ZKS rok je istekao — što sada? Ništa se ne predaje, ali odgovornost je od tada Vaša

Da — za veliku većinu obveznika rok je istekao 4. travnja 2026. Zakon o kibernetičkoj sigurnosti (NN 14/2024) u članku 26. stavku 5. traži da ključni i važni subjekti provedu mjere u roku od godine dana od dana dostave obavijesti o kategorizaciji.

To nije naša ocjena nego objava nadležnog tijela. Nacionalni centar za kibernetičku sigurnost u Pregledu implementacije ZKS-a za Q1 2026. piše: „Većini obveznika ZKS-a u travnju 2026. godine istječe godina dana prilagodbe za uspostavu propisanih mjera kibernetičke zaštite.“

Riječ većini tu nije ograda iz pristojnosti. Rok je individualan i teče od dostave Vaše obavijesti, ne od stupanja zakona na snagu. Subjekti kategorizirani u kasnijim valovima — informacijski posrednici potkraj 2025., pružatelji usluga upravljanja IKT-om početkom 2026. — svoj rok imaju tijekom 2026. i 2027.

Izračun se radi jednom i vrijedi za sve daljnje rokove: datum dostave obavijesti + 12 mjeseci je rok za mjere, a + 3 godine prva samoprocjena ili revizija. U istoj obavijesti piše i razina mjera — osnovna, srednja ili napredna — prema kojoj se mjerite.

Koliko je obveznika: prema Pregledu za Q2 2026. u Hrvatskoj je kategorizirano 798 pravnih osoba — 162 ključnih i 636 važnih subjekata, stanje na 30. lipnja 2026.

Kada (za većinu)	Što je nastupilo	Temelj
4. 4. 2025.	Inicijalna kategorizacija i dostava obavijesti	ZKS čl. 19. st. 1.
+ 8 dana	Imenovanje administratora platforme PiXi	Uredba čl. 96. st. 1.
+ 15 dana	Dostava podataka po uputama iz obavijesti	ZKS čl. 20.
5. 5. 2025.	Početak obveze prijave značajnih incidenata	ZKS čl. 37. st. 4.
4. 4. 2026.	Rok za provedbu mjera upravljanja rizicima	ZKS čl. 26. st. 5.
prvi radni dan poslije	Počinju teći rokovi za revizije i stručni nadzor	ZKS čl. 112.
do 4. 4. 2028.	Prva samoprocjena (važni) ili revizija (ključni)	ZKS čl. 34.–35.
Q2 2029. →	Prvi redoviti stručni nadzor ključnih subjekata	ZKS čl. 75. st. 1.

Lijevi stupac vrijedi za obveznike iz inicijalne kategorizacije. Vaš se stupac izračunava iz datuma na Vašoj obavijesti — i to je jedini datum koji Vas obvezuje.

Zato ovo nije još jedan vodič kako se pripremiti za NIS2. Priprema je za one koji čekaju pismo. Ovaj je tekst za one koji su ga dobili prije godinu i pol.

Ništa se ne predaje — nema obrasca, izvješća ni potvrde — ali od tog dana nastupa puna odgovornost subjekta. NCSC u odgovorima kategoriziranim subjektima piše doslovno: „O tome nisu dužni podnositi službena izvješća, ali od tada nastupa puna odgovornost subjekta.“

Zakon nema odredbu o prijavi kašnjenja. Nema roka u kojem se javlja da mjere nisu provedene, nema obrasca za odgodu i nema postupka odobrenja. Tko čeka da mu netko službeno kaže da kasni, čekat će dugo — a to je najskuplja pogrešna pretpostavka u cijeloj priči.

Razlika je ovakva. Do isteka roka kašnjenje je imalo pokriće u zakonskom roku. Poslije njega svaki nadzor, svaki incident, svaki upitnik i svako pitanje dobavljača ili osiguravatelja zatječu Vas u punoj odgovornosti — iako se ništa nije predavalo i iako nitko nije pozvonio.

Da to nije teorija, pokazuje drugo tromjesečje 2026. NCSC je kategoriziranim subjektima dostavio dodatne preporuke o provedbi mjera i upitnik u svrhu procjene trenutnog stanja provedbe.

Upitnik sam po sebi nije nadzor. Ali odgovor na upitnik je informacija, a upravo je posjedovanje informacija o neprovedbi ono što po članku 76. otvara nadzor nad važnim subjektom. Prvi vanjski dodir najčešće neće biti inspektor na vratima nego pitanje na koje se mora odgovoriti pošteno.

