ovi rokovi nalažu da se unaprijed uspostave jasne procedure. Organizacija mora znati kada je incident obavezno prijaviti, ko je ovlašten da prijavi, koje informacije moraju biti dostupne, ko koordinira i kako se obavještavaju upravni odbor i nadzornik.
Organizacija koja pokušava uspostaviti proces obavještavanja samo tokom incidenta ima značajan rizik da neće moći podnijeti izvještaj na vrijeme ili u potpunosti.
Odgovornost odbora
Važan element NIS2 je da je odgovornost za upravljanje sajber rizikom izričito data upravnom odboru. Odbor mora odobriti sigurnosne mjere, nadgledati njihovu implementaciju, biti u mogućnosti da procijeni sajber rizike organizacije i sam prođe odgovarajuću obuku.
Stoga se kibernetička sigurnost više ne može tretirati isključivo kao odgovornost IT odjela. To je tema upravljanja koja mora biti dio redovnog donošenja odluka i upravljanja rizicima.
Direktiva se također izričito odnosi na ličnu odgovornost višeg menadžmenta u slučaju da organizacija ne postupi u skladu s propisima. Shodno tome, evidentirati učešće odbora, na primjer dokumentiranjem provedenih obuka, odluka odbora, odobrenih politika, procjena rizika, izvještavanja i nadzora nad implementacijom.
Holandska implementacija
Holandska implementacija NIS2 je znatno odložena. Rok za transpoziciju, 17. oktobar 2024. godine, nije ispoštovan.
Dana 8. jula 2026. godine Evropska komisija je odlučila da protiv Holandije, zajedno s Irskom, Španijom i Francuskom, preda tužbu Sudu pravde Evropske unije zbog nedostavljanja obavijesti o mjerama transpozicije. Holandija se tako našla među četiri zemlje Evropske unije koje zaostaju u usvajanju zakona.
Tajming je upečatljiv. Dan ranije, 7. jula 2026. godine, Senat je odobrio Zakon o sajber sigurnosti i Zakon o otpornosti kritičnih entiteta. Ostaje da se vidi da li činjenica da je Zakon usvojen prije nego što je upućen zahtjev utiče na ishod postupka; to je na Sudu da odluči.
Oba zakona stupaju na snagu 15. augusta 2026. godine. Zakon o kibernetičkoj sigurnosti implementira NIS2 Direktivu; Zakon o otpornosti kritičnih entiteta implementira Evropsku CER Direktivu, usmjerenu na otpornost kritične infrastrukture. Organizacije obuhvaćene ovom drugom direktivom bit će formalno određene kao kritični entiteti od 15. augusta 2026. godine.
Stupanjem na snagu, trenutni Zakon o sigurnosti mreža i informacionih sistema (Wbni) prestaje važiti. Za organizacije koje su njime već obuhvaćene, to znači teže obaveze; za organizacije koje prvi put ulaze u njegov opseg, potpuno novi režim.
Registracija kod NCSC-a
Važna nova obaveza je registracija kod Nacionalnog centra za sajber sigurnost. Bitni i važni subjekti moraju biti uneseni u nacionalni registar subjekata. Ta registracija je obavezna od 15. augusta 2026. godine i odvija se putem portala MijnNCSC, koristeći eHerkenning za obične organizacije i SSOnRijk za tijela javnog sektora. Promjene registrovanih podataka moraju se prijaviti u roku od četrnaest dana.
Registracija nije samo administrativna formalnost. Nakon registracije, organizacije se mogu povezati s uslugama svog CSIRT-a, koji pruža proizvode i usluge za povećanje otpornosti, kao i podršku u slučaju incidenta. Pripremite registraciju na vrijeme, kako implementacija ne bi počela tek nakon stupanja na snagu.
Nadzor i provođenje
Zakon o kibernetičkoj sigurnosti predviđa diferencirani režim nadzora. Bitni subjekti podliježu proaktivnom nadzoru: nadzornik može provjeravati kontinuirano i na vlastitu inicijativu, bez ikakvog konkretnog incidenta ili signala. Važni subjekti podliježu reaktivnom nadzoru, gdje nadzornik u principu djeluje kao odgovor na incident, pritužbu ili drugi konkretan signal.
