Preskoči na sadržaj
Vi-Di.me
PROVJERA

Jeste li obveznik Zakona o kibernetičkoj sigurnosti?

Zakon objavljuje tekst, ali nigdje ne piše da ili ne za vašu tvrtku. Ova provjera prolazi kroz iste kriterije koje primjenjuje nadležno tijelo — u četiri pitanja, uz članak na koji se svaki odgovor oslanja.

1Spadate li u neku od kategorija za koje prag veličine uopće ne postoji?

Za ove kategorije zakon ne pita koliko ste veliki. Ovo je dio koji se najčešće previdi — pogotovo jedinice lokalne samouprave i subjekte iz sustava obrazovanja.

  • ·Kvalificirani pružatelji usluga povjerenja (čl. 9.)
  • ·Registar vršne nacionalne domene (.hr) (čl. 9.)
  • ·Pružatelji DNS usluga (čl. 9.)
  • ·Informacijski posrednici (čl. 9.)
  • ·Subjekti utvrđeni kao kritični po Zakonu o kritičnim infrastrukturama (čl. 9.)
  • ·Pružatelji usluga povjerenja (nekvalificirani) (čl. 10.)
  • ·Pružatelji javnih elektroničkih komunikacijskih mreža i usluga (čl. 9. i 10.)
  • ·Jedinice lokalne i područne (regionalne) samouprave (čl. 12. st. 3.)
  • ·Subjekti iz sustava obrazovanja (čl. 13.)
2U kojem je prilogu vaša djelatnost?

Zakon dijeli sektore u dva priloga. Iz Priloga I. može se postati ključni subjekt; iz Priloga II. se po veličini postaje samo važan subjekt.

3Koliko je velik subjekt?

Pragove ne propisuje sam ZKS nego Zakon o poticanju razvoja malog gospodarstva. Kriteriji nisu kumulativni — dovoljno je da prijeđete jedan.

4Vrijedi li išta od posebnih kriterija?

Zakon dopušta kategorizaciju neovisno o veličini ako vrijedi bilo koje od ovoga (čl. 11.):

  • ·Jedini ste pružatelj usluge ključne za održavanje ključnih društvenih ili gospodarskih djelatnosti u RH
  • ·Poremećaj vaše usluge mogao bi znatno utjecati na javnu sigurnost, javnu zaštitu ili javno zdravlje
  • ·Poremećaj bi mogao uzrokovati znatne sistemske rizike, osobito u sektorima s prekograničnim učinkom
  • ·Značajni ste na nacionalnoj ili regionalnoj razini za taj sektor ili vrstu usluge
VJEROJATNO NE

Vjerojatno niste obveznik

Prema odgovorima ne ulazite ni u jedan prilog zakona, ni u kategorije bez praga veličine, ni u posebne kriterije. To ne znači da vam sigurnost nije potrebna — samo da je zakon ne propisuje. Ako radite kao dobavljač obvezniku, ugovorom vam mogu prenijeti dio zahtjeva.

Oslanja se na: ZKS čl. 9. · ZKS čl. 10. · ZKS čl. 11.

Ovo je orijentacija, ne pravno mišljenje. Konačnu kategorizaciju provodi nadležno tijelo i o njoj vas obavještava — rok je 30 dana od kategorizacije (čl. 19. st. 4.). Ako vam treba pomoć oko tehničkog dijela usklađivanja, javite se.

Kako izgleda priprema Pitajte nas

Prilog I. — sektori visoke kritičnosti

Velik subjekt iz ovog priloga je ključni subjekt; srednji je važan subjekt.

Energetika

Električna energija · Centralizirano grijanje i hlađenje · Nafta · Plin · Vodik

Promet

Zračni promet · Željeznički promet · Vodeni promet · Cestovni promet

Bankarstvo

Infrastruktura financijskog tržišta

Zdravstvo

Voda za ljudsku potrošnju

Otpadne vode

Digitalna infrastruktura

Upravljanje uslugama IKT-a (B2B)

Javni sektor

Svemir

Prilog II. — drugi kritični sektori

Srednji subjekt ili veći iz ovog priloga je važan subjekt. Iz Priloga II. se po veličini ne postaje ključni subjekt.

