NIS2 · Informacije i IT · Hrvatska
NIS2 i Zakon o kibernetičkoj sigurnosti
Hrvatska je NIS2 prenijela Zakonom o kibernetičkoj sigurnosti, koji je na snazi od 15. veljače 2024. Ključni i važni subjekti moraju provesti mjere upravljanja rizicima u roku od godine dana od obavijesti o kategorizaciji. Ovdje pročitajte tko je obuhvaćen, koji rokovi teku i zašto NIS2 i NIST nisu ista stvar.
NIS2 ili NIST — nije ista stvar
Ova se dva imena stalno miješaju jer zvuče slično, a riječ je o dvjema potpuno različitim stvarima. Ono što je u Europskoj uniji sada obvezno zove se NIS2.
- NIS2 — Direktiva (EU) 2022/2555. Europski propis koji svaka država članica prenosi u svoj zakon. Nije dobrovoljan: nosi nadzor, obveze prijave incidenata i kazne. Rok za prenošenje bio je 17. listopada 2024., a tijekom 2026. nadzorna tijela diljem EU-a već aktivno kažnjavaju.
- NIST — američki Nacionalni institut za standarde i tehnologiju. Njegov Cybersecurity Framework 2.0 je dobrovoljan okvir, a ne propis. Ne postoji tijelo koje izdaje NIST certifikat i nema audita koji se prođe ili padne.
U praksi: ako vas kupac, banka ili nadzorno tijelo u Europi nešto pita, pita vas za NIS2 i za ISO 27001. NIST se pojavljuje kad radite s američkim partnerom — o tome niže.
Što traži hrvatski zakon
Hrvatski sabor donio je Zakon o kibernetičkoj sigurnosti (NN 14/24), koji je na snazi od 15. veljače 2024., a provedbu razrađuje Uredba o kibernetičkoj sigurnosti (NN 135/24). Zakon prenosi Direktivu (EU) 2022/2555, dakle NIS2.
Zakon dijeli obveznike na ključne i važne subjekte, a o kategorizaciji ih obavještava nadležno tijelo. Od te obavijesti teče rok od godine dana za provedbu mjera upravljanja kibernetičkim sigurnosnim rizicima. Ključni subjekti prolaze reviziju kibernetičke sigurnosti najmanje jednom u dvije godine, a važni provode samoprocjenu najmanje jednom u dvije godine. Certifikat po ISO/IEC 27001 nije propisan kao obveza, ali su mjere pisane u istom duhu.
Ako niste sigurni jeste li na popisu ključnih ili važnih subjekata: to ovisi o sektoru i veličini organizacije, a nadležno tijelo vas o tome obavještava. Nazovite nas i provjerit ćemo zajedno — to je pitanje od pet minuta, a odgovor mijenja plan za naredne dvije godine.
Rokovi koji već teku
- 15. veljače 2024. — Zakon o kibernetičkoj sigurnosti (NN 14/24) stupio na snagu.
- 31. listopada 2025. — istekao rok za prijelaz s ISO/IEC 27001:2013 na verziju iz 2022. Certifikati prema staroj verziji od tog datuma više ne vrijede. Ako vam certifikat nosi oznaku 2013, nemate valjan certifikat — bez obzira na datum isteka otisnut na njemu.
- godina dana od obavijesti — rok u kojem ključni i važni subjekti moraju provesti mjere upravljanja kibernetičkim sigurnosnim rizicima, računajući od dana kad im je dostavljena obavijest o kategorizaciji.
- u tijeku — većina država članica EU-a prenijela je NIS2 u nacionalno zakonodavstvo, a protiv onih koje kasne Europska komisija vodi postupke zbog povrede prava EU-a; nadzor i kazne već se primjenjuju. U Hrvatskoj je Zakon o kibernetičkoj sigurnosti na snazi od 2024., a pitanje o sigurnosti informacija sve češće postavljaju i kupci.
Implementacija ISO 27001 realno traje od četiri mjeseca do više od godinu dana, ovisno o veličini sustava — pa se rok od godine dana ne planira u zadnjem mjesecu.
Zašto se sve vrti oko ISO 27001
Mjere koje zakon traži nisu izmišljene iznova — oslanjaju se na isti pristup kao međunarodni standard koji već postoji. To je dobra vijest: ono što napravite za zakon vrijedi i pred kupcem u Njemačkoj, i na natječaju, i pred bankom.
ISO/IEC 27001 daje ono što propis traži, a ne opisuje: popis informacijske imovine, procjenu rizika, Izjavu o primjenjivosti (SoA), politike i procedure, edukaciju zaposlenika, prijavu i obradu incidenata, interni audit i upravinu ocjenu. Certifikat izdaje neovisna akreditirana certifikacijska kuća — mi vas za njega pripremamo.
