ZInfV-1: organizacije bodo morale skladnost kmalu tudi dokazati
Ko je pred letom dni začel veljati novi Zakon o informacijski varnosti (ZInfV-1), so se organizacije predvsem spraševale, ali sodijo med zavezance. Danes se vprašanje premika drugam: ali bodo organizacije sposobne dokazati, da zahteve dejansko izvajajo v praksi.
Za subjekte, ki so bili zavezanci že po prejšnji zakonodaji, se junija 2026 izteka prehodno obdobje za uskladitev z novimi zahtevami. Večina novih bistvenih in pomembnih subjektov pa ima za pripravo še približno pol leta časa. To pomeni, da čas za prve konkretne korake ni več neomejen, še posebej v organizacijah, kjer je treba v izvajanje vključiti več oddelkov in zunanjih izvajalcev.
Dokumentacija sama ne bo dovolj
Veliko organizacij je v zadnjem letu pripravilo politike, postopke in drugo dokumentacijo, ki jo zahteva zakon, vendar ti predstavljajo le osnovo. ZInfV-1 ni namenjen ustvarjanju dokumentov zaradi dokumentov samih. Njegov cilj je vzpostavitev dejanskega upravljanja tveganj in kibernetske odpornosti. Organizacije pa bodo morale pokazati tudi dokazila o izvedenih usposabljanjih, ocenjevanju tveganj, preverjanju dobaviteljev, testiranju načrtov neprekinjenega poslovanja ter sprejetih korektivnih ukrepih. »Ključna razlika je med formalno in dejansko skladnostjo. Ni dovolj, da ima organizacija pripravljeno dokumentacijo. Dokazati mora, da postopke izvaja, preverja njihovo učinkovitost in jih redno izboljšuje,« poudarja Tina Jereb, strokovnjakinja za informacijsko varnost in skladnost v ACTUAL I.T. V praksi bo morala biti organizacija sposobna odgovoriti na konkretna vprašanja: kdaj je nazadnje ocenila tveganja, ali je preizkusila odziv ob incidentu in ali lahko dokaže, da sistematično upravlja tveganja v dobavni verigi..
Kibernetska varnost postaja tema vodstva
ZInfV-1 informacijske varnosti ne obravnava več zgolj kot nalogo IT-oddelka. Vodstvo mora poznati ključna tveganja, spremljati stanje skladnosti in zagotoviti ustrezne vire za izvajanje ukrepov. Kibernetski incident namreč ne predstavlja le tehnične težave. Lahko povzroči prekinitev poslovanja, finančno škodo, zamude in izgubo zaupanja strank. Zato se vprašanje skladnosti ne dotika le informatikov, temveč tudi vodstva, pravnih služb, nabave, kadrovskih oddelkov in odgovornih za neprekinjeno poslovanje. »Vodstvo mora razumeti, katera tveganja lahko vplivajo na poslovanje in ali so ukrepi usklajeni s cilji organizacije. Informacijska varnost mora postati del poslovnega odločanja,« pojasnjuje Jerebova.
Zahteve že čutijo tudi »nezavezanci«
Vpliv novosti ZInfV-1 pa sega precej širše od kroga formalnih zavezancev. Zakon namreč zahteva obvladovanje tveganj v dobavni verigi, zaradi česar bodo zavezanci vedno pogosteje preverjali svoje dobavitelje in zunanje izvajalce. Številna podjetja tako že prejemajo prve zahtevke v obliki vprašalnikov, zahtev po dokazilih in novih pogodbenih določb svojih naročnikov. To pomeni, da se ZInfV-1 dotika tudi številnih manjših in srednje velikih podjetij, ki sodelujejo z večjimi naročniki. Za nekatere bo sposobnost dokazovanja ustrezne ravni varnosti postopoma postala tudi pomemben pogoj za ohranitev poslovnega sodelovanja. »Tudi podjetje, ki ni neposredni zavezanec, se lahko hitro znajde pred zahtevami svojih strank. Sposobnost dokazovanja ustrezne ravni informacijske varnosti zato postaja tudi vprašanje zaupanja in konkurenčnosti,« opozarja Tina Jereb.
Če je bilo leto 2025 namenjeno predvsem razumevanju novih zahtev, je leto 2026 čas za njihovo dejansko izvedbo. Organizacije, ki z aktivnostmi še odlašajo, se bodo kmalu soočile z bistveno zahtevnejšo nalogo. Vzpostavitev procesov upravljanja tveganj, urejanje dobavne verige, priprava dokazil in usposabljanje zaposlenih zahtevajo čas. Zato skladnosti ni mogoče vzpostaviti v enem mesecu ali dveh. ZInfV-1 zato ni več projekt prihodnosti. Za prve zavezance je rok že tukaj, za ostale pa se meri v nekaj mesecih in ne v letih. Ključno vprašanje v tem trenutku ni več, ali ima organizacija pripravljene dokumente, temveč ali lahko dokaže, da zahteve zakona dejansko izvaja v praksi.