Nadzor je podijeljen između nekoliko tijela. Od 15. augusta 2026. godine, Holandsko tijelo za digitalnu infrastrukturu nadgleda organizacije u devet sektora; za ostale sektore su određeni drugi nadzornici. Utvrdite koji je nadzornik nadležan za vašu organizaciju.
Set alata za sprovođenje zakona je širok i uključuje:
- sigurnosno skeniranje ili sigurnosna revizija;
- obavezujuća instrukcija;
- nalog za administrativno izvršenje ili nalog za koji je propisana novčana kazna;
- objavljivanje prekršaja;
- administrativna novčana kazna;
- za bitne subjekte: suspenzija certifikata, ovlaštenja ili člana odbora.
Za bitne subjekte maksimalna kazna iznosi najmanje 10 miliona eura ili 2% ukupnog godišnjeg prometa širom svijeta, što god je veće. Za važne subjekte iznosi najmanje 7 miliona eura ili 1.4% godišnjeg prometa širom svijeta, opet što god je veće. Konačni nivo zavisi od okolnosti slučaja, uključujući prirodu, težinu i trajanje prekršaja, stepen krivice i poduzete mjere.
Šta vaša organizacija može učiniti sada?
- Izvršite samoprocjenu. Utvrdite da li je organizacija aktivna u određenom sektoru i da li ispunjava prag veličine.
- Odredite ispravnu kategoriju. Utvrdite da li se organizacija kvalifikuje kao bitan ili važan entitet i koji je nadzornik kompetentan.
- Pripremite registraciju. Prikupite podatke potrebne za registraciju kod NCSC-a putem MijnNCSC-a.
- Testirajte mjere dužnosti brige. Procijenite postojeće mjere za analizu rizika, odgovor na incidente, kontinuitet poslovanja, sigurnost lanca snabdijevanja, sajber higijenu, ranjivosti, višefaktorsku autentifikaciju i kriptografiju.
- Postavite proces obavještavanja. Zabilježite ko procjenjuje da li incident treba prijaviti, ko obavještava i kako se ispunjavaju rokovi od 24 sata, 72 sata i mjesec dana.
- Uključite odbor na dokaziv način. Zabilježite koje je odluke odbor donio, koje su obuke provedene i kako se vrši nadzor nad provedbom.
- Uključite lanac snabdijevanja. Veliki dio ranjivosti ne nastaje unutar same organizacije, već kod dobavljača i pružatelja usluga. Pregledajte svoje ugovore o sigurnosnim aranžmanima, obavezama obavještavanja i pravima revizije.
Zaključno
Zakon o kibernetičkoj sigurnosti i Zakon o otpornosti kritičnih subjekata predstavljaju znatno pooštravanje obaveza u oblasti kibernetičke sigurnosti. Širi opseg, konkretne mjere dužnosti brige, kratki rokovi za obavještavanje, lična odgovornost direktora i značajan set alata za provođenje zakona znače da organizacije ne mogu ostaviti ovu temu po strani. Stupanjem na snagu 15. augusta 2026. godine, vrijeme za pripremu je kratko.
Law & More pomaže preduzećima, direktorima i službenicima za usklađenost u određivanju njihovog položaja u skladu sa NIS2 i holandskim Zakonom o sajber bezbednosti, uspostavljanju i testiranju mera dužnosti pažnje, pripremi registracije kod NCSC i pravnom ugrađivanju politike sajber bezbednosti.
Želite li da se procijeni položaj vaše organizacije prema novim pravilima? Slobodno nas kontaktirajte za razgovor bez ikakvih obaveza.
Često Postavljena Pitanja
U nastavku odgovaramo na pitanja koja nam najčešće postavljaju o ovoj temi.
Kada stupa na snagu holandski Zakon o sajber sigurnosti?
Dana 15. augusta 2026. godine, Senat je odobrio Zakon o kibernetičkoj sigurnosti i Zakon o otpornosti kritičnih entiteta 7. jula 2026. godine. Stupanjem na snagu, trenutni Zakon o sigurnosti mreža i informacionih sistema (Wbni) prestaje važiti.
Da li moja organizacija spada pod NIS2?