Ključne subjekte čeka redoviti nadzor svakih tri do pet godina, a važni subjekti — njih 636 od 798 — redoviti ciklus uopće nemaju: kod njih nadzor kreće čim nadležno tijelo dobije informaciju da mjere nisu provedene.

Sat je već krenuo. Članak 112. ZKS-a kaže da rokovi za revizije i za stručni nadzor „počinju teći prvog sljedećeg radnog dana nakon isteka roka iz članka 26. stavka 5.“ — dakle za većinu obveznika početkom travnja 2026. Taj članak u javnim tekstovima o ZKS-u praktički nitko ne spominje, a on je prekidač.

Redoviti stručni nadzor provodi se u ključnom subjektu najmanje jednom u tri do pet godina (članak 75. stavak 1.). Po vremenskoj crti NCSC-a prvi ciklus očekuje se od drugog tromjesečja 2029. To je jedini dio priče nalik na predah — i vrijedi samo za 162 ključnih subjekata.

Izvanredni nadzor ne čeka ciklus. Kod ključnih subjekata provodi se kad tijelo raspolaže informacijama o neprovedbi (članak 75. stavak 2.), a kod važnih subjekata je to jedini oblik nadzora i moguć je od trenutka kad tijelo takvu informaciju dobije (članak 76. stavak 1.).

Za četiri od pet obveznika, dakle, „imamo vremena do 2029.“ ne postoji kao kategorija. Postoji samo pitanje kad će netko doći do informacije — iz upitnika, iz prijave incidenta, iz medija ili od poslovnog partnera.

Nadzor se najavljuje najkasnije pet dana unaprijed (članak 77. stavak 2.), a kod značajnog incidenta ili ozbiljne prijetnje može i bez najave (stavak 3.). Ovlasti su široke: uvid u podatke, dokumentaciju i sustave, nasumične provjere i — najskuplja stavka — ciljana revizija o trošku nadziranog subjekta (članci 79. i 80.).

Nakon nalaza slijede korektivne mjere iz članka 82.: upozorenje, obvezujuća uputa, nalog s rokom, pa i nalog da subjekt javno objavi aspekte povrede. Za ključne subjekte zakon predviđa i službenika za praćenje usklađenosti (članak 83.), a u krajnjem slučaju zabranu obavljanja upravljačkih dužnosti (članak 84.).

Jedna ograda, jer je poštena: do rujna 2026. nije javno objavljen nijedan dovršen prekršajni postupak po ZKS-u. Popisi subjekata nisu javni (članak 73.), pa pojedinačni nadzori ne bi ni bili vidljivi. Iz te tišine ne slijedi da se ne nadzire — ni da se već kažnjava.

Rasponi su široki, a uz pravnu osobu kažnjava se i odgovorna fizička osoba — dakle uprava, ne IT odjel. To je dio ZKS-a koji se u praksi najčešće citira napamet i najčešće krivo.

Ključni subjekti (članak 101. stavak 1.): od 10.000,00 do 10.000.000,00 eura ili od 0,5 % do najviše 2 % ukupnog godišnjeg prometa na svjetskoj razini iz prethodne financijske godine — ovisno o tome koji je iznos veći. Odgovorna fizička osoba: od 1.000,00 do 6.000,00 eura (stavak 2.).

Važni subjekti (članak 102. stavak 1.): od 5.000,00 do 7.000.000,00 eura ili od 0,2 % do najviše 1,4 % prometa, uz kaznu za odgovornu fizičku osobu od 500,00 do 3.000,00 eura (stavak 2.).

Postoji i treći, redovito previđen prekršaj: nedostava podataka potrebnih za kategorizaciju ili za vođenje posebnog registra kažnjava se s 2.000,00 do 20.000,00 eura, a odgovorna osoba s 200,00 do 1.000,00 eura (članak 103.).

Popis prekršaja nije apstraktan. Među njima su izrijekom neprovođenje ili nepravodobno provođenje mjera (članak 26.), neobavještavanje o značajnom incidentu (članak 37.), izostanak revizije odnosno samoprocjene (članci 34. i 35.) te nepostupanje po korektivnim mjerama.

Važno je i tko što radi. Kaznu ne izriče nadzorno tijelo: ono podnosi prijavu, ovlašteni tužitelj je nadležni državni odvjetnik, a visinu odmjerava prekršajni sud (članak 104.). Kazna zato nije prvi korak — prvi su korak korektivne mjere iz nadzora.

Pri odmjeravanju se uzimaju u obzir ozbiljnost i trajanje povrede, je li subjekt djelovao s namjerom ili nepažnjom, mjere poduzete radi sprečavanja ili ublažavanja štete i razina suradnje s nadležnim tijelima (članak 85.).