NAZAJ NA: Actual I.T. Novice | Unistar novice | Astec novice | Itelis novice
ZInfV-1: organizacije bodo morale skladnost kmalu tudi dokazati
Ko je pred letom dni začel veljati novi Zakon o informacijski varnosti (ZInfV-1), so se organizacije predvsem spraševale, ali sodijo med zavezance. Danes se vprašanje premika drugam: ali bodo organizacije sposobne dokazati, da zahteve dejansko izvajajo v praksi.
Za subjekte, ki so bili zavezanci že po prejšnji zakonodaji, se junija 2026 izteka prehodno obdobje za uskladitev z novimi zahtevami. Večina novih bistvenih in pomembnih subjektov pa ima za pripravo še približno pol leta časa. To pomeni, da čas za prve konkretne korake ni več neomejen, še posebej v organizacijah, kjer je treba v izvajanje vključiti več oddelkov in zunanjih izvajalcev.
Dokumentacija sama ne bo dovolj
Veliko organizacij je v zadnjem letu pripravilo politike, postopke in drugo dokumentacijo, ki jo zahteva zakon, vendar ti predstavljajo le osnovo. ZInfV-1 ni namenjen ustvarjanju dokumentov zaradi dokumentov samih. Njegov cilj je vzpostavitev dejanskega upravljanja tveganj in kibernetske odpornosti. Organizacije pa bodo morale pokazati tudi dokazila o izvedenih usposabljanjih, ocenjevanju tveganj, preverjanju dobaviteljev, testiranju načrtov neprekinjenega poslovanja ter sprejetih korektivnih ukrepih. »Ključna razlika je med formalno in dejansko skladnostjo. Ni dovolj, da ima organizacija pripravljeno dokumentacijo. Dokazati mora, da postopke izvaja, preverja njihovo učinkovitost in jih redno izboljšuje,« poudarja Tina Jereb, strokovnjakinja za informacijsko varnost in skladnost v ACTUAL I.T. V praksi bo morala biti organizacija sposobna odgovoriti na konkretna vprašanja: kdaj je nazadnje ocenila tveganja, ali je preizkusila odziv ob incidentu in ali lahko dokaže, da sistematično upravlja tveganja v dobavni verigi..
Kibernetska varnost postaja tema vodstva
ZInfV-1 informacijske varnosti ne obravnava več zgolj kot nalogo IT-oddelka. Vodstvo mora poznati ključna tveganja, spremljati stanje skladnosti in zagotoviti ustrezne vire za izvajanje ukrepov. Kibernetski incident namreč ne predstavlja le tehnične težave. Lahko povzroči prekinitev poslovanja, finančno škodo, zamude in izgubo zaupanja strank. Zato se vprašanje skladnosti ne dotika le informatikov, temveč tudi vodstva, pravnih služb, nabave, kadrovskih oddelkov in odgovornih za neprekinjeno poslovanje. »Vodstvo mora razumeti, katera tveganja lahko vplivajo na poslovanje in ali so ukrepi usklajeni s cilji organizacije. Informacijska varnost mora postati del poslovnega odločanja,« pojasnjuje Jerebova.
Zahteve že čutijo tudi »nezavezanci«
Vpliv novosti ZInfV-1 pa sega precej širše od kroga formalnih zavezancev. Zakon namreč zahteva obvladovanje tveganj v dobavni verigi, zaradi česar bodo zavezanci vedno pogosteje preverjali svoje dobavitelje in zunanje izvajalce. Številna podjetja tako že prejemajo prve zahtevke v obliki vprašalnikov, zahtev po dokazilih in novih pogodbenih določb svojih naročnikov. To pomeni, da se ZInfV-1 dotika tudi številnih manjših in srednje velikih podjetij, ki sodelujejo z večjimi naročniki. Za nekatere bo sposobnost dokazovanja ustrezne ravni varnosti postopoma postala tudi pomemben pogoj za ohranitev poslovnega sodelovanja. »Tudi podjetje, ki ni neposredni zavezanec, se lahko hitro znajde pred zahtevami svojih strank. Sposobnost dokazovanja ustrezne ravni informacijske varnosti zato postaja tudi vprašanje zaupanja in konkurenčnosti,« opozarja Tina Jereb.
Če je bilo leto 2025 namenjeno predvsem razumevanju novih zahtev, je leto 2026 čas za njihovo dejansko izvedbo. Organizacije, ki z aktivnostmi še odlašajo, se bodo kmalu soočile z bistveno zahtevnejšo nalogo. Vzpostavitev procesov upravljanja tveganj, urejanje dobavne verige, priprava dokazil in usposabljanje zaposlenih zahtevajo čas. Zato skladnosti ni mogoče vzpostaviti v enem mesecu ali dveh. ZInfV-1 zato ni več projekt prihodnosti. Za prve zavezance je rok že tukaj, za ostale pa se meri v nekaj mesecih in ne v letih. Ključno vprašanje v tem trenutku ni več, ali ima organizacija pripravljene dokumente, temveč ali lahko dokaže, da zahteve zakona dejansko izvaja v praksi.
