Od 1. oktobra 2026 v Avstriji velja novi zakon o varnosti omrežij in informacijskih sistemov, na kratko NISG 2026 (Netz- und Informationssystemsicherheitsgesetz). Z njim je prenesena evropska direktiva NIS2, kibernetska varnost pa postaja zakonska obveznost za tisoče podjetij. Po podatkih avstrijske gospodarske zbornice (Wirtschaftskammer) je neposredno zajetih približno 4.000 podjetij in subjektov iz 18 sektorjev, poleg tega pa še številni dobavitelji, ki jim obveznosti naložijo njihove stranke.
Enega najboljših pregledov v nemškem jeziku na to temo je na https://nis-2-ready.at pripravil dunajski pravnik in poslovni svetovalec Franz Kopp, kot dopolnilo k svoji knjigi „Quick Guide NIS-2 in Österreich“ (Kratek vodnik po NIS-2 v Avstriji, Springer Gabler). Spletno stran in njene vodnike sem temeljito preučil in tukaj povzemam, kaj morajo direktorice in direktorji vedeti zdaj: kdo je zajet, kateri roki tečejo, kaj je treba v primeru incidenta prijaviti in kakšne kazni grozijo. Moje podjetje gre trenutno samo po tej poti, zato na nekaterih mestih dodajam, kar se je pokazalo v praksi.
Kaj je NIS2 in kaj je NISG 2026?
NIS2 je druga direktiva EU o varnosti omrežij in informacij (Direktiva (EU) 2022/2555). Državam članicam nalaga, da za kritična in pomembna področja gospodarstva uvedejo zavezujoče minimalne standarde kibernetske varnosti. Avstrija je to storila z NISG 2026, objavljenim v zveznem uradnem listu (BGBl. I Nr. 94/2025). Operativne določbe veljajo od 1. oktobra 2026, pripadajoča uredba NISV 2026 pa od 2. oktobra 2026.
Bistvo zakona je mogoče povedati v štirih stavkih. Zajeta podjetja se morajo registrirati. Za svojo informacijsko tehnologijo morajo vzpostaviti upravljanje tveganj, ki pokriva deset določenih področij. Pomembne varnostne incidente morajo prijaviti v 24 urah. In vodstvo je osebno odgovorno za to, da se vse to zgodi.
Ali sem zajet? Tri ključna vprašanja
Ali podjetje spada pod NISG 2026, ni odvisno samo od panoge in ne samo od velikosti, temveč od obojega skupaj. Poleg tega obstaja nekaj posebnih primerov, ki veljajo ne glede na velikost.
Prvo vprašanje je velikost. Načeloma so zajeta srednje velika podjetja od 50 zaposlenih ali z več kot 10 milijoni evrov letnega prometa in hkrati več kot 10 milijoni evrov bilančne vsote. Za veliko velja podjetje od 250 zaposlenih ali z več kot 50 milijoni evrov prometa in več kot 43 milijoni evrov bilančne vsote. Pomembno: manj kot 50 zaposlenih ne izključuje samodejno zajetosti, ker štejejo tudi finančni kazalniki. Pri koncernih se partnerska in povezana podjetja načeloma upoštevajo, razen če je družba organizacijsko, tehnično in operativno dejansko samostojna.
Drugo vprašanje je dejavnost. Zakon v dveh prilogah navaja, katere storitve so zajete. Priloga 1 obsega sektorje z visoko stopnjo kritičnosti: energetika, promet, bančništvo, infrastruktura finančnega trga, zdravstvo, pitna voda, odpadna voda, digitalna infrastruktura, upravljanje storitev IKT, javna uprava in vesolje. Priloga 2 obsega druge kritične sektorje: poštne in kurirske storitve, ravnanje z odpadki, kemija, živila, predelovalne dejavnosti, na primer pri medicinskih pripomočkih, elektroniki, strojih in vozilih, digitalne storitve in raziskave. Odločilna je konkretna storitev, kot jo opisuje zakon, ne pa splošna oznaka panoge.
Tretje vprašanje zadeva stranke. Tudi kdor sam ni zajet, lahko pride do obveznosti prek svojih naročnikov, ker morajo ti zavarovati svojo dobavno verigo. Več o tem v nadaljevanju.
Bistveni ali pomembni subjekt?
