Ali samo podjetje spada pod direktivo NIS2 ali njeno nacionalno razlago?

Sektor in obseg skupaj določata izid

Ali podjetje spada pod Zakon o kibernetski varnosti, je odvisno od dveh stvari: sektorja, v katerem deluje, in njegove velikosti. Zakon deluje s seznamom sektorjev — med drugim energija, promet, pitna voda, digitalna infrastruktura, zdravstvo in številne industrijske ter digitalne storitve — in znotraj teh sektorjev velja razdelitev glede na velikost: srednje velika ali večja podjetja se v pravilu upoštevajo, pri čemer je merilo število zaposlenih in letni prihodek ali skupna bilanca. Če podjetje ne spada v navedene sektorje, Zakon o kibernetski varnosti praviloma ne velja, ne glede na velikost.

Pogosto se zmešata dve plati. Prva je: ali podjetje neposredno spada zanj, kot tako imenovana bistvena ali pomembna entiteta. Druga je: ali je posredno prizadeto, ker ga zajame stranka, ki sama spada pod zakon, s svojimi zahtevami v verigi. Slednje lahko velja tudi za podjetja, ki so premajhna ali delujejo v nesklasificiranem sektorju. To iskalno vprašanje se nanaša na prvo plat — neposredno obveznost — in odgovor nanj ni dokončen, dokler nista preverjena dokončna besedila in prispevni seznam sektorjev glede imena in številk lastnega podjetja. Kdor je to vprašanje že gotovo odgovoril — z ali brez neposredne obveznosti — pa se v praksi pogosto sooči z enakimi vprašanji kot stranka, ki se jih sprašuje, na primer ali obstaja politika za analizo tveganja in zavarovanje informacijskih sistemov ali je večfaktorska avtentifikacija vzpostavljen.

Kjer se to izkazuje: merila za sektor in obseg

Ta razdelitev izhaja iz Zakona o kibernetski varnosti, slovenske izvedbe NIS2, ki začne veljati 15. avgusta 2026. Zakon sam, s prilogama, v katerih so navedeni sektorji in pragovi obsega, je predpisani vir za primerjavo lastnega podjetja; ta besedilo je na voljo na spletni strani zakonov.