Katere organizacije so zavezane?

Zakon velja za:

• upravljavce bistvenih in pomembnih storitev (npr. energetika, promet, zdravstvo),

• določene zasebne in javne subjekte, ki obdelujejo občutljive podatke,

• ponudnike digitalnih storitev (vključno s podatkovnimi centri, platformami in storitvami v oblaku).

Tudi srednje velika in mala podjetja lahko padejo v okvir zakona, če delujejo kot dobavitelji ali podizvajalci omenjenih subjektov.

Obvezna dokumentacija za skladnost

ZInfV-1 izrecno zahteva, da zavezanci oblikujejo, vzdržujejo in po potrebi predložijo naslednje dokumente:

• Politika upravljanja varnostnih incidentov

• Politika obvladovanja tveganj na področju informacijske varnosti

• Letni načrt ukrepov informacijske varnosti

• Evidenca incidentov in analiz tveganj

• Načrt neprekinjenega delovanja (BCP) in odzivanja na incidente (IRP)

• Ocene skladnosti z ZInfV-1 in rezultati notranjih presoj

Ti dokumenti niso samo formalnost – v primeru inšpekcijskega nadzora jih je treba predložiti brez odlašanja, hkrati pa služijo kot osnova za odločanje na ravni uprave.

Finančne posledice neskladnosti

Nespoštovanje določb zakona lahko pomeni:

• globo od 5.000 do 100.000 EUR (odvisno od velikosti in statusa organizacije),

• poslovno tveganje zaradi izgube partnerstev, še posebej v reguliranih panogah,

• višji stroški kibernetskih zavarovanj ali njihova nedosegljivost,

• izgubo ugleda in zaupanja strank.

Kje vstopa finančni oddelek?

Vodje financ morajo razumeti, da zakon ni zgolj tehnične narave. Priprava dokumentacije, vzpostavitev procesov in usposabljanje zahtevajo proračunsko načrtovanje, vključevanje zunanjih izvajalcev in stalno notranjo presojo stroškov koristi. Poleg tega so varnostne izboljšave povezane z investicijami v infrastrukturo (npr. požarni zidovi, sistem za zaznavanje vdorov, MFA), ki neposredno vplivajo na kapitalske in operativne izdatke.

Praktični nasveti za uskladitev

• Vzpostavite projektno skupino, ki vključuje IT, pravno službo, vodstvo in finance.

• Pripravite načrt implementacije z ocenjenimi stroški za posamezen dokument ali ukrep.

• Presodite, katere naloge boste izvajali interno in kje je najbolj racionalno vključiti zunanje svetovalce.

• Vključite informacijsko varnost v letno poročilo ali ESG razkritja, kjer je to relevantno.

Viri:

• Zakon o informacijski varnosti ZInfV-1 (Uradni list RS, št. 33/2025)

• Uredba (EU) 2022/2555 – Direktiva NIS2

• Nacionalni center za kibernetsko varnost (SI-CERT)

• Slovenski inštitut za standardizacijo (SIST ISO/IEC 27001, 27002)