Aktuelnosti — propisi i rokovi

Zakon o otpornosti kritične infrastrukture — na snazi od 20. oktobra 2026

Skupština je 29. septembra 2026. donijela Zakon o otpornosti kritične infrastrukture („Sl. list CG“, br. 150/26 od 12. oktobra 2026), koji je stupio na snagu 20. oktobra 2026. i uputila ga Skupštini na usvajanje po hitnom postupku. Zakon prenosi evropsku direktivu CER — Direktivu (EU) 2022/2557 o otpornosti kritičnih subjekata, zajedno sa Regulativom (EU) 2023/2450 kojom je utvrđen popis ključnih usluga. Napominjemo: riječ je o zakonu objavljenom u „Sl. listu CG“, br. 150/26 — dok ne bude usvojen i objavljen u „Službenom listu“, obaveze iz njega još ne teku.

Da li smo mi kritična infrastruktura?

To je pitanje koje nam najčešće postavljaju otkad se zakon najavio. Sektori kritične infrastrukture po predlogu zakona su: energetika; saobraćaj; bankarstvo; infrastrukture finansijskog tržišta; zdravstvo; voda za piće; otpadne vode; digitalna infrastruktura; javna uprava; svemir; proizvodnja, prerada i distribucija hrane.

Ali pripadnost sektoru nije dovoljna. Vlada tek treba da propiše sektorske kriterijume i podsektore, a zatim nadležno ministarstvo odlukom određuje ko je kritični subjekat i o tome ga obavještava u roku od sedam dana. Dok takva odluka ne stigne, vaša organizacija nije kritični subjekat i nema obaveze iz ovog zakona — bez obzira na djelatnost. Ako ste u nekom od navedenih sektora i upravljate infrastrukturom čiji bi zastoj pogodio veći broj korisnika, realno je da se nađete na spisku.

Šta se traži od kritičnog subjekta

• formiranje tima za otpornost i imenovanje kontakt osobe;
• procjena rizika u odnosu na prijetnje koje mogu poremetiti ključnu uslugu;
• plan otpornosti u roku od devet mjeseci od odluke o određivanju — sa procjenom rizika, mjerama prevencije i postupanjem u incidentu;
• tehničke, bezbjednosne i organizacione mjere za sprječavanje i ublažavanje posljedica incidenta;
• obavještavanje ministarstva bez odlaganja o incidentu koji značajno utiče na ključnu uslugu;
• obuka zaposlenih u upravljanju rizicima i otpornosti, po programu koji izrađuje ministarstvo.

Kazne

Za pravno lice — kritični subjekat predviđena je novčana kazna od 3.000 do 20.000 eura (na primjer: nije formiran tim za otpornost, nije urađena procjena rizika, nije izrađen ili se ne sprovodi plan otpornosti). Za odgovorno lice u državnom organu, organu državne uprave ili jedinici lokalne samouprave kazna je od 500 do 2.000 eura, uz mogućnost zabrane obavljanja dužnosti u trajanju od tri do šest mjeseci.

Sajber dio nije u ovom zakonu

Mjere informacione i sajber bezbjednosti ovaj zakon izričito izuzima — njih uređuje Zakon o informacionoj bezbjednosti (crnogorska primjena NIS2). Ako ste obveznik oba, fizička i organizaciona otpornost ide po ovom zakonu, a zaštita informaciono-komunikacionih sistema po zakonu o informacionoj bezbjednosti.

Kako se pripremiti prije nego što odluka stigne

Plan otpornosti i procjena rizika nisu nov izum — to je tačno ono što rade ISO 22301 (kontinuitet poslovanja) i ISO 31000 (upravljanje rizicima). Organizacija koja već ima uveden ISO 22301 ima analizu uticaja na poslovanje, planove oporavka i testiranje, pa joj plan otpornosti ostaje da se formom prilagodi zakonu, umjesto da se piše od nule u roku od devet mjeseci.

Zakon o podacima koje obrađuju nadležni organi — primjenjuje se od marta 2027.

Uz novi opšti zakon o zaštiti podataka o ličnosti, Crna Gora je dobila i poseban zakon za podatke koje obrađuju nadležni organi u svrhu sprječavanja, istraživanja, otkrivanja ili gonjenja krivičnih djela ili izvršenja krivičnih sankcija. Skupština ga je donijela 4. septembra 2026, a objavljen je u „Službenom listu Crne Gore“, br. 132/26 od 9. septembra 2026. Stupa na snagu osmog dana od objavljivanja, a primjenjuje se tek nakon šest mjeseci od stupanja na snagu — dakle od sredine marta 2027. Dio odredaba počinje da važi tek danom pristupanja Crne Gore Evropskoj uniji.