Kada vam NIST zaista treba
NIST Cybersecurity Framework 2.0 ima smisla kad radite s američkim kupcem, matičnom tvrtkom ili partnerom koji govori tim jezikom. Tada se od vas traži da opišete svoju sigurnost kroz njihove kategorije, a ne da se po njima certificirate — jer certifikacije po NIST-u nema.
Dobra je vijest da ne morate raditi dva puta. NIST objavljuje službeno mapiranje CSF 2.0 na ISO/IEC 27001:2022 (u katalogu OLIR), pa se isti sustav koji gradite za zakon i za certifikat može prevesti na NIST jezik. Mapiranje je jednosmjerno i nije poklapanje jedan na jedan, ali pokriva najveći dio posla.
Naš savjet je isti kao i kod svih dvostrukih zahtjeva: ISO 27001 kao kičma, NIST kao rječnik prema američkoj strani. Obrnuto — graditi po NIST-u pa se poslije certificirati po 27001 — znači raditi isti posao dva puta.
Što konkretno radimo
- Provjera jeste li obveznik — kratka analiza sektora i veličine, i što iz zakona pada na vas.
- Gap analiza — gdje ste sada u odnosu na ISO/IEC 27001:2022 i na zahtjeve zakona.
- Implementacija — rizici, SoA, dokumentacija, edukacije zaposlenika, interni audit.
- Priprema za certifikaciju i podrška na dan audita, s akreditiranom certifikacijskom kućom.
- Prijelaz s verzije 2013 na 2022 — ako vam je certifikat ostao na staroj verziji.
- Mapiranje na NIST CSF 2.0 kad to traži partner.
Česta pitanja o NIS2 i informacijskoj sigurnosti
Odnosi li se NIS2 na našu tvrtku?
Hrvatska je članica EU, pa se NIS2 na vas odnosi preko Zakona o kibernetičkoj sigurnosti (NN 14/24), koji je na snazi od 15. veljače 2024. Ako ste ključni ili važni subjekt, nadležno tijelo vas o tome obavještava, a od te obavijesti teče rok od godine dana za provedbu mjera. Uz to, i kupci iz EU po NIS2 provjeravaju sigurnost svog lanca nabave — pa pitanje dolazi i s te strane.
Treba li mi NIST certifikat?
Takav certifikat ne postoji. NIST Cybersecurity Framework dobrovoljan je okvir i nema akreditiranog tijela koje izdaje certifikat po njemu. Ako vam partner traži „NIST usklađenost“, to se pokazuje opisom vlastitih mjera, najčešće mapiranjem s ISO 27001, koji jest certifikacijski standard.
Imamo ISO 27001 certifikat iz 2019. — vrijedi li?
Provjerite koju verziju standarda nosi. Ako piše ISO/IEC 27001:2013, taj certifikat više ne vrijedi — rok za prijelaz na verziju iz 2022. istekao je 31. listopada 2025. Prijelaz se tada ne provodi kao dopuna, nego kao nova certifikacija.
Koliko traje uvođenje ISO 27001 do certifikata?
Za male i srednje organizacije obično četiri do osam mjeseci, ovisno o zrelosti procesa i raspoloživosti tima. Za velike sustave s više lokacija i preko godinu dana. Zbog roka od godine dana od obavijesti o kategorizaciji posao se pokreće čim obavijest stigne, ako ne i ranije.
Što ako smo važan, a ne ključan subjekt?
Mjere su iste, ali je provjera blaža: važni subjekti provode samoprocjenu najmanje jednom u dvije godine, dok ključni prolaze reviziju kibernetičke sigurnosti. Kazne su također niže — za važne subjekte do 7.000.000 eura ili do 1,4 % ukupnoga godišnjeg prometa na svjetskoj razini, za ključne do 10.000.000 eura ili do 2 %, ovisno o tome koji je iznos veći. Certifikat se ne traži ni od jednih ni od drugih, ali se većini organizacija isplati zbog kupaca i natječaja.
Veza sa srodnim stranicama
Neke od naših referenci
Više od 400 organizacija u Crnoj Gori i regiji prošlo je kroz implementaciju s nama — od banaka i državnih tijela do proizvodnje, IT-a, laboratorija i ugostiteljstva.
Ovo su samo neki od naših klijenata. Više o nama →
Natječaj od vas traži standard?
Pošaljite izvadak iz natječajne dokumentacije — besplatno ćemo provjeriti što vam točno treba. Nazovite nas ili pošaljite upit — odgovaramo u roku od 24h.