V nabiralnik prileti mail največjega kupca: „Prosimo, do konca meseca izpolnite priloženi vprašalnik o kibernetski varnosti. Brez tega ne moremo podaljšati pogodbe.“ Petnajst strani vprašanj o varnostnih kopijah, dostopih, odzivu na incidente. Direktor proizvodnega podjetja s tridesetimi zaposlenimi ga prebere dvakrat in pokliče računovodkinjo: „Ali se ta NIS2 sploh tiče nas?“ Vprašanje, ki si ga od lanskega junija zastavlja na tisoče slovenskih podjetij — in odgovor je redko preprost da ali ne.
Kaj je ZInfV-1 in zakaj se NIS2 tiče tudi Slovenije?
Zakon o informacijski varnosti (ZInfV-1) je bil objavljen 4. junija 2025 v Uradnem listu RS št. 40/25, veljati pa je začel 19. junija 2025. Z njim je Slovenija v svoj pravni red prenesla evropsko direktivo NIS2, ki od držav članic zahteva višjo raven kibernetske varnosti v sektorjih, od katerih je odvisno delovanje družbe — od energetike in zdravstva do proizvodnje in digitalnih storitev.
Za občutek o razsežnosti: prejšnji zakon je zajemal približno 100 organizacij, ZInfV-1 pa jih po ocenah zajema okoli 1.000. Krog zavezancev se je torej razširil z upravljavcev kritične infrastrukture na običajna srednja in večja podjetja iz mnogih dejavnosti. Nadzor izvaja URSIV — Urad Vlade RS za informacijsko varnost, pri odzivanju na incidente pa sodeluje nacionalni SI-CERT.
Uradno besedilo zakona je objavljeno na PISRS, URSIV pa na gov.si objavlja tudi sproti posodobljena pojasnila z odgovori na pogosta vprašanja.