Zašto se tiče i firmi, a ne samo policije i tužilaštva

Zakon se primjenjuje na nadležne organe, ali i na obrađivače koji postupaju u njihovo ime. To su, u praksi, privredna društva: održavanje IT sistema i baza, hosting, video-nadzor, arhiviranje i uništavanje dokumentacije, razvoj i podrška softvera koji te organe opslužuje. Ako imate takav ugovor, dio obaveza prelazi na vas.

Šta se traži

• obrađivač vodi evidenciju svih kategorija aktivnosti obrade koje obavlja u ime rukovaoca;
• povreda podataka prijavljuje se Agenciji najkasnije u roku od 72 časa, a obrađivač o njoj bez nepotrebnog odlaganja obavještava rukovaoca;
• određuje se lice za zaštitu podataka o ličnosti;
• obrada po pisanom nalogu rukovaoca, uz obavještavanje o svim izmjenama u pogledu podobrađivača.

Čime se to pokriva

Zahtjevi su po sadržaju isti kao kod GDPR-a — evidencije, mjere bezbjednosti, rokovi za prijavu incidenta. Organizacija koja ima ISO/IEC 27001 i proširenje ISO/IEC 27701 već ima evidencije obrade, postupak za incidente i imenovano lice — ostaje da se ugovori sa nadležnim organima usklade sa novim zakonom.

ISO 9001:2026 je objavljen — počinje prelazak sa verzije 2015

Nova verzija najrasprostranjenijeg standarda — koristi ga preko milion organizacija — objavljena je 16. septembra 2026. Sertifikati po verziji 2015 važe tokom prelaznog perioda, koji se očekuje oko tri godine, do jeseni 2029; zvanično ga utvrđuje Global Accreditation Cooperation (ranije IAF).

Šta se konkretno mijenja

• Kultura kvaliteta i etičko ponašanje prvi put su dio zahtjeva — rukovodstvo ih aktivno promoviše, a vide se kroz obuke, komunikaciju i lični primjer, ne kroz potpisanu politiku na zidu.
• Rizici i prilike se razdvajaju — mjere za jedne i za druge planiraju se odvojeno.
• Klimatske promjene — izmjena iz 2024. ugrađena je u tačku 4.1.
• Najnovija harmonizovana struktura olakšava integraciju sa ISO 14001, ISO 45001 i drugim standardima.
• Novi dio koji objašnjava namjeru zahtjeva. Standard ostaje tehnološki neutralan — vještačka inteligencija nije uvedena kao poseban zahtjev.

Ko ima uredno vođen sistem po verziji 2015, nema pred sobom nov projekat nego dopunu. Sertifikacione kuće prvo prolaze akreditaciju za novu verziju, pa sertifikati po verziji 2026 stižu tek nakon toga — ako vam sertifikacija tek predstoji, nema razloga za čekanje.

Usvojen novi Zakon o zaštiti podataka o ličnosti — kazne do 2 miliona €, prijava povrede u roku od 72 sata

Vlada je u avgustu utvrdila, a Skupština početkom septembra 2026. usvojila novi Zakon o zaštiti podataka o ličnosti, usklađen sa GDPR-om, kao i poseban zakon o podacima koje obrađuju nadležni organi radi sprečavanja i gonjenja krivičnih djela. Zakon donosi potpuno nov pravni okvir, umjesto dosadašnjeg zakona sa izmjenama iz 2024.

Šta se mijenja za firme i institucije

• Kazne do 2.000.000 € ili do 4% ukupnog svjetskog godišnjeg prometa za najteže povrede (načela obrade, prava građana, nezakonit prenos podataka u inostranstvo); za ostale povrede do 1.000.000 € ili 2% prometa.
• Povreda bezbjednosti podataka prijavljuje se nadzornom organu najkasnije u roku od 72 sata, a pogođena lica obavještavaju se kad postoji visok rizik. Svaka povreda se dokumentuje.
• Procjena uticaja (DPIA) za rizične obrade: obimno profilisanje, automatizovano odlučivanje, posebne kategorije podataka, sistematsko praćenje javnog prostora.
• Službenik za zaštitu podataka mora biti pravovremeno uključen, ne prima uputstva i ne smije biti kažnjen zbog svog rada.
• Šira prava građana: pristup, ispravka, brisanje („pravo na zaborav“), ograničenje obrade, prenosivost i prigovor. Saglasnost se povlači jednako lako kao što se daje, a za djecu mlađu od 16 godina potrebna je saglasnost roditelja.