Ozbiljnim povredama zakon izrijekom smatra opetovane povrede, neprijavljivanje ili nerješavanje značajnih incidenata i davanje lažnih ili izrazito netočnih informacija. Subjekt koji kasni, ali ima plan u provedbi i uredno prijavljuje incidente, stoji bitno drukčije od onoga koji šuti.

Trinaest mjera iz Priloga II. Uredbe o kibernetičkoj sigurnosti (NN 135/2024), u tri razine — osnovnoj, srednjoj i naprednoj. Koja Vas razina obvezuje ne birate sami; piše u obavijesti o kategorizaciji.

#	Mjera	Što traži u praksi
1	Predanost i odgovornost odgovornih osoba	Akt sigurnosne politike usvojen na upravljačkom tijelu, imenovanja, resursi, godišnje izvješće upravi
2	Upravljanje programskom i sklopovskom imovinom	Popis i klasifikacija imovine, utvrđeni kritični podaci i sustavi
3	Upravljanje rizicima	Lokalna procjena rizika kao podloga za sve daljnje odluke
4	Sigurnost ljudskih potencijala i digitalnih identiteta	Prava pristupa, program svijesti, redovito testiranje socijalnog inženjeringa i simulacije phishinga
5	Osnovne prakse kibernetičke higijene	Lozinke, zakrpe, dnevnički zapisi, višefaktorska autentifikacija za kritične sustave
6	Sigurnost mreže	Segmentacija, sigurni protokoli, zaštita bežične mreže
7	Kontrola fizičkog i logičkog pristupa	Politike i procedure pristupa, posebno za povlaštene račune
8	Sigurnost lanca opskrbe	Ugovorne obveze dobavljača: prijava incidenata, primjena mjera, jasne odgovornosti
9	Sigurnost u razvoju i održavanju sustava	Sigurnosni zahtjevi u razvoju, otkrivanje i otklanjanje ranjivosti
10	Kriptografija	Politika kriptografije i kriptiranje kritičnih podataka
11	Postupanje s incidentima	Praćenje, evidentiranje i prijavljivanje incidenata u propisanim rokovima
12	Kontinuitet poslovanja i upravljanje krizama	Sigurnosne kopije, oporavak i dokazan test obnove
13	Fizička sigurnost	Zaštita prostora s IKT opremom

Dvije mjere vrijedi pročitati doslovno, jer se najčešće prepričavaju krivo. Mjera 5.3. traži da se višefaktorska autentifikacija implementira „na VPN pristupu, SaaS alatima dostupnim s Interneta itd.“, a ne samo na administratorskim računima u internoj mreži.

Mjera 4.11. traži testiranje socijalnog inženjeringa, simulacije phishinga i programe podizanja svijesti — uz izričitu odredbu da te aktivnosti „moraju biti redovite i obuhvatiti sve zaposlenike subjekta“. Jednokratna prezentacija na kolegiju tu mjeru ne zatvara.

I jedna preciznost koju drugdje nećete pročitati: Uredba nigdje ne spominje DMARC, SPF ni DKIM. Provjerili smo cijeli tekst. Tko tvrdi da ih zakon propisuje, prodaje Vam nešto na krivom argumentu.

Ono što Uredba spominje jesu poslužitelji elektroničke pošte kao imovina iz mjere 2 i osposobljavanje za sigurno korištenje e-pošte u mjeri 4. Autentikacija domene je, dakle, kontrola koju biramo u svojoj procjeni rizika jer je dokazano učinkovita protiv krivotvorenja pošiljatelja — a ne slovo Uredbe.

Redoslijedom koji istovremeno najbrže smanjuje stvarni rizik i izloženost prekršajnoj odgovornosti — prvo obveze koje se mjere danima, pa mjere s najvećim učinkom po uloženom danu. Ispod je razdvojeno što traži zakon, a što je naša preporuka redoslijeda.

Korak 0 — utvrdite svoj datum. [praksa] Nađite obavijest o kategorizaciji: datum dostave, kategorija, razina mjera. Bez tog datuma ne znate ni koliko kasnite ni koliko vremena imate do sljedećeg roka.

Korak 1 — zatvorite ono što se mjeri danima. [zakon] Provjerite jeste li na platformi PiXi, imate li imenovanog administratora i osobu koja prijavljuje incidente. Taj je rok istekao gotovo godinu dana prije roka za mjere i samostalan je prekršajni temelj.

