NIS2 · Информации и ИТ · Северна Македонија
NIS2 и Законот за безбедност на мрежни и информациски системи
Северна Македонија ја пренесе NIS2 во Законот за безбедност на мрежни и информациски системи, кој се применува од 1 јануари 2026 година. Суштинските и важните субјекти мора да спроведуваат мерки сразмерни на ризикот и да пријавуваат инциденти — првото известување најдоцна за 3 часа. Тука е кој е опфатен, што се бара и зошто NIS2 и NIST не се исто.
NIS2 или NIST — не е исто
Овие две имиња постојано се мешаат затоа што звучат слично, а станува збор за две сосема различни работи. Она што во Европската Унија сега е задолжително се вика NIS2.
- NIS2 — Директива (ЕУ) 2022/2555. Европски пропис што секоја земја членка го пренесува во својот закон. Не е доброволен: носи надзор, обврски за пријавување инциденти и казни. Рокот за пренесување беше 17 октомври 2024 година, а во текот на 2026 година надзорните тела низ ЕУ веќе активно казнуваат.
- NIST — американскиот Национален институт за стандарди и технологија. Неговиот Cybersecurity Framework 2.0 е доброволна рамка, а не пропис. Не постои тело што издава NIST сертификат и нема аудит што се положува или паѓа.
Практично: ако купувач, банка или надзорен орган во Европа ве праша нешто, ве прашува за NIS2 и за ISO 27001. NIST се појавува кога работите со американски партнер — за тоа подолу.
Што бара законот во Северна Македонија
Собранието на Република Северна Македонија го донесе Законот за безбедност на мрежни и информациски системи („Службен весник на РСМ“ бр. 135/2025) на 27 јуни 2025 година, а законот се применува од 1 јануари 2026 година. Усогласен е со Директивата (ЕУ) 2022/2555, односно со NIS2, и опфаќа широк круг обврзници: покрај јавниот сектор, енергетиката, транспортот, банкарството, финансиските пазари, здравството, дигиталната инфраструктура, управувањето со ИКТ услуги и електронските комуникации, ги опфаќа и водата за пиење и отпадните води, поштенските и курирските услуги, управувањето со отпад, хемикалиите, храната, производството, дигиталните даватели на услуги и истражувањето. За овие последни области законот ќе почне да се применува дури од денот на пристапувањето на Северна Македонија во ЕУ.
Законот ги опфаќа средните и големите субјекти во овие сектори, јавниот сектор и одредени субјекти без оглед на големината, и ги дели на суштински и важни; конкретните листи ги утврдува Владата. Сертификат според ISO/IEC 27001 не се пропишува — се бараат технички, оперативни и организациски мерки сразмерни на ризикот (член 32), меѓу нив анализа на ризикот, континуитет на работењето и безбедност на синџирот на снабдување, како и пријавување инциденти: прво известување најдоцна за 3 часа од дознавањето, рано предупредување за 24 часа, известување за 72 часа и завршен извештај за еден месец. Надлежни се Министерството за дигитална трансформација (за Владата, министерствата, органите на управата и општините) и Агенцијата за електронски комуникации преку Националниот центар за одговор на компјутерски инциденти (MKD-CIRT), а казните за правно лице одат до 2% од вкупниот годишен приход за суштински и до 1,4% за важен субјект (членови 54–56).
Ако не сте сигурни дали сте суштински или важен субјект: тоа зависи од секторот и од големината на организацијата, а конкретните листи ги утврдува Владата. Јавете ни се и ќе провериме заедно — тоа е прашање од пет минути, а одговорот го менува планот за наредните две години.
Рокови што веќе течат
- 1 јануари 2026 — почна примената на Законот за безбедност на мрежни и информациски системи („Службен весник на РСМ“ бр. 135/2025), кој стапи на сила на 12 јули 2025 година.
- 31 октомври 2025 — истече рокот за премин од ISO/IEC 27001:2013 на верзијата 2022. Сертификатите според старата верзија од тој датум повеќе не важат. Ако вашиот сертификат ја носи ознаката 2013, немате важечки сертификат — без оглед на датумот на истекување отпечатен на него.
- пристапување во ЕУ — за водата за пиење и отпадните води, поштенските и курирските услуги, отпадот, хемикалиите, храната, производството, дигиталните даватели на услуги и истражувањето законот ќе се применува дури од денот на пристапувањето во ЕУ; за другите сектори мерките и пријавувањето инциденти не чекаат: законот се применува од 1 јануари 2026 година.
- во тек — во ЕУ до 2026 година NIS2 ја пренеле 22 од 27 земји членки, а надзорот и казните веќе се применуваат. Ако извезувате или работите за европски купувач, прашањето за безбедноста на информациите ви доаѓа од него, а не од надзорниот орган — дури и ако вашиот сектор сè уште не е опфатен со домашниот закон.
Имплементацијата на ISO 27001 реално трае од четири месеци до над една година, зависно од големината на системот — а законот веќе се применува, па работата не се остава за последен момент.