NISG 2026 razlikuje dva razreda. Velika podjetja v sektorju iz priloge 1 so praviloma bistveni subjekti. Srednje velika podjetja v obeh prilogah ter velika podjetja v prilogi 2 so pomembni subjekti. Obveznosti so v bistvu enake, vendar so bistveni subjekti podvrženi strožjemu nadzoru in višjemu kazenskemu okviru.
Ne glede na velikost so zajeti kvalificirani ponudniki storitev zaupanja, registri imen vrhnjih domen, ponudniki storitev DNS in nekateri ponudniki javnih komunikacijskih storitev. Poleg tega lahko organ za kibernetsko varnost podjetje uvrsti z odločbo, na primer če je edini ponudnik kritične storitve v Avstriji. Prav ta primer zadeva moje podjetje: ker upravljamo storitve DNS, smo kljub svoji velikosti bistveni subjekt. Kdor ponuja gostovanje, domene ali IT-infrastrukturo, naj zato to točko preveri še posebej natančno.
Roki: registracija do 31. decembra 2026
Za podjetja, ki so pogoje izpolnjevala že 1. oktobra 2026, ima časovni načrt štiri postaje.
Prvič, registracija po § 29 pri organu za kibernetsko varnost. Opraviti jo je treba v treh mesecih od začetka veljavnosti, torej do konca leta 2026. Navesti je treba med drugim ime in kontaktne podatke, sektor in vrsto subjekta, zadevne države EU, glavni sedež in mejne vrednosti. Poleg tega je treba imenovati kontaktno točko s telefonsko številko in e-poštnim naslovom. Če se ti podatki pozneje spremenijo, je treba spremembo sporočiti v dveh tednih oziroma treh mesecih. V praksi poteka registracija prek avstrijskega portala storitev za podjetja, Unternehmensserviceportal (USP), in tam prek „NIS2 Services“. Kdor pogoje izpolni šele pozneje, na primer zaradi rasti, se mora registrirati najpozneje v treh mesecih od tega trenutka.
Drugič, upravljanje tveganj po § 32. Tu ni splošnega prehodnega obdobja, zato je treba ukrepe vzpostavljati vzporedno z registracijo.
Tretjič, samoizjava po § 33, odst. 1. V dvanajstih mesecih od nastanka obveznosti registracije mora podjetje organu strukturirano sporočiti, katere ukrepe je izvedlo, vključno z varnostjo dobavne verige in rezultati analize tveganj. Za večino že zajetih podjetij to pomeni: do konca septembra 2027.
Četrtič, neodvisni pregled po § 33, odst. 2. Ne pride samodejno, temveč na poziv organa, najprej dve leti po začetku veljavnosti. Načeloma je treba izvedbo nato v dveh letih dokazati prek neodvisnega organa. Bistveni subjekti pa morajo operativni in organizacijski del dokazati v dveh mesecih. Veljavni certifikati lahko pokrijejo samo ta operativni in organizacijski del, ne pa tehničnega.
Deset področij ukrepov po § 32
Srce zakona je § 32. Zahteva ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe po pristopu, ki zajema vse nevarnosti. Pokritih mora biti najmanj deset področij.
Prvič, analiza tveganj in varnost informacijskih sistemov: kateri sistemi, storitve in grožnje določajo lastno tveganje? Drugič, obvladovanje varnostnih incidentov, torej odkrivanje, ocenjevanje, eskalacija in obravnava. Tretjič, neprekinjeno poslovanje z varnostnimi kopijami, obnovo in kriznim upravljanjem. Četrtič, varnost dobavne verige in ponudnikov storitev. Petič, varnost pri nabavi, razvoju in vzdrževanju, vključno z ravnanjem z ranljivostmi. Šestič, postopki za ocenjevanje učinkovitosti ukrepov, na primer kazalniki, kontrolni testi in revizije. Sedmič, kibernetska higiena in usposabljanja. Osmič, kriptografija in šifriranje. Devetič, varnost človeških virov, nadzor dostopa in upravljanje sredstev. Desetič, večfaktorska avtentikacija, zavarovana komunikacija in po potrebi komunikacija v sili.
Kaj pomeni „sorazmerno“, je odvisno od izpostavljenosti tveganju, velikosti, verjetnosti nastanka in morebitne resnosti incidenta, vključno z družbenimi in gospodarskimi posledicami. Stroški sami po sebi niso razlog za izjemo. NISV 2026 dodaja, da mora analiza tveganj upoštevati tehnološka, človeška, z dobavno verigo povezana in z lokacijo povezana tveganja. Kdor zahteve začasno ali zaradi svoje velikosti ne more izpolniti, mora nadomestne ukrepe utemeljiti, dokumentirati in najmanj enkrat letno preveriti njihovo učinkovitost.