Nadzor vrši Agencija sa sjedištem u Podgorici. Drugi propisi koji uređuju obradu ličnih podataka usklađuju se sa novim zakonom do 1. decembra 2026. Iznosi i rokovi navedeni su prema Predlogu zakona koji je Vlada uputila Skupštini.

EU Akt o vještačkoj inteligenciji — obaveze za visokorizične sisteme

Od 2. avgusta 2026 primjenjuju se pune obaveze za visokorizične sisteme vještačke inteligencije: ocjenjivanje usaglašenosti i upis u EU bazu. Za dobavljače iz Crne Gore to stiže preko kupca iz Unije, isto kao i kod NIS2. ISO/IEC 42001 nije isto što i usaglašenost sa Aktom — standard sertifikuje sistem upravljanja vještačkom inteligencijom u organizaciji, dok Akt uređuje sam proizvod. Preklapanje je znatno (upravljanje rizicima, upravljanje podacima, transparentnost, ljudski nadzor), pa 42001 skraćuje put, ali ga ne zamjenjuje.

ISO 27001 nema novo izdanje — šta jeste važeće u 2026.

Pitanje se ponavlja, pa da bude jasno: ISO/IEC 27001:2026 ne postoji. Važeće izdanje je i dalje ISO/IEC 27001:2022, uz klimatski amandman iz 2024.

U julu 2026. objavljen je ISO/IEC 27000:2026, ali to je pregledni standard sa pojmovima i rječnikom — ne zamjenjuje 27001 i po njemu se ne sertifikuje.

Ono što jeste isteklo je verzija 2013: sertifikati po njoj ne važe od 31. oktobra 2025.

ISO 19011:2026 — nova uputstva za provjeru sistema menadžmenta

Četvrto izdanje standarda po kojem se rade interne i eksterne provjere objavljeno je u maju 2026. Radi se o tehničkoj doradi, ne o preokretu: načela provjere — nezavisnost, dokazi, profesionalna pažnja, pristup zasnovan na riziku — ostaju ista.

Najveća novina je audit na daljinu, kombinovani audit i upotreba digitalnih alata tokom provjere, što je poslije 2020. postalo praksa pa je sada i uređeno.

Važno: po ISO 19011 se organizacija ne sertifikuje — to su smjernice. Ali on je osnov za obuku internih auditora i za način na koji sertifikaciona tijela vode provjere, pa se tiče svakoga ko ima uveden sistem.

Novi Zakon o bezbjednosti hrane — stroža sljedljivost

Zakon o bezbjednosti hrane (Sl. list CG, br. 59/2026) uveo je stroža pravila sljedljivosti „korak naprijed — korak nazad“ kroz cio lanac hrane — od sirovine do krajnjeg potrošača — uz kazne za prekršioce do 20.000 eura. Obaveza uspostavljanja procedura zasnovanih na HACCP principima ostaje temelj usklađenosti za sve subjekte u poslovanju hranom.

ISO 14001:2026 je objavljen — prelazak sa verzije 2015 očekuje se do aprila 2029

Nova verzija objavljena je 15. aprila 2026. Prema ISO-u, standardu vjeruje preko 670.000 sertifikovanih organizacija u svijetu. Sertifikacione kuće najavljuju prelazni period od tri godine, do kraja aprila 2029; zvanična pravila prelaska utvrđuje Global Accreditation Cooperation (ranije IAF).

Šta se konkretno mijenja

• Nova tačka 6.3 — planiranje izmjena. Izmjene koje utiču na sistem sprovode se planski i kontrolisano, kao što već traže ISO 9001 i ISO 45001.
• Klimatske promjene, biodiverzitet i prirodni resursi razmatraju se izričito, kao dio konteksta organizacije.
• Životni ciklus i lanac snabdijevanja — uticaji se sagledavaju i kod dobavljača i eksternih procesa.
• Učinak se pokazuje mjerljivo — rezultatima i podacima, ne opisom namjera.
• Jače liderstvo i upravljanje, jasnija uputstva i lakša integracija sa drugim ISO standardima.

Prelazak se najčešće radi na redovnoj nadzornoj ili resertifikacionoj provjeri, uz dodatno vrijeme audita. Za organizaciju koja već ima uveden sistem, težište je na tački 6.3, lancu snabdijevanja i na tome da se učinak pokaže podacima.