Зошто сè се врти околу ISO 27001
Законот не бара сертификат, но мерките што ги пропишува се напишани во истиот дух како меѓународниот стандард што веќе постои. Тоа е добра вест: она што ќе го направите за законот вреди и пред купувач во Германија, и на тендер, и пред банка.
ISO/IEC 27001 го дава она што прописот го бара, а не го опишува: попис на информациските средства, процена на ризикот, Изјава за применливост (SoA), политики и процедури, обука на вработените, пријавување и обработка на инциденти, интерна проверка (интерен аудит) и преглед од раководството. Сертификатот го издава независно акредитирано сертификационо тело — ние ве подготвуваме за него.
Кога NIST навистина ви треба
NIST Cybersecurity Framework 2.0 има смисла кога работите со американски купувач, матична компанија или партнер што го зборува тој јазик. Тогаш од вас се бара да ја опишете својата безбедност преку нивните категории, а не да се сертифицирате според нив — зашто сертификација според NIST не постои.
Добрата вест е што не мора да работите двапати. NIST објавува официјално мапирање на CSF 2.0 кон ISO/IEC 27001:2022 (преку каталогот OLIR), па истиот систем што го градите за законот и за сертификатот може да се преведе на јазикот на NIST. Мапирањето е еднонасочно и не е совпаѓање еден на еден, но го покрива најголемиот дел од работата.
Нашиот совет е ист како и кај сите двојни барања: ISO 27001 како основа, NIST како речник кон американската страна. Обратното — да градите според NIST, а потоа да се сертифицирате според 27001 — значи двапати да ја работите истата работа.
Што конкретно правиме
- Проверка дали сте обврзник — кратка анализа на секторот и големината, и што од законот се однесува на вас и од кога.
- Гап-анализа — каде сте сега во однос на ISO/IEC 27001:2022 и на барањата на законот.
- Имплементација — ризици, SoA, документација, обуки на вработените, интерна проверка.
- Подготовка за сертификација и поддршка на денот на проверката, со акредитирано сертификационо тело.
- Премин од 2013 на 2022 — ако сертификатот ви останал на старата верзија.
- Мапирање кон NIST CSF 2.0 кога тоа го бара партнерот.
Чести прашања за NIS2 и информациската безбедност
Дали NIS2 се однесува на Северна Македонија кога не сме во ЕУ?
Не директно — директивата ги обврзува земјите членки. Но Северна Македонија ја пренесе нејзината содржина во Законот за безбедност на мрежни и информациски системи („Службен весник на РСМ“ бр. 135/2025), кој се применува од 1 јануари 2026 година. Значи, обврската ви доаѓа преку домашниот закон — освен за дел од секторите (меѓу другото храна и производство), за кои законот ќе се применува дури од пристапувањето во ЕУ. Покрај тоа, ако работите за купувач од ЕУ, тој според NIS2 е должен да ја проверува безбедноста на својот синџир на снабдување — па прашањето доаѓа и од таа страна.
Дали ми треба NIST сертификат?
Таков сертификат не постои. NIST Cybersecurity Framework е доброволна рамка и нема акредитирано тело што издава сертификат според неа. Ако партнерот бара „NIST усогласеност“, таа се докажува со опис на сопствените мерки, најчесто со мапирање кон ISO 27001, кој е стандард за сертификација.
Имаме ISO 27001 сертификат од 2019 година — дали важи?
Проверете која верзија на стандардот ја носи. Ако пишува ISO/IEC 27001:2013, тој сертификат повеќе не важи — рокот за премин на верзијата 2022 истече на 31 октомври 2025. Во тој случај преминот не се прави како дополнување, туку како нова сертификација.
Колку трае воведувањето на ISO 27001 до сертификат?
За мали и средни организации обично од четири до осум месеци, зависно од зрелоста на процесите и расположливоста на тимот. За големи системи со повеќе локации — и над една година. Бидејќи законот веќе се применува, со работата се почнува веднаш, а не кога ќе дојде надзор.
Што ако сме важен, а не суштински субјект?
Обврските во најголем дел се исти — и важните субјекти мора да спроведуваат мерки за заштита, процена на ризикот и пријавување инциденти; разликата е пред сè во казните: до 1,4% од вкупниот годишен приход за важен субјект, наспроти до 2% за суштински, на кој може да му се изрече и забрана за вршење дејност. Сертификат не се бара ни од едните ни од другите, но на повеќето организации им се исплати заради купувачите и тендерите, а не заради надзорот.
Поврзани страници
Некои од нашите референци
Повеќе од 400 организации во Црна Гора и регионот ја поминаа имплементацијата со нас — од банки и државни органи до производство, ИТ, лаборатории и угостителство.
Ова се само дел од нашите клиенти. Повеќе за нас →
Тендерот ви бара стандард?
Испратете извадок од тендерската документација — бесплатно ќе провериме што точно ви треба. Јавете ни се или испратете барање — одговараме во рок од 24 часа.