Obveznost prijave: 24 ur, 72 ur, en mesec
Če pride do pomembnega varnostnega incidenta, velja tristopenjski postopek prijave pristojnemu sektorskemu CSIRT (skupini za odzivanje na računalniške varnostne incidente) ali, če ta ne obstaja, nacionalnemu CSIRT. Roki začnejo teči, ko se izve za incident.
V 24 urah je treba poslati zgodnje opozorilo z navedbo, ali obstaja sum napada in ali bi lahko bile prizadete druge države. V 72 urah sledi dejanska prijava s prvo oceno resnosti in učinkov ter po potrebi s kazalniki ogroženosti. Najpozneje en mesec pozneje je treba predložiti končno poročilo, ki opisuje vzroke, vrsto grožnje, popravne ukrepe in čezmejne učinke. Če incident še traja, se najprej predloži poročilo o napredku. Poleg tega je treba stranke, katerih storitve so prizadete, nemudoma obvestiti. CSIRT se nato sam odzove v 24 urah in na željo nudi podporo.
Kdaj je incident pomemben? NISV 2026 navaja merila, pri katerih je to v vsakem primeru tako: neposredna finančna izguba nad 500.000 evrov ali 5 odstotkov prometa preteklega leta (šteje nižja vrednost), odtekanje poslovnih skrivnosti, smrt ali huda okvara zdravja človeka, uspešen, domnevno zlonameren dostop z verjetno hudimi motnjami poslovanja, izpad za več kot 100.000 uporabnikov ali 10 odstotkov uporabnikov za več kot 24 ur, izpad na območju vsaj ene avstrijske zvezne dežele za več kot 24 ur ter aktiviranje kriznih načrtov ali načrtov za izredne razmere. Tudi ponavljajoči se manjši incidenti z istim vzrokom lahko skupaj postanejo pomembni. Načrtovana vzdrževanja ne štejejo.
Iz lastne izkušnje: teh meril ne bi smeli prvič brati šele v izrednih razmerah. Za našo ekipo smo uvedli pisni postopek prijave z jasno določeno pripravljenostjo in vajo „pomembno ali ne?“. V noči s sobote na nedeljo nihče ne želi odpirati zakona.
Zadeva šefa: obveznosti vodstva
§ 31 izrecno opredeljuje NIS2 kot vodstveno nalogo. Poslovodstvo oziroma uprava mora zagotoviti, da se ukrepi po § 32 izvedejo, in to stalno nadzorovati. Operativno delo se lahko prenese na IT, informacijsko varnost, nabavo ali zunanje ponudnike storitev, odgovornost pa ostane na vrhu.
Poleg tega se morajo člani vodstvenih organov udeleževati usposabljanj iz kibernetske varnosti, ki so posebej zasnovana za vodstveno raven. Splošno usposabljanje za ozaveščanje zaposlenih za to ne zadošča. Trajanja, pogostosti in oblike potrdila o udeležbi zakon ne predpisuje. Smiselne vsebine so na primer trenutno stanje tveganj, zakonske naloge, situacije odločanja ob incidentu, tveganja v dobavni verigi in vprašanje, kaj dokazilo dejansko izpoveduje. Za zaposlene zakon dodatno zahteva redna, ustrezna usposabljanja.
Za dokazovanje Franz Kopp priporoča sprejemanje sklepov o vlogah in proračunu, redno poročanje vodstvu in dokumentiranje odločitev. Dobro poročilo za vodstvo vsebuje stanje tveganj, stanje izvajanja desetih področij ukrepov, kritične ponudnike, incidente, zapadle ukrepe, rezultate revizij in stanje usposabljanj.
Kazni in odgovornost
Globe so občutne. Za bistvene subjekte znašajo do 10 milijonov evrov ali 2 odstotka svetovnega prometa preteklega leta, za pomembne subjekte do 7 milijonov evrov ali 1,4 odstotka, vsakokrat višji znesek. Tudi opustitev registracije ali napačni podatki so upravni prekršek, prav tako opustitev prijave.