Poštanske i kurirske usluge

Gospodarenje otpadom

Izrada, proizvodnja i distribucija kemikalija

Proizvodnja, prerada i distribucija hrane

Proizvodnja

Medicinski proizvodi i in vitro dijagnostika · Računala te elektronički i optički proizvodi · Električna oprema · Strojevi i uređaji, d. n. · Motorna vozila, prikolice i poluprikolice · Ostala prijevozna sredstva

Pružatelji digitalnih usluga

Internetska tržišta · Internetske tražilice · Platforme za usluge društvenih mreža

Istraživanje

Istraživačke organizacije

Sustav obrazovanja

Rokovi koje vrijedi znati

Obavijest o kategorizaciji
30 dana od kategorizacije (čl. 19. st. 4.)
Dostava podataka na zahtjev
15 dana od zahtjeva nadležnog tijela (čl. 23. st. 2.)
Prijava promjena
3 mjeseca od nastanka promjene (čl. 23. st. 3.)
Ažuriranje popisa subjekata
najmanje svake dvije godine (čl. 17. st. 2.)

Koliko iznose kazne

Iznos i postotak prometa nisu alternativa po izboru — zakon kaže: ovisno o tome koji je iznos veći.

Ključni subjekt

10.000 € – 10.000.000 €

ili 0,5 %–2 % ukupnog godišnjeg prometa na svjetskoj razini

Odgovorna osoba: 1.000 € – 6.000 € · čl. 101.

Važan subjekt

5.000 € – 7.000.000 €

ili 0,2 %–1,4 % ukupnog godišnjeg prometa na svjetskoj razini

Odgovorna osoba: 500 € – 3.000 € · čl. 102.

Zasebno se kažnjava i nedostava podataka za kategorizaciju i registar: 2.000 € – 20.000 € za subjekt, 200 € – 1.000 € za odgovornu osobu (čl. 103.).

Što obveza konkretno znači

Razlika koju se rijetko objasni: ključni subjekt ima reviziju, važni subjekt samoprocjenu — oboje najmanje jednom u dvije godine i o vlastitom trošku.

  • Mjere upravljanja kibernetičkim sigurnosnim rizicimaobačl. 26. i 28.

    Uvođenje i provedba propisanih mjera u roku. Neprovedba je izričito navedena kao prekršaj.

  • Revizija kibernetičke sigurnostiključničl. 34.

    Najmanje jednom u dvije godine. Troškove snosi subjekt.

  • Samoprocjena kibernetičke sigurnostivažničl. 35.

    Najmanje jednom u dvije godine, uz izjavu o sukladnosti nadležnom tijelu. Troškove snosi subjekt.

  • Obavještavanje o značajnim incidentimaobačl. 37.

    Prijava nadležnom CSIRT-u. Obveza počinje teći 30 dana od obavijesti o kategorizaciji. ⚠️ Same rokove za dostavu zakon ne propisuje — čl. 44. ih prepušta Uredbi (NN 135/2024).

  • Obavještavanje primatelja uslugaobačl. 38.

    Kad incident može utjecati na korisnike, njih se obavještava izravno — uz mjere koje sami mogu poduzeti.

S čime to rješavamo

Zakon traži mjere, ne alate. Ali mjere netko mora provesti — evo čime radimo tehnički dio.

PartnerHornetsecurity by ProofpointZaštita e-pošte i Microsoft 365, napredna zaštita od prijetnji, backup, arhiva i sigurnosne edukacije.MSP partnerPowerDMARCDMARC izvještavanje, hosted SPF/DKIM, MTA-STS, TLS-RPT i nadzor pošiljatelja domene.

Niste sigurni gdje ste?

Kategorizacija je jedno pitanje, provedba mjera drugo. Pogledamo vaš sektor, veličinu i stvarno stanje zaštite pa vam kažemo što od ovoga vas se doista tiče — i što je prvo na redu.

Besplatna provjera stanja Što obuhvaća priprema

Izvori: Zakon o kibernetičkoj sigurnosti (NN 14/2024), čl. 9., 10., 11., 12., 13., 15., 17., 19., 23., 26., 28., 34., 35., 37., 38., 101., 102., 103. i Prilozi I. i II. · Uredba o kibernetičkoj sigurnosti (NN 135/2024) · Zakon o poticanju razvoja malog gospodarstva, čl. 2. i 3. Stranica je informativna i ne predstavlja pravni savjet.