ZInfV-1: organizacije bodo morale skladnost kmalu tudi dokazati
Ko je pred letom dni začel veljati novi Zakon o informacijski varnosti (ZInfV-1), so se organizacije predvsem spraševale, ali sodijo med zavezance. Danes se vprašanje premika drugam: ali bodo organizacije sposobne dokazati, da zahteve dejansko izvajajo v praksi.
Za subjekte, ki so bili zavezanci že po prejšnji zakonodaji, se junija 2026 izteka prehodno obdobje za uskladitev z novimi zahtevami. Večina novih bistvenih in pomembnih subjektov pa ima za pripravo še približno pol leta časa. To pomeni, da čas za prve konkretne korake ni več neomejen, še posebej v organizacijah, kjer je treba v izvajanje vključiti več oddelkov in zunanjih izvajalcev.
Dokumentacija sama ne bo dovolj
Veliko organizacij je v zadnjem letu pripravilo politike, postopke in drugo dokumentacijo, ki jo zahteva zakon, vendar ti predstavljajo le osnovo. ZInfV-1 ni namenjen ustvarjanju dokumentov zaradi dokumentov samih. Njegov cilj je vzpostavitev dejanskega upravljanja tveganj in kibernetske odpornosti. Organizacije pa bodo morale pokazati tudi dokazila o izvedenih usposabljanjih, ocenjevanju tveganj, preverjanju dobaviteljev, testiranju načrtov neprekinjenega poslovanja ter sprejetih korektivnih ukrepih. »Ključna razlika je med formalno in dejansko skladnostjo. Ni dovolj, da ima organizacija pripravljeno dokumentacijo. Dokazati mora, da postopke izvaja, preverja njihovo učinkovitost in jih redno izboljšuje,« poudarja Tina Jereb, strokovnjakinja za informacijsko varnost in skladnost v ACTUAL I.T. V praksi bo morala biti organizacija sposobna odgovoriti na konkretna vprašanja: kdaj je nazadnje ocenila tveganja, ali je preizkusila odziv ob incidentu in ali lahko dokaže, da sistematično upravlja tveganja v dobavni verigi..
Kibernetska varnost postaja tema vodstva
ZInfV-1 informacijske varnosti ne obravnava več zgolj kot nalogo IT-oddelka. Vodstvo mora poznati ključna tveganja, spremljati stanje skladnosti in zagotoviti ustrezne vire za izvajanje ukrepov. Kibernetski incident namreč ne predstavlja le tehnične težave. Lahko povzroči prekinitev poslovanja, finančno škodo, zamude in izgubo zaupanja strank. Zato se vprašanje skladnosti ne dotika le informatikov, temveč tudi vodstva, pravnih služb, nabave, kadrovskih oddelkov in odgovornih za neprekinjeno poslovanje. »Vodstvo mora razumeti, katera tveganja lahko vplivajo na poslovanje in ali so ukrepi usklajeni s cilji organizacije. Informacijska varnost mora postati del poslovnega odločanja,« pojasnjuje Jerebova.
Zahteve že čutijo tudi »nezavezanci«
Vpliv novosti ZInfV-1 pa sega precej širše od kroga formalnih zavezancev. Zakon namreč zahteva obvladovanje tveganj v dobavni verigi, zaradi česar bodo zavezanci vedno pogosteje preverjali svoje dobavitelje in zunanje izvajalce. Številna podjetja tako že prejemajo prve zahtevke v obliki vprašalnikov, zahtev po dokazilih in novih pogodbenih določb svojih naročnikov. To pomeni, da se ZInfV-1 dotika tudi številnih manjših in srednje velikih podjetij, ki sodelujejo z večjimi naročniki. Za nekatere bo sposobnost dokazovanja ustrezne ravni varnosti postopoma postala tudi pomemben pogoj za ohranitev poslovnega sodelovanja. »Tudi podjetje, ki ni neposredni zavezanec, se lahko hitro znajde pred zahtevami svojih strank. Sposobnost dokazovanja ustrezne ravni informacijske varnosti zato postaja tudi vprašanje zaupanja in konkurenčnosti,« opozarja Tina Jereb.
Če je bilo leto 2025 namenjeno predvsem razumevanju novih zahtev, je leto 2026 čas za njihovo dejansko izvedbo. Organizacije, ki z aktivnostmi še odlašajo, se bodo kmalu soočile z bistveno zahtevnejšo nalogo. Vzpostavitev procesov upravljanja tveganj, urejanje dobavne verige, priprava dokazil in usposabljanje zaposlenih zahtevajo čas. Zato skladnosti ni mogoče vzpostaviti v enem mesecu ali dveh. ZInfV-1 zato ni več projekt prihodnosti. Za prve zavezance je rok že tukaj, za ostale pa se meri v nekaj mesecih in ne v letih. Ključno vprašanje v tem trenutku ni več, ali ima organizacija pripravljene dokumente, temveč ali lahko dokaže, da zahteve zakona dejansko izvaja v praksi.