Korak 2 — snimka stanja po službenom okviru. [zakon za važne, dijagnostika za sve] Koristite Smjernice ZSIS-a za provedbu samoprocjene s pripadajućim kalkulatorom i katalogom kontrola. Mjerite se prema svojoj razini, ne prema najvišoj.

Korak 3 — plan daljnjeg postupanja. [zakon] Članak 35. stavak 4. traži da se kod nesukladnosti utvrdi plan daljnjeg postupanja, uključujući plan ponovne samoprocjene i ispravljanje utvrđenih nedostataka. Zakon, dakle, predviđa da netko neće biti spreman — i propisuje odgovor.

Taj plan je i najjeftinija olakotna okolnost koju imate: za svaku mjeru stanje, nositelj, rok i dokaz zatvaranja. Bez datuma i vlasnika to je popis želja i u nadzoru ne dokazuje ništa.

Korak 4 — prioritet po stvarnoj prijetnji, ne po redoslijedu u Prilogu. [praksa] NCSC u pregledu za Q2 2026. navodi da napadači najčešće iskorištavaju poznate ranjivosti javno izloženih servisa i kompromitirane lozinke VPN računa bez dvofaktorske autentifikacije. Zato prvo mjere 5.3. i upravljanje zakrpama.

Korak 5 — dokumentirajte u dva sloja. [zakon za sadržaj, praksa za strukturu] Prvi sloj: zahtjevi mjera i način lokalne provedbe. Drugi: na kojim sustavima, u kojim prostorima i s kojim odgovornim osobama je mjera provedena. Imate li ISO 27001, mapirajte mjere Uredbe na postojeću dokumentaciju.

Korak 6 — uprava mora ostaviti pisani trag. [zakon] Odgovorne osobe odobravaju mjere, kontroliraju provedbu i pohađaju osposobljavanja (članak 29.). To je jedini dio ZKS-a s izravnom kaznom za fizičku osobu, pa se zapisnik sa sjednice ovdje isplati više nego bilo koji alat.

Korak 7 — godišnja lokalna procjena rizika. [zakon] Donosi je glavna odgovorna osoba na prijedlog vlasnika rizika i ona je ulaz u samoprocjenu ili reviziju. Bez nje se treća godina dočekuje bez podloge.

Korak 8 — ako ste ključni subjekt, revizora tražite na vrijeme. [praksa] Razlog stoji u sljedećem poglavlju: certificiranih je malo, a rok je zajednički svima.

Kako taj redoslijed izgleda kad ga netko odradi s Vama: ZKS/NIS2 priprema tehničkih kontrola, a snimka stanja s koje se plan piše kroz sigurnosni audit tvrtke.

Rano upozorenje u 24 sata, početna obavijest u 72 sata, završno izvješće u 30 dana od početne obavijesti — i ti rokovi nisu iz Zakona nego iz Uredbe (članci 66., 67. i 70.). Prijava ide nadležnom CSIRT-u preko nacionalne platforme PiXi.

Redoslijed je propisan, a ne stvar procjene: 24 sata — rano upozorenje bez odgode od saznanja za značajan incident (članak 66.); 72 sata — početna obavijest s procjenom i pokazateljima kompromitacije (članak 67.); 48 sati do 7 dana — privremeno izvješće ako ga CSIRT zatraži (članak 69.).

30 dana — završno izvješće, i to od dostave početne obavijesti, ne od incidenta (članak 70.). Ako incident u tom trenutku još traje, umjesto završnog izvješća dostavlja se izvješće o napretku, a završno stiže nakon što se incident zaključi (članak 71.). Pružatelji usluga povjerenja imaju stroži rok od 24 sata i za početnu obavijest (članak 68.).

Ne prijavljuje se svaki incident. Značajan je onaj koji ispunjava kriterije iz članaka 59. do 63. Uredbe, a rok od 24 sata teče od trenutka procjene da je riječ o takvom incidentu — što znači da 24-satno dežurstvo nije zakonska obveza, ali pisani postupak procjene jest neizbježan.

Pristup platformi ide kroz NIAS, uz ovlaštenje koje zakonski zastupnik dodjeljuje preko sustava e-Ovlaštenja. Ako platforma nije dostupna, prijava se šalje obrascima e-poštom nadležnom CSIRT-u — obrasci i upute stoje na stranici NCSC-a o prijavi incidenta.

Zašto je to prioritet broj jedan kad već kasnite s mjerama: obveza prijave nastupila je 30 dana od obavijesti o kategorizaciji (članak 37. stavak 4.), dakle jedanaest mjeseci prije roka za mjere. Neprijavljivanje značajnog incidenta zakon svrstava među ozbiljne povrede, a rješava se u danima, ne u mjesecima.