Česta pitanja

Tko je obveznik Zakona o kibernetičkoj sigurnosti?
Obveznici su ključni i važni subjekti. Ključni su, u pravilu, subjekti iz Priloga I. (sektori visoke kritičnosti) koji prelaze gornju granicu srednjeg subjekta, uz niz kategorija za koje veličina nije uvjet. Važni su srednji subjekti iz Priloga I. te srednji i veći subjekti iz Priloga II. Kategorizaciju provodi nadležno tijelo (ZKS čl. 9., 10. i 17.).
Koji su pragovi veličine za ZKS?
Sam ZKS ih ne propisuje nego upućuje na Zakon o poticanju razvoja malog gospodarstva. Mikro je manje od 10 radnika i do 2 milijuna eura, mali manje od 50 radnika i do 10 milijuna eura, a velik je subjekt s 250 i više radnika ili 50 milijuna eura prihoda ili 43 milijuna eura aktive. Kriteriji nisu kumulativni — dovoljno je prijeći jedan.
Je li mala tvrtka obveznik ZKS-a?
Najčešće nije po veličini, ali to nije konačan odgovor. Postoje kategorije za koje prag veličine uopće ne postoji — primjerice pružatelji DNS usluga, registar vršne domene, kvalificirani pružatelji usluga povjerenja, jedinice lokalne i područne samouprave te subjekti iz sustava obrazovanja. Uz to čl. 11. dopušta kategorizaciju neovisno o veličini ako je subjekt jedini pružatelj usluge, ako bi poremećaj dirao javnu sigurnost ili zdravlje, ako bi izazvao sistemske rizike ili ako je subjekt značajan na nacionalnoj razini.
Koja je razlika između ključnog i važnog subjekta?
Ključni subjekti imaju strože obveze i strožiji nadzor. Iz Priloga I. se, uz odgovarajuću veličinu, može postati ključni subjekt. Iz Priloga II. se po veličini postaje samo važan subjekt — bez obzira na to koliko je subjekt velik.
Koji sektori su u Prilogu I. Zakona o kibernetičkoj sigurnosti?
Energetika, Promet, Bankarstvo, Infrastruktura financijskog tržišta, Zdravstvo, Voda za ljudsku potrošnju, Otpadne vode, Digitalna infrastruktura, Upravljanje uslugama IKT-a (B2B), Javni sektor, Svemir.
Koji sektori su u Prilogu II. Zakona o kibernetičkoj sigurnosti?
Poštanske i kurirske usluge, Gospodarenje otpadom, Izrada, proizvodnja i distribucija kemikalija, Proizvodnja, prerada i distribucija hrane, Proizvodnja, Pružatelji digitalnih usluga, Istraživanje, Sustav obrazovanja.
U kojem roku se prijavljuju podaci nadležnom tijelu?
Podaci se dostavljaju u roku od 15 dana od zahtjeva nadležnog tijela, promjene se prijavljuju u roku od 3 mjeseca, a subjekt o kategorizaciji dobiva obavijest u roku od 30 dana (ZKS čl. 19. i 23.).
Kolike su kazne po Zakonu o kibernetičkoj sigurnosti?
Za ključne subjekte novčana kazna iznosi od 10.000 do 10.000.000 eura ili od 0,5 % do najviše 2 % ukupnog godišnjeg prometa na svjetskoj razini — ovisno o tome koji je iznos veći (čl. 101.). Za važne subjekte od 5.000 do 7.000.000 eura ili od 0,2 % do najviše 1,4 % prometa, također ovisno o tome koji je iznos veći (čl. 102.). Odgovorna fizička osoba kažnjava se s 1.000 do 6.000 eura kod ključnih, odnosno 500 do 3.000 eura kod važnih subjekata. Nedostava podataka za kategorizaciju i registar kažnjava se zasebno, od 2.000 do 20.000 eura (čl. 103.).
Koliko često treba revizija ili samoprocjena kibernetičke sigurnosti?
Najmanje jednom u dvije godine, i trošak snosi subjekt. Razlika je u tome što ključni subjekti provode reviziju kibernetičke sigurnosti (čl. 34.), a važni subjekti samoprocjenu uz izjavu o sukladnosti nadležnom tijelu (čl. 35.).
U kojem se roku prijavljuje značajan incident?
Zakon propisuje obvezu prijave nadležnom CSIRT-u (čl. 37.), a obveza počinje teći 30 dana od primitka obavijesti o kategorizaciji. Same rokove za dostavu obavijesti ZKS ne propisuje — čl. 44. ih izričito prepušta Uredbi o kibernetičkoj sigurnosti (NN 135/2024). Rokovi od 24 i 72 sata koji se često navode dolaze iz NIS2 okvira i provedbenog propisa, a ne iz teksta samog zakona.
Što ako nismo obveznik — moramo li išta?
Zakon vam tada ne propisuje obveze. U praksi ih ipak možete dobiti ugovorom: obveznici moraju upravljati rizicima u lancu dobave, pa dobavljačima prenose dio zahtjeva. Osnovne mjere — zaštita e-pošte, višefaktorska prijava, testirani backup i evidencija pristupa — vrijede neovisno o tome jeste li na popisu.