To zavisi od vašeg sektora i vaše veličine. NIS2 pokriva osamnaest određenih sektora i, unutar tih sektora, po pravilu organizacije sa najmanje 50 zaposlenih ili godišnjim prometom ili ukupnim bilansom stanja većim od 10 miliona eura. Određene strane su obuhvaćene bez obzira na veličinu.
Hoću li biti obaviješten/a ako moja organizacija bude obuhvaćena ovim dokumentom?
Ne. Organizacije su same odgovorne za procjenu da li potpadaju pod Zakon o kibernetičkoj sigurnosti. Čekanje riskira primjenu obaveza prije nego što se izvrši procjena.
Koja je razlika između esencijalnog i važnog entiteta?
Određuje intenzitet nadzora i nivo potencijalnih kazni. Bitni subjekti podliježu proaktivnom nadzoru, gdje nadzornik može provjeravati na vlastitu inicijativu. Važni subjekti podliježu reaktivnom nadzoru, potaknutom incidentom, pritužbom ili drugim signalom.
Šta podrazumijeva dužnost brige?
Poduzimanje odgovarajućih i proporcionalnih tehničkih, operativnih i organizacijskih mjera za upravljanje rizicima za vašu mrežu i informacione sisteme, koje obuhvataju pitanja kao što su analiza rizika, rješavanje incidenata, kontinuitet poslovanja, sigurnost lanca snabdijevanja, sajber higijena, ranjivosti, višefaktorska autentifikacija i kriptografija. Morate biti u mogućnosti da potkrijepite zašto su odabrane mjere odgovarajuće.
Koji se rokovi za obavještavanje primjenjuju nakon incidenta?
Rano upozorenje u roku od 24 sata, formalno obavještenje u roku od 72 sata s početnom procjenom ozbiljnosti i utjecaja, te konačni izvještaj najkasnije u roku od mjesec dana. Unaprijed uspostavite proces obavještavanja.
Da li se moja organizacija mora registrovati?
Da. Registracija u nacionalnom registru subjekata je obavezna od 15. augusta 2026. godine i odvija se putem MijnNCSC-a, koristeći eHerkenning ili, za tijela javnog sektora, SSOnRijk. Promjene se moraju prijaviti u roku od četrnaest dana. Nakon registracije možete se povezati na usluge vašeg CSIRT-a.
Koja je odgovornost na upravnom odboru?
Upravni odbor mora odobriti sigurnosne mjere, nadgledati njihovu provedbu, biti u mogućnosti procijeniti cyber rizike i sam proći obuku. Direktiva se bavi ličnom odgovornošću višeg menadžmenta za nepoštivanje propisa, stoga je potrebno dokumentirati odluke, obuku i nadzor na dokaziv način.
Koliko su visoke kazne?
Za bitne subjekte najmanje 10 miliona eura ili 2% svjetskog godišnjeg prometa; za važne subjekte najmanje 7 miliona eura ili 1.4%, u svakom slučaju, što god je veće. Konačni nivo zavisi od faktora koji uključuju prirodu, težinu i trajanje kršenja i stepen krivice.
Ko nadgleda usklađenost?
To varira u zavisnosti od sektora. Od 15. augusta 2026. godine, holandsko tijelo za digitalnu infrastrukturu nadgleda organizacije u devet sektora; za ostale sektore su određeni drugi nadzornici. Utvrdite koji je nadzornik kompetentan za vašu organizaciju.
Zašto je Holandija tužena pred Sudom pravde?
Zbog kašnjenja u transpoziciji NIS2. Dana 8. jula 2026. godine, Evropska komisija je odlučila da protiv Holandije, zajedno s Irskom, Španijom i Francuskom, preda tužbu Sudu pravde zbog nedostavljanja obavijesti o mjerama transpozicije. Činjenica da je Zakon o kibernetičkoj sigurnosti usvojen dan ranije sama po sebi ne okončava taj postupak.
Da li se ovo odnosi i na moje dobavljače?
Sigurnost lanca snabdijevanja je jedna od tema dužnosti brige. Veliki dio ranjivosti javlja se kod dobavljača i pružatelja usluga. Pregledajte svoje ugovore o sigurnosnim aranžmanima, dužnostima obavještavanja i pravima revizije.
