kaj je zakon o kibernetski varnosti in kaj se spremeni

Zakon o kibernetski varnosti pretvarja NIS2 v slovensko pravo

Zakon o kibernetski varnosti je slovenski zakon, ki evropsko smernico NIS2 pretvarja v nacionalna pravila. NIS2 je evropska smernica, in smernica ne deluje samodejno v vsakem državi — zato je potrebna nacionalna zakonodaja. V Sloveniji je to Zakon o kibernetski varnosti, ki ga najdete na spletnem mestu zakona. V glavnih potezah zakon sledi smernici: enaki sektorji, enaka razdelitev na bistvene in pomembne entitete, in jedro enakih obveznosti. Kdor želi vedeti, ali njegov sektor spada pod priloge, tam najde pregled, ki je osnova tega zakona.

Kar se spremeni za organizacije, ki spadajo pod zakon, je predvsem obseg obveznosti. Nastane obveznost skrb: ustrezni ukrepi za zavarovanje lastnih digitalnih sistemov. Nastane obveznost registracije pri nadzornem organu. In nastane obveznost obvestila pri dogodkih, skupaj z vprašanjem, kdaj in komu je treba obvestiti. Za organizacije, ki same ne spadajo pod zakon, se indirektno kaj spremeni: obvezne organizacije morajo oceniti svoje dobavitelje, in to pomeni, da lahko tudi ne-obvezna podjetja dobijo vprašalnike in pogoje pogodb. Kdor se sprašuje, zakaj ta vprašanja vendarle prispejo, tam bere, kako ta učinek deluje prek verige.

Od koder to izhaja: prenos členkov 21 in 23

Obveznosti v Zakonu o kibernetski varnosti izhajajo neposredno iz smernice NIS2: člen 21 odstavek 2 Direktive (EU) 2022/2555 navaja deset ukrepov, ki tvorijo osnovo obveznosti skrb, in obveznost obvestila je prav tako določena v smernici. Nemški zakon te zahteve razvija v nacionalne določbe, ki so dostopne na spletnem mestu zakona. NCSC podaja informacije o tem, kako se obveznost skrb in obveznost obvestila v praksi izvajata.