NIS2 · Informacije i IT · Crna Gora
NIS2 i Zakon o informacionoj bezbjednosti
Crna Gora je NIS2 prenijela u svoj zakon u decembru 2024. Ključni subjekti moraju imati sertifikat po MEST ISO/IEC 27001 — rok je jun 2027. Ovdje je ko je obuhvaćen, koji rokovi teku i zašto NIS2 i NIST nisu ista stvar.
NIS2 ili NIST — nije ista stvar
Ova dva imena se stalno miješaju jer zvuče slično, a riječ je o dvije potpuno različite stvari. Ono što je u Evropskoj uniji sada obavezno zove se NIS2.
- NIS2 — Direktiva (EU) 2022/2555. Evropski propis koji svaka država članica prenosi u svoj zakon. Nije dobrovoljan: nosi nadzor, obaveze prijave incidenata i kazne. Rok za prenošenje bio je 17. oktobar 2024, a tokom 2026. nadzorna tijela širom EU već aktivno kažnjavaju.
- NIST — američki Nacionalni institut za standarde i tehnologiju. Njegov Cybersecurity Framework 2.0 je dobrovoljan okvir, ne propis. Ne postoji tijelo koje izdaje NIST sertifikat i nema audita koji se položi ili padne.
Praktično: ako vas kupac, banka ili nadzorni organ u Evropi nešto pita, pita vas za NIS2 i za ISO 27001. NIST se pojavljuje kad radite sa američkim partnerom — o tome niže.
Šta traži crnogorski zakon
Skupština Crne Gore usvojila je Zakon o informacionoj bezbjednosti 19. novembra 2024, a na snazi je od 5. decembra 2024. Zakon je usklađen sa Direktivom (EU) 2022/2555, dakle sa NIS2.
Zakon dijeli obveznike na ključne i važne subjekte. Za ključne subjekte obaveza nije opisana uopšteno kao „primijenite mjere bezbjednosti" — zakon imenom traži sertifikat o usklađenosti sa MEST ISO/IEC 27001, i to u roku od 30 mjeseci od stupanja zakona na snagu. To vodi na jun 2027. Uz sertifikat ide i obaveza periodične provjere usklađenosti.
Ako niste sigurni da li ste na spisku ključnih ili važnih subjekata: spisak utvrđuje Vlada, po sektorima navedenim u zakonu i bez obzira na veličinu organizacije, a nadležno ministarstvo obavještava subjekte koji su na njemu. Važni subjekti primjenjuju propisane mjere bez obaveznog sertifikata, a osnovne mjere informacione bezbjednosti i zaposlenog zaduženog za njihovo praćenje zakon traži i od ostalih privrednih društava koja koriste informacione sisteme. Zovite nas i provjerićemo zajedno — to je pitanje od pet minuta, a odgovor mijenja plan za naredne dvije godine.
Rokovi koji već teku
- 5. decembar 2024 — Zakon o informacionoj bezbjednosti stupio na snagu.
- 31. oktobar 2025 — istekao rok za prelazak sa ISO/IEC 27001:2013 na verziju 2022. Sertifikati po staroj verziji od tog datuma više ne važe. Ako vam sertifikat nosi oznaku 2013, nemate važeći sertifikat — bez obzira na datum isteka odštampan na njemu.
- jun 2027 — rok do kojeg ključni subjekti u Crnoj Gori moraju imati sertifikat po MEST ISO/IEC 27001 (30 mjeseci od stupanja zakona na snagu).
- u toku — u EU je NIS2 do 2026. prenijelo 22 od 27 država članica, a nadzor i kazne se već primjenjuju. Ako izvozite ili radite za evropskog kupca, pitanje o bezbjednosti informacija stiže od njega, ne od inspekcije.
Implementacija ISO 27001 realno traje od četiri mjeseca do preko godinu dana, zavisno od veličine sistema, pa se rok iz 2027. ne planira u 2027.
Zašto se sve vrti oko ISO 27001
Zakon nije izmislio novi crnogorski sistem bezbjednosti — pozvao se na međunarodni standard koji već postoji. To je dobra vijest: ono što uradite za zakon vrijedi i pred kupcem u Njemačkoj, i na tenderu, i pred bankom.
ISO/IEC 27001 daje ono što propis traži a ne opisuje: popis informacione imovine, procjenu rizika, Izjavu o primjenjivosti (SoA), politike i procedure, obuku zaposlenih, prijavu i obradu incidenata, interni audit i preispitivanje od strane rukovodstva. Sertifikat izdaje nezavisna akreditovana sertifikaciona kuća — mi vas do njega pripremamo.
