NIS2 · Informacije i IT · Srbija
NIS2 i Zakon o informacionoj bezbednosti
Srbija je sadržaj NIS2 prenela u Zakon o informacionoj bezbednosti, koji je na snazi od 31. oktobra 2025. Operatori prioritetnih i važnih IKT sistema moraju imati akt o bezbednosti, procenu rizika i prijavu incidenta u roku od 24 sata. Ovde je ko je obuhvaćen, šta se traži i zašto NIS2 i NIST nisu ista stvar.
NIS2 ili NIST — nije ista stvar
Ova dva imena se stalno mešaju jer zvuče slično, a reč je o dve potpuno različite stvari. Ono što je u Evropskoj uniji sada obavezno zove se NIS2.
- NIS2 — Direktiva (EU) 2022/2555. Evropski propis koji svaka država članica prenosi u svoj zakon. Nije dobrovoljan: nosi nadzor, obaveze prijave incidenata i kazne. Rok za prenošenje bio je 17. oktobar 2024, a tokom 2026. nadzorna tela širom EU već aktivno kažnjavaju.
- NIST — američki Nacionalni institut za standarde i tehnologiju. Njegov Cybersecurity Framework 2.0 je dobrovoljan okvir, ne propis. Ne postoji telo koje izdaje NIST sertifikat i nema audita koji se položi ili padne.
Praktično: ako vas kupac, banka ili nadzorni organ u Evropi nešto pita, pita vas za NIS2 i za ISO 27001. NIST se pojavljuje kad radite sa američkim partnerom — o tome niže.
Šta traži zakon u Srbiji
Zakon o informacionoj bezbednosti („Sl. glasnik RS“, br. 91/2025) objavljen je 23. oktobra 2025, a na snazi je od 31. oktobra 2025. Donet je radi usklađivanja sa Direktivom (EU) 2022/2555, dakle sa NIS2, i znatno širi krug obveznika: uz energetiku i rudarstvo, saobraćaj, bankarstvo i finansijska tržišta, zdravstvo, vodu za piće i otpadne vode, elektronske komunikacije i digitalnu infrastrukturu, obuhvata i proizvodnju i preradu hrane, lekova, medicinskih sredstava i motornih vozila, upravljanje otpadom, hemikalije, poštanske usluge i usluge informacionog društva, kao i državne organe.
Zakon obveznike naziva operatorima IKT sistema od posebnog značaja i deli ih na operatore prioritetnih i operatore važnih IKT sistema. Sertifikat po ISO/IEC 27001 se ne propisuje — traže se akt o proceni rizika, akt o bezbednosti IKT sistema, mere zaštite i prijava incidenta u roku od 24 sata od saznanja, uz izveštaje tokom trajanja incidenta i završni izveštaj u roku od 15 dana od njegovog prestanka. Nadzor vrši ministarstvo nadležno za informacionu bezbednost preko inspektora za informacionu bezbednost, uz sektorski nadzor Narodne banke Srbije, Komisije za hartije od vrednosti i RATEL-a; Kancelarija za informacionu bezbednost, koju zakon uspostavlja, počinje s radom 1. januara 2027, a do tada te poslove obavljaju Kancelarija za informacione tehnologije i elektronsku upravu i RATEL kao Nacionalni CERT.
Kazne zavise od kategorije: za pravno lice koje je operator prioritetnog IKT sistema idu do 2.000.000 dinara, za operatora važnog IKT sistema do 1.000.000 dinara, a za propuštenu prijavu incidenta i izveštaje do 500.000 dinara.
Ako niste sigurni da li ste operator IKT sistema od posebnog značaja: to zavisi od sektora i veličine organizacije, a deo pravila se razrađuje podzakonskim aktima. Zovite nas i proverićemo zajedno — to je pitanje od pet minuta, a odgovor menja plan za naredne dve godine.
Rokovi koji već teku
- 31. oktobar 2025 — Zakon o informacionoj bezbednosti („Sl. glasnik RS“, br. 91/2025) stupio na snagu.
- 31. oktobar 2025 — istekao rok za prelazak sa ISO/IEC 27001:2013 na verziju 2022. Sertifikati po staroj verziji od tog datuma više ne važe. Ako vam sertifikat nosi oznaku 2013, nemate važeći sertifikat — bez obzira na datum isteka odštampan na njemu.
- podzakonski akti — deo obaveza se primenjuje tek kad se donesu podzakonski akti, ali mere zaštite i prijava incidenata ne čekaju: zakon je već na snazi.
- u toku — u EU je punu transpoziciju NIS2 notifikovalo 23 od 27 država članica (stanje jul 2026), a Evropska komisija je preostale četiri uputila Sudu pravde EU; nadzor i kazne se već primenjuju. Ako izvozite ili radite za evropskog kupca, pitanje o bezbednosti informacija stiže od njega, ne od inspekcije.
Implementacija ISO 27001 realno traje od četiri meseca do preko godinu dana, zavisno od veličine sistema — a zakon se već primenjuje, pa se posao ne ostavlja za poslednji trenutak.