Kaznovano je v prvi vrsti podjetje samo. Samodejne osebne globe za direktorje zakon ne predvideva. Posledice po pravu družb, civilnem in zavarovalnem pravu je treba vendarle preučiti ločeno, in kdor ne more dokumentirati izpolnjevanja svoje nadzorne dolžnosti, ima v sporu slabe karte. Pri bistvenih subjektih obstaja poleg tega stopnja eskalacije po § 39: če podjetje odločbe o odpravi pomanjkljivosti ne izpolni pravočasno, lahko organ vodstvenim organom začasno prepove opravljanje vodstvenih nalog, dokler ukrepi niso izvedeni. To ni splošna prepoved opravljanja poklica. Kljub temu priporočam, da v tej povezavi pregledate tudi svoje zavarovanje D&O in kibernetsko zavarovanje.
NIS2 v dobavni verigi: kaj čaka dobavitelje
Veliko manjših podjetij NIS2 ne bo občutilo prek zakona, temveč prek svojih strank. Bistveni in pomembni subjekti morajo varnost svoje dobavne verige in svojih neposrednih ponudnikov storitev upoštevati v lastnem upravljanju tveganj. S tem dobavitelj ne postane samodejno sam subjekt po NISG. Zavezujoče obveznosti pa zanj nastanejo prek pogodb in razpisov.
Kako strogo bo, je odvisno od tveganja. Storitev v oblaku z administrativnim dostopom se preverja drugače kot dobavitelj pisarniškega materiala. Tipična dokazila so opis storitve in njenih tehničnih odvisnosti, kontaktna točka za varnostne incidente, pravila za dostope in večfaktorsko avtentikacijo, postopek za popravke in ranljivosti, preizkušen koncept varnostnega kopiranja in ponovnega zagona, postopek za incidente z obveščanjem strank, seznam bistvenih podizvajalcev ter revizijska poročila ali certifikati z ustreznim področjem veljavnosti.
Stavek, kot je „Izvajalec izpolnjuje NIS2“, je kot pogodbena določba preveč nedoločen. Dobre pogodbe konkretno urejajo, kateri varnostni ukrepi veljajo, kdo koga v kakšnem roku obvesti o incidentih, katera dokazila so sprejeta, kako potekajo pregledi in kako se ravna s podizvajalci in pomanjkljivostmi. Prav to smo prestali z velikimi strankami: vprašalniki, penetracijski testi, ponovni testi. Kdor se pripravi zgodaj, pri tem pridobi zaupanje in včasih tudi naročila.
Kaj bi morali zdaj konkretno storiti
Preverite in dokumentirajte, ali ste zajeti: velikost vključno s povezanimi podjetji, dejavnosti po prilogah 1 in 2, posebni primeri ne glede na velikost. Rezultat zapišite in ga dajte v podpis vodstvu.
Če ste zajeti, se do 31. decembra 2026 registrirajte prek USP in imenujte dosegljivo kontaktno točko.
Pripravite načrt ukrepov po desetih področjih iz § 32, dajte ga v odobritev vodstvu in od začetka za vsak ukrep shranjujte dokazilo. Ta dosje je osnova za samoizjavo jeseni 2027.
Napišite postopek prijave in eskalacije za 24 in 72 ur in ga vadite. Usposobite vodstvo in ekipo. In preglejte svoje najpomembnejše ponudnike storitev in pogodbe s strankami glede varnostnih zahtev.
Moj sklep
NIS2 ni IT-projekt, ki ga prepustimo tehniki, temveč vodstvena naloga z jasnimi roki. Dobra novica: kdor svojo IT že tako ali tako vodi urejeno, ima veliko že narejenega in mora to predvsem narediti dokazljivo. Slaba: brez dokumentacije v izrednih razmerah nič od tega ne šteje.
Za začetek priporočam spletno stran https://nis-2-ready.at z njenim kratkim preverjanjem zajetosti in šestimi vodniki. Zavezujoči so primarni viri v avstrijskem zveznem pravnem informacijskem sistemu (RIS). Ta prispevek je moj povzetek kot podjetnika in ne nadomešča pravnega svetovanja.
Z veseljem vam svetujem
Moje podjetje je NISG 2026 kot bistveni subjekt pravkar samo izvedlo: uvrstitev, registracija, načrt ukrepov, postopek prijave in ravnanja v sili, usposabljanje vodstva in ekipe, dokazila za dobavno verigo. To izkušnjo z veseljem delim. Če želite vedeti, ali je vaše podjetje zajeto, ali iščete pragmatično pot do izvedbe, vam z veseljem osebno svetujem. Preprosto mi pišite: https://www.mariokoerbler.com/sl/kontakt