Važni subjekti provode samoprocjenu, ključni subjekti reviziju kibernetičke sigurnosti — a reviziju smiju provesti isključivo pružatelji s nacionalnim sigurnosnim certifikatom iz javnog registra ZSIS-a. Obje se obveze ponavljaju najmanje jednom u dvije godine (članci 34. i 35.).

Samoprocjenu važan subjekt smije provesti sam ili uz vanjskog davatelja usluge (članak 35. stavak 2.) i za nju ne treba nikakav certifikat. Pokaže li rezultat sukladnost, sastavlja se izjava o sukladnosti; ako ne pokaže, sastavlja se plan daljnjeg postupanja. Oboje se dostavlja nadležnom tijelu u osam dana od sastavljanja.

Revizija je zatvoreno tržište i to je za ključne subjekte planska stavka, ne formalnost. Na dan pisanja u registru ZSIS-a stoje četiri certificirana pružatelja:

Pružatelj	Broj certifikata	Vrijedi do
APICURA CERT d.o.o.	NSC-RKS-2026-001	31. 3. 2029.
Deloitte d.o.o.	NSC-RKS-2026-002	8. 4. 2029.
Zavod za informatičku djelatnost Hrvatske d.o.o.	NSC-RKS-2026-003	23. 6. 2029.
TÜV NORD Adriatic d.o.o.	NSC-RKS-2026-004	23. 6. 2029.

Stanje registra na 4. rujna 2026.; popis se mijenja pa ga prije angažmana provjerite na izvoru. Račun je jednostavan: 162 ključnih subjekata, četiri ovlaštena pružatelja i zajednički rok u 2028.

Trošak u oba slučaja snosi subjekt — zakon to izrijekom kaže i za reviziju (članak 34. stavak 7.) i za samoprocjenu (članak 35. stavak 6.), kao i za ciljanu reviziju koju naloži nadzor.

Zato jedno razgraničenje stavljamo ovdje, a ne u sitni tisak: Vi-Di.me nije u registru ZSIS-a i reviziju kibernetičke sigurnosti ne provodi. Ono što radimo je sve ono što se prije revizije mora dogoditi — i o čemu ovisi hoće li nalaz biti izjava o sukladnosti ili plan popravaka.

Treća godina od obavijesti o kategorizaciji — za većinu obveznika 4. travnja 2028. Do tada mora biti provedena prva samoprocjena kod važnih odnosno prva revizija kod ključnih subjekata, a zatim se obveza ponavlja najmanje svake dvije godine.

Između dva roka nije prazan hod. NCSC drugu godinu opisuje kao razdoblje unaprjeđivanja mjera kroz lokalno upravljanje rizicima — dakle godišnju procjenu rizika, zatvaranje nedostataka iz plana i dokaze koji se skupljaju usput, a ne u tjednu prije roka.

Za ključne subjekte na to se nadovezuje prvi ciklus redovitog stručnog nadzora, po vremenskoj crti NCSC-a od drugog tromjesečja 2029. Tko krene 2028. tražiti pružatelja, dokumentaciju i dokaze, dočekat će oba roka istovremeno.

Praktično: onaj tko sada kasni gotovo sigurno neće prvu samoprocjenu zaključiti izjavom o sukladnosti nego planom daljnjeg postupanja. To nije poraz — plan je predviđen zakonom. Ali plan koji je već u provedbi i plan napisan dan prije roka nisu isti dokument, a razlika se u nadzoru vidi.

Snimku stanja po 13 mjera, plan sanacije s rokovima i vlasnicima, tehničku provedbu, dokaze, edukaciju zaposlenika i pripremu za reviziju. Na Vama ostaju odluke upravljačkog tijela, imenovanja i ovjera dokumenata — njih zakon traži od subjekta i ne mogu se ugovoriti drukčije.

Što ne radimo: ne provodimo reviziju kibernetičke sigurnosti, jer je smiju provesti samo pružatelji upisani u registar ZSIS-a. Ne obećavamo ni provjeru jeste li na popisu obveznika — popisi nisu javni.

Niste sigurni jeste li uopće obveznik? Popisi nisu javni, pa jedini pouzdan dokaz ostaje obavijest nadležnog tijela. Za brzu orijentaciju po sektoru, veličini i vrsti usluge napravili smo besplatan upitnik: Jeste li obveznik ZKS-a?

Kako se višefaktorska autentifikacija uklapa u mjeru 5.3. i zašto SMS kod nije odgovor, razložili smo posebno: ZKS traži višefaktorsku autentifikaciju.

Zatražite snimku stanja i plan sanacije →