Kada vam NIST zaista treba
NIST Cybersecurity Framework 2.0 ima smisla kad radite sa američkim kupcem, matičnom kompanijom ili partnerom koji govori tim jezikom. Tada se od vas traži da opišete svoju bezbjednost kroz njihove kategorije, ne da se po njima sertifikujete — jer sertifikacije po NIST-u nema.
Dobra vijest je da ne morate raditi dva puta. NIST objavljuje zvanično mapiranje CSF 2.0 na ISO/IEC 27001:2022 (kroz OLIR katalog), pa se isti sistem koji gradite za zakon i za sertifikat može prevesti na NIST jezik. Mapiranje je jednosmjerno i nije poklapanje jedan na jedan, ali pokriva najveći dio posla.
Naš savjet je isti kao i kod svih dvostrukih zahtjeva: ISO 27001 kao kičma, NIST kao rječnik prema američkoj strani. Obrnuto — graditi po NIST-u pa se poslije sertifikovati po 27001 — znači raditi isti posao dva puta.
Šta konkretno radimo
- Provjera da li ste obveznik — kratka analiza sektora i djelatnosti, i šta iz zakona pada na vas.
- Gap analiza — gdje ste sada u odnosu na ISO/IEC 27001:2022 i na zahtjeve zakona.
- Implementacija — rizici, SoA, dokumentacija, obuke zaposlenih, interni audit.
- Priprema za sertifikaciju i podrška na dan audita, sa akreditovanom sertifikacionom kućom.
- Prelazak sa 2013 na 2022 — ako vam je sertifikat ostao na staroj verziji.
- Mapiranje na NIST CSF 2.0 kad to traži partner.
Česta pitanja o NIS2 i informacionoj bezbjednosti
Da li se NIS2 odnosi na Crnu Goru kad nismo u EU?
Ne direktno — direktiva obavezuje države članice. Ali Crna Gora je njen sadržaj prenijela u Zakon o informacionoj bezbjednosti, koji je na snazi od 5. decembra 2024. Dakle obaveza vam stiže kroz crnogorski zakon. Uz to, ako radite za kupca iz EU, on je po NIS2 dužan da provjerava bezbjednost svog lanca nabavke — pa pitanje dolazi i sa te strane.
Da li mi treba NIST sertifikat?
Takav sertifikat ne postoji. NIST Cybersecurity Framework je dobrovoljan okvir i nema akreditovano tijelo koje izdaje sertifikat po njemu. Ako vam partner traži „NIST usklađenost", to se pokazuje opisom sopstvenih mjera, najčešće mapiranjem sa ISO 27001 koji jeste sertifikacioni standard.
Imamo ISO 27001 sertifikat iz 2019 — važi li?
Provjerite koju verziju standarda nosi. Ako piše ISO/IEC 27001:2013, taj sertifikat više ne važi — rok za prelazak na verziju 2022 istekao je 31. oktobra 2025. Prelazak se tada ne radi kao dopuna nego kao nova sertifikacija.
Koliko traje uvođenje ISO 27001 do sertifikata?
Za male i srednje organizacije obično četiri do osam mjeseci, zavisno od zrelosti procesa i raspoloživosti tima. Za velike sisteme sa više lokacija i preko godinu dana. Zbog roka iz juna 2027. to znači da se posao pokreće znatno ranije.
Šta ako smo važan, a ne ključan subjekt?
Obaveze su lakše — težište je na upravljanju rizicima i prijavi incidenata, bez izričitog zahtjeva za sertifikatom. To ne znači da sertifikat nema smisla: većini organizacija se isplati zbog kupaca i tendera, a ne zbog inspekcije.
Veza sa srodnim stranicama
Dva zakona, dvije vrste otpornosti
Uz Zakon o informacionoj bezbjednosti, na snazi je i Zakon o otpornosti kritične infrastrukture („Sl. list CG“, br. 150/26, od 20. oktobra 2026; prenosi direktivu CER, EU 2022/2557). Podjela je jasna: sajber i informaciona bezbjednost ostaju po zakonu o informacionoj bezbjednosti, a fizička i organizaciona otpornost — tim za otpornost, plan otpornosti, prijava incidenata — idu po zakonu o kritičnoj infrastrukturi. Organizacija može biti obveznik oba. Detaljnije u aktuelnostima.
Neke od naših referenci
Više od 400 organizacija u Crnoj Gori i regionu prošlo je kroz implementaciju sa nama — od banaka, berze i državnih organa do proizvodnje, IT-ja, laboratorija i ugostiteljstva. Ovo je dio njih.
Ovo su samo neki od naših klijenata. Više o nama i našem radu →
Tender vam traži standard?
Pošaljite izvod iz tenderske dokumentacije — besplatno ćemo provjeriti šta vam tačno treba. Pozovite nas ili pošaljite upit — odgovaramo u roku od 24h.