NIS2 · Informacije i IT · Bosna i Hercegovina
NIS2 i informaciona sigurnost u BiH
Bosna i Hercegovina još nema državni zakon koji prenosi NIS2: nacrt u Federaciji BiH povučen je iz parlamentarne procedure, a u Republici Srpskoj važi zakon stariji od direktive. Obaveza ipak stiže — preko kupaca, banaka i partnera iz EU. Ovdje je šta to znači, šta se traži i zašto NIS2 i NIST nisu ista stvar.
NIS2 ili NIST — nije ista stvar
Ova dva imena se stalno miješaju jer zvuče slično, a riječ je o dvije potpuno različite stvari. Ono što je u Evropskoj uniji sada obavezno zove se NIS2.
- NIS2 — Direktiva (EU) 2022/2555. Evropski propis koji svaka država članica prenosi u svoj zakon. Nije dobrovoljan: nosi nadzor, obaveze prijave incidenata i kazne. Rok za prenošenje bio je 17. oktobar 2024, a tokom 2026. nadzorna tijela širom EU već aktivno kažnjavaju.
- NIST — američki Nacionalni institut za standarde i tehnologiju. Njegov Cybersecurity Framework 2.0 je dobrovoljan okvir, ne propis. Ne postoji tijelo koje izdaje NIST certifikat i nema audita koji se položi ili padne.
Praktično: ako vas kupac, banka ili nadzorni organ u Evropi nešto pita, pita vas za NIS2 i za ISO 27001. NIST se pojavljuje kad radite sa američkim partnerom — o tome niže.
Kako stoji Bosna i Hercegovina
Za razliku od Crne Gore i Hrvatske, BiH još nema državni zakon koji prenosi Direktivu (EU) 2022/2555. Materija je podijeljena između države, entiteta i Brčko distrikta. Nacrt zakona o informacionoj sigurnosti, koji je Vlada Federacije BiH utvrdila krajem 2022. i za koji je navela da je djelimično usklađen sa NIS2, povučen je iz parlamentarne procedure. U Republici Srpskoj oblast uređuje Zakon o informacionoj bezbjednosti („Službeni glasnik Republike Srpske“, broj 70/11) — donesen prije NIS2, pa je i ne prenosi; po njemu radi i CERT pri Agenciji za informaciono-komunikacione tehnologije RS. Brčko distrikt nema propis iz ove oblasti.
Dok zakona nema, BAS EN ISO/IEC 27001 nije zakonska obaveza. Ali NIS2 obavezuje evropske firme da upravljaju rizikom u svom lancu nabavke — pa od dobavljača iz BiH traže dokaze: upitnike, ugovorne klauzule i sve češće certifikat. Ko izvozi ili radi za kupca iz EU, pitanje o sigurnosti informacija dobija od njega, ne od inspekcije.
Ako niste sigurni šta se od vas očekuje: pošaljite nam upitnik ili ugovornu klauzulu koju ste dobili od kupca i provjerit ćemo zajedno — to je pitanje od pet minuta, a odgovor mijenja plan za naredne dvije godine.
Rokovi koji već teku
- 17. oktobar 2024 — istekao rok za prenošenje NIS2 u zakone država članica EU; evropske firme od tada upravljaju rizikom i u lancu nabavke, uključujući dobavljače izvan Unije.
- 31. oktobar 2025 — istekao rok za prelazak sa ISO/IEC 27001:2013 na verziju 2022. Certifikati po staroj verziji od tog datuma više ne važe. Ako vam certifikat nosi oznaku 2013, nemate važeći certifikat — bez obzira na datum isteka odštampan na njemu.
- FBiH — nacrt povučen: nacrt zakona o informacionoj sigurnosti utvrđen krajem 2022. povučen je iz parlamentarne procedure, pa Federacija BiH taj zakon nema. Državni okvir za NIS2 i dalje ne postoji, a propis Republike Srpske je stariji od direktive.
- u toku — prema saopštenju Evropske komisije iz jula 2026, punu transpoziciju NIS2 nisu prijavile još samo četiri države članice; nadzor i kazne se već primjenjuju. Ako izvozite ili radite za evropskog kupca, pitanje o sigurnosti informacija stiže od njega, ne od inspekcije.
Implementacija ISO 27001 realno traje od četiri mjeseca do preko godinu dana, zavisno od veličine sistema — zato se ne čeka zakon, nego se kreće kad kupac prvi put pita.
Zašto se sve vrti oko ISO 27001
Propisi u regionu koji su već prenijeli NIS2 oslanjaju se na mjere iz međunarodnog standarda koji već postoji. To je dobra vijest: ono što uradite danas vrijedi i pred kupcem u Njemačkoj, i na tenderu, i pred bankom — i kad zakon u BiH bude donesen.