Zašto se sve vrti oko ISO 27001
Zakon ne traži sertifikat, ali mere koje propisuje pisane su u istom duhu kao međunarodni standard koji već postoji. To je dobra vest: ono što uradite za zakon vredi i pred kupcem u Nemačkoj, i na tenderu, i pred bankom.
ISO/IEC 27001 daje ono što propis traži a ne opisuje: popis informacione imovine, procenu rizika, Izjavu o primenjivosti (SoA), politike i procedure, obuku zaposlenih, prijavu i obradu incidenata, interni audit i preispitivanje od strane rukovodstva. Sertifikat izdaje nezavisna akreditovana sertifikaciona kuća — mi vas do njega pripremamo.
Kada vam NIST zaista treba
NIST Cybersecurity Framework 2.0 ima smisla kad radite sa američkim kupcem, matičnom kompanijom ili partnerom koji govori tim jezikom. Tada se od vas traži da opišete svoju bezbednost kroz njihove kategorije, ne da se po njima sertifikujete — jer sertifikacije po NIST-u nema.
Dobra vest je da ne morate raditi dva puta. NIST objavljuje zvanično mapiranje CSF 2.0 na ISO/IEC 27001:2022 (kroz OLIR katalog), pa se isti sistem koji gradite za zakon i za sertifikat može prevesti na NIST jezik. Mapiranje je jednosmerno i nije poklapanje jedan na jedan, ali pokriva najveći deo posla.
Naš savet je isti kao i kod svih dvostrukih zahteva: ISO 27001 kao kičma, NIST kao rečnik prema američkoj strani. Obrnuto — graditi po NIST-u pa se posle sertifikovati po 27001 — znači raditi isti posao dva puta.
Šta konkretno radimo
- Provera da li ste obveznik — kratka analiza sektora i veličine, i šta iz zakona pada na vas.
- Gap analiza — gde ste sada u odnosu na ISO/IEC 27001:2022 i na zahteve zakona.
- Implementacija — rizici, SoA, dokumentacija, obuke zaposlenih, interni audit.
- Priprema za sertifikaciju i podrška na dan audita, sa akreditovanom sertifikacionom kućom.
- Prelazak sa 2013 na 2022 — ako vam je sertifikat ostao na staroj verziji.
- Mapiranje na NIST CSF 2.0 kad to traži partner.
Česta pitanja o NIS2 i informacionoj bezbednosti
Da li se NIS2 odnosi na Srbiju kad nismo u EU?
Ne direktno — direktiva obavezuje države članice. Ali Srbija je njen sadržaj prenela u Zakon o informacionoj bezbednosti („Sl. glasnik RS“, br. 91/2025), koji je na snazi od 31. oktobra 2025. Dakle obaveza vam stiže kroz domaći zakon. Uz to, ako radite za kupca iz EU, on je po NIS2 dužan da proverava bezbednost svog lanca nabavke — pa pitanje dolazi i sa te strane.
Da li mi treba NIST sertifikat?
Takav sertifikat ne postoji. NIST Cybersecurity Framework je dobrovoljan okvir i nema akreditovano telo koje izdaje sertifikat po njemu. Ako vam partner traži „NIST usklađenost", to se pokazuje opisom sopstvenih mera, najčešće mapiranjem sa ISO 27001 koji jeste sertifikacioni standard.
Imamo ISO 27001 sertifikat iz 2019 — važi li?
Proverite koju verziju standarda nosi. Ako piše ISO/IEC 27001:2013, taj sertifikat više ne važi — rok za prelazak na verziju 2022 istekao je 31. oktobra 2025. Prelazak se tada ne radi kao dopuna nego kao nova sertifikacija.
Koliko traje uvođenje ISO 27001 do sertifikata?
Za male i srednje organizacije obično četiri do osam meseci, zavisno od zrelosti procesa i raspoloživosti tima. Za velike sisteme sa više lokacija i preko godinu dana. Pošto je zakon već na snazi, posao se pokreće odmah, a ne kad stigne inspekcija.
Šta ako smo važan, a ne prioritetan operator?
Obaveze su u najvećem delu iste — i važni operatori imaju mere zaštite, procenu rizika i prijavu incidenata; razlika je pre svega u visini kazni. Sertifikat se ne traži ni od jednih ni od drugih, ali se većini organizacija isplati zbog kupaca i tendera, a ne zbog inspekcije.
Veza sa srodnim stranicama
Neke od naših referenci
Više od 400 organizacija u Crnoj Gori i regionu prošlo je kroz implementaciju sa nama — od banaka i državnih organa do proizvodnje, IT-ja, laboratorija i ugostiteljstva.
Ovo su samo neki od naših klijenata. Više o nama →
Tender vam traži standard?
Pošaljite izvod iz tenderske dokumentacije — besplatno ćemo proveriti šta vam tačno treba. Pozovite nas ili pošaljite upit — odgovaramo u roku od 24h.