CBAM je ušao u punu primjenu — koga pogađa pri izvozu u EU

Od 1. januara 2026 mehanizam za graničnu naplatu ugljenika (CBAM) je u punoj primjeni. Uvoznik u EU mora imati status ovlašćenog CBAM deklaranta ako godišnje uvozi preko 50 tona obuhvaćene robe — gvožđe i čelik, aluminijum, cement, đubriva, električna energija i vodonik. Ispod tog praga nema nikakvih obaveza. Prva godišnja prijava podnosi se do 30. septembra 2027, a sertifikati se kupuju od februara 2027. Za izvoznike iz Crne Gore to znači da kupac traži podatke o ugrađenim emisijama po pošiljci — a ti podaci se najlakše daju iz sistema koji ih ionako mjeri.

Izmjene Zakona o energetici i zabrana subvencija fosilnih kotlova

Zakon o energetici izmijenjen je u Sl. listu CG br. 28/2025 i 3/2026. U okviru usklađivanja sa direktivama EU o energetskim svojstvima zgrada, Crna Gora je dobila rok do juna 2026. da zakonom zabrani subvencionisanje kotlova na fosilna goriva, dok sve nove zgrade u javnom vlasništvu od 1. januara 2028. moraju biti projektovane sa nultom emisijom.

Sertifikati po ISO/IEC 27001:2013 više ne važe

Prelazni rok koji je Međunarodni forum za akreditaciju (IAF) odredio za prelazak sa verzije 2013 na ISO/IEC 27001:2022 istekao je 31. oktobra 2025. Sertifikati izdati po staroj verziji od tog datuma se povlače i prestaju da važe, bez obzira na datum isteka odštampan na samom sertifikatu. Ako vam dokument nosi oznaku 2013, pred kupcem, na tenderu i pred nadzorom nemate važeći sertifikat, a prelazak se više ne radi kao dopuna nego kao nova sertifikacija. Za ključne subjekte po Zakonu o informacionoj bezbjednosti ovo se preklapa sa rokom iz juna 2027 — vrijedi provjeriti verziju na vrijeme.

Zakon o informacionoj bezbjednosti (NIS2) — ISO 27001 postaje obavezan za dio subjekata

Zakon o informacionoj bezbjednosti (Sl. list CG, br. 113/2024) na snazi je od 5. decembra 2024. i usklađuje Crnu Goru sa EU NIS2 direktivom — među prvim zemljama Zapadnog Balkana koje su to učinile. Uvodi kategorije „ključnih“ i „važnih subjekata“ (državni organi, operateri kritične infrastrukture, privredna društva iz osjetljivih djelatnosti). Ključni subjekti moraju pribaviti MEST ISO/IEC 27001 sertifikat u roku od 30 mjeseci — najkasnije do juna 2027, a važni primjenjuju propisane mjere bezbjednosti bez obaveznog sertifikata.

Izmjene Zakona o zaštiti i zdravlju na radu

Izmjene i dopune propisa o inspekcijskom nadzoru u oblasti zaštite i zdravlja na radu objavljene su u Sl. listu CG br. 084/24 od 6. septembra 2024, a primjenjuju se od 1. oktobra 2024. Pooštren je inspekcijski nadzor nad poslodavcima — dodatni razlog da sistem bezbjednosti i zdravlja na radu bude dokumentovan i ažuran.

Prvi Zakon o korišćenju energije iz obnovljivih izvora

Skupština Crne Gore usvojila je 17. avgusta 2024. prvi zakon ove vrste (Sl. list CG 082/24), na snazi od 31. avgusta 2024. Zakon postavlja temelje za podsticanje investicija u obnovljive izvore energije, sa naglaskom na smanjenje emisija CO2 — relevantno za svaku organizaciju koja uvodi sistem energetskog menadžmenta.

Klimatski amandman — tiha izmjena koja se tiče svakog sertifikata

U februaru 2024. ISO je u 31 standard sistema menadžmenta ubacio obavezu da se razmotri klimatska promjena — među njima su ISO 9001, 14001, 45001, 22000, 22301, 27001 i 50001.

Konkretno: u tački 4.1 organizacija mora ocijeniti da li je klimatska promjena bitna za njen sistem, a u tački 4.2 da li zainteresovane strane po tom osnovu nešto traže. Ako jeste bitna, ulazi u ciljeve i u procjenu rizika.

Amandman je stupio na snagu odmah, bez prelaznog roka. To u praksi znači da auditor na sljedećoj nadzornoj provjeri traži dokaz da ste to razmotrili — a najčešći nalaz je da nije zabilježeno nigdje, iako je o tome razmišljano.

Izvor: zajedničko saopštenje ISO i IAF iz februara 2024.