ISO/IEC 27001 daje ono što propis traži a ne opisuje: popis informacione imovine, procjenu rizika, Izjavu o primjenjivosti (SoA), politike i procedure, obuku zaposlenih, prijavu i obradu incidenata, interni audit i preispitivanje od strane rukovodstva. Certifikat izdaje nezavisna akreditirana certifikacijska kuća — mi vas do njega pripremamo.
Kada vam NIST zaista treba
NIST Cybersecurity Framework 2.0 ima smisla kad radite sa američkim kupcem, matičnom kompanijom ili partnerom koji govori tim jezikom. Tada se od vas traži da opišete svoju sigurnost kroz njihove kategorije, ne da se po njima certificirate — jer certifikacije po NIST-u nema.
Dobra vijest je da ne morate raditi dva puta. NIST objavljuje zvanično mapiranje CSF 2.0 na ISO/IEC 27001:2022 (kroz OLIR katalog), pa se isti sistem koji gradite za zakon i za certifikat može prevesti na NIST jezik. Mapiranje je jednosmjerno i nije poklapanje jedan na jedan, ali pokriva najveći dio posla.
Naš savjet je isti kao i kod svih dvostrukih zahtjeva: ISO 27001 kao kičma, NIST kao rječnik prema američkoj strani. Obrnuto — graditi po NIST-u pa se poslije certificirati po 27001 — znači raditi isti posao dva puta.
Šta konkretno radimo
- Provjera šta se od vas traži — kratka analiza kupaca, sektora i ugovora, i šta iz NIS2 zahtjeva pada na vas.
- Gap analiza — gdje ste sada u odnosu na ISO/IEC 27001:2022 i na zahtjeve kupaca iz EU.
- Implementacija — rizici, SoA, dokumentacija, obuke zaposlenih, interni audit.
- Priprema za certifikaciju i podrška na dan audita, sa akreditiranom certifikacijskom kućom.
- Prelazak sa 2013 na 2022 — ako vam je certifikat ostao na staroj verziji.
- Mapiranje na NIST CSF 2.0 kad to traži partner.
Česta pitanja o NIS2 i informacionoj sigurnosti
Da li se NIS2 odnosi na Bosnu i Hercegovinu?
Ne direktno — direktiva obavezuje države članice EU, a BiH još nema državni zakon koji je prenosi; nacrt u Federaciji BiH je povučen, a zakon Republike Srpske o informacionoj bezbjednosti stariji je od direktive i ne prenosi je. Ali ako radite za kupca iz EU, on je po NIS2 dužan da upravlja rizikom svog lanca nabavke — pa pitanje dolazi sa te strane, i to već danas.
Da li mi treba NIST certifikat?
Takav certifikat ne postoji. NIST Cybersecurity Framework je dobrovoljan okvir i nema akreditirano tijelo koje izdaje certifikat po njemu. Ako vam partner traži „NIST usklađenost", to se pokazuje opisom sopstvenih mjera, najčešće mapiranjem sa ISO 27001 koji jeste certifikacijski standard.
Imamo ISO 27001 certifikat iz 2019 — važi li?
Provjerite koju verziju standarda nosi. Ako piše ISO/IEC 27001:2013, taj certifikat više ne važi — rok za prelazak na verziju 2022 istekao je 31. oktobra 2025. Prelazak se tada ne radi kao dopuna nego kao nova certifikacija.
Koliko traje uvođenje ISO 27001 do certifikata?
Za male i srednje organizacije obično četiri do osam mjeseci, zavisno od zrelosti procesa i raspoloživosti tima. Za velike sisteme sa više lokacija i preko godinu dana. Pošto kupci pitaju već danas, posao se ne odlaže do donošenja zakona.
Da li nam treba certifikat ako zakona nema?
Zakonski ne. Ali većini organizacija se isplati zbog kupaca iz EU, banaka i tendera — certifikat je najkraći odgovor na upitnik o sigurnosti lanca nabavke i ostaje važeći i kad zakon bude donesen.
Veza sa srodnim stranicama
Neke od naših referenci
Više od 400 organizacija u Crnoj Gori i regionu prošlo je kroz implementaciju s nama — od banaka i državnih organa do proizvodnje, IT-a, laboratorija i ugostiteljstva.
Ovo su samo neki od naših klijenata. Više o nama →
Tender vam traži standard?
Pošaljite izvod iz tenderske dokumentacije — besplatno ćemo provjeriti šta vam tačno treba. Pozovite nas ili pošaljite upit — odgovaramo u roku od 24h.