NIS2: za koga velja in kaj zahteva od dobaviteljev zavezanih podjetij

Sestavil Solucom · 22 oktober 2026

NIS2 velja za srednja in velika podjetja, ki delujejo v enem od 18 sektorjev, navedenih v uredbi, ter za nekatere digitalne dejavnosti, ki so v obsegu ne glede na velikost. V Italiji jo ureja zakonska uredba št. 138/2024, ki velja od 16. oktobra 2024, pristojni organ pa je nacionalna agencija za kibernetsko varnost (ACN).

Mnoga MSP so torej izven obsega. Kljub temu jih je leta 2026 kar nekaj prejelo varnostni vprašalnik, novo klavzulo v pogodbi ali zahtevo za »uskladitev z NIS2«. Razlog je, da so njihove stranke v obsegu, NIS2 pa od teh strank zahteva, da skrbijo tudi za varnost svojih dobaviteljev.

Tu pojasnjujemo, kdo je v obsegu, zakaj zahteva pride tudi do tistih, ki niso, in kaj kot dobavitelj pripraviti. Ukvarjamo se s tehničnim in operativnim delom: za pravno opredelitev vašega podjetja potrebujete odvetnika ali specializiranega svetovalca.

Kdo spada pod NIS2

Uredba zajema 18 sektorjev: 11 zelo kritičnih in 7 kritičnih. Med prvimi so energetika, promet, zdravstvo, voda, digitalna infrastruktura in upravljanje storitev IKT med podjetji (ponudniki upravljanih storitev in upravljanih varnostnih storitev). Med drugimi so poštne in kurirske storitve, ravnanje z odpadki, kemikalije, hrana, proizvodnja različnih izdelkov, ponudniki digitalnih storitev in raziskave.

Znotraj teh sektorjev odloča velikost po evropski opredelitvi MSP:

• velika podjetja (od 250 zaposlenih ali s prometom nad 50 milijonov in bilanco nad 43 milijonov evrov): bistveni subjekti v zelo kritičnih sektorjih, pomembni v ostalih;
• srednja podjetja (od 50 zaposlenih ali s prometom in bilanco nad 10 milijonov evrov): praviloma pomembni subjekti;
• mala in mikro podjetja: izven obsega, razen izjem.

Izjeme so v obsegu ne glede na velikost: ponudniki javnih elektronskih komunikacijskih omrežij in storitev, ponudniki storitev zaupanja, upravljavci vršnih domen, ponudniki storitev DNS in registrarji domen. V obsegu so tudi javne uprave, ki jih navaja uredba, ACN pa lahko vključi posamezne organizacije, ki jih ima za kritične.

Dve podrobnosti, ki sta pomembni pri izračunu. Pri skupinah podjetij se številke seštejejo s povezanimi podjetji, zato je lahko majhna družba pod nadzorom velike skupine šteta kot srednja ali velika. Obstaja varovalna klavzula (uredba predsednika vlade št. 221/2024), ki v nekaterih primerih dovoljuje, da se številke ne seštejejo, vendar jo je treba zahtevati in utemeljiti.

Najzanesljiveje to ugotovite s samooceno, ki jo ponuja ACN, in z vprašanji po posameznih sektorjih.

Kaj morajo storiti zavezana podjetja

Subjekti NIS imajo vrsto obveznosti z natančnimi roki:

• registracija na platformi ACN in posodobitev registracije od 1. januarja do 28. februarja vsako leto;
• posodobitev podatkov do 31. maja vsako leto;
• prijava pomembnih incidentov skupini CSIRT Italia, obveznost velja od januarja 2026;
• sprejetje osnovnih varnostnih ukrepov po določilih ACN do oktobra 2026: en seznam za pomembne subjekte in daljši za bistvene.

Ena točka zadeva vodstvo: upravni organi potrdijo ukrepe, nadzorujejo njihovo izvajanje in odgovarjajo za kršitve. Globe znašajo do 10 milijonov evrov ali 2 % svetovnega prometa za bistvene subjekte in do 7 milijonov ali 1,4 % za pomembne.

Zakaj zahteva pride tudi do dobaviteljev

Med ukrepi, ki jih uredba zahteva od subjektov NIS, je varnost dobavne verige: odnose z neposrednimi dobavitelji in ponudniki storitev je treba oceniti in upravljati kot tveganje.

Od leta 2026 je to postalo konkretno. Ob letni posodobitvi subjekti NIS agenciji ACN sporočijo tudi seznam pomembnih dobaviteljev (odločba ACN št. 314287/2026, ki je nadomestila odločbo št. 127437 z dne 13. aprila 2026). Na ta seznam spadajo na primer ponudniki oblaka in podatkovnih centrov, podjetja, ki v zunanjem izvajanju upravljajo sisteme ali varnost, in na splošno vsi, ki dobavljajo nekaj, česar prekinitev bi ustavila storitve stranke.

Zato vprašanja, ki jih prej ni postavljal nihče, zdaj dobivajo programska oprema distributerja, agencija, ki upravlja spletno trgovino, pisarna, ki vodi plače, in tehnik z oddaljenim dostopom do strežnikov. Ne zato, ker bi NIS2 veljala zanje, ampak zato, ker mora stranka dokazati, da ve, kdo so in kako varni so.

Kaj vas bo stranka, zavezana NIS2, v praksi vprašala

Vprašalniki se razlikujejo od podjetja do podjetja, vprašanja pa se ponavljajo. Odgovore je dobro imeti pripravljene, predvsem pa res imeti stvari, ki jih opisujejo.

1. Kdo ima dostop do naših sistemov in kako?

Seznam oseb in računov, ki dostopajo do sistemov stranke, z dvofaktorsko avtentikacijo. Brez skupnih računov, brez poverilnic, poslanih po e-pošti. Ko oseba zapusti projekt, se njen dostop zapre isti dan.

2. Kje so naši podatki?

Katere storitve v oblaku uporabljate, v kateri regiji in s katerimi poddobavitelji. Stranka mora popisati svojo dobavno verigo in vi ste njen del.

3. Ali delate varnostne kopije in ste jih že kdaj obnovili?

Varnostna kopija, ki je nikoli niste preizkusili, je upanje. Vedeti morate, kako pogosto se izdela, kje je shranjena, koliko časa traja ponovni zagon in kdaj je bil zadnji preizkus obnove.

4. Kako posodabljate sisteme in programsko opremo?

Zapisano pravilo o tem, kdo namešča varnostne posodobitve in v kakšnem roku: operacijski sistemi, CMS, vtičniki, knjižnice. Pri tem vprašanju se najbolj mučijo strani WordPress, prepuščene same sebi. O tem pišemo v članku WordPress mission-critical.

5. Če imate incident, kdaj nam to sporočite?

Stranka, zavezana NIS2, mora skupini CSIRT poslati zgodnje opozorilo v 24 urah od trenutka, ko izve za pomemben incident, in prijavo v 72 urah. Če se incident začne pri vas, so njeni roki odvisni od vaših. Potrebujete dosegljivo kontaktno osebo in pisno zavezo o rokih obveščanja.

6. Kdo je vaša kontaktna oseba za varnost?

Tudi majhno podjetje potrebuje ime: nekoga, ki odgovarja na vprašanja, posodablja dokumentacijo in usklajuje ukrepe, ko se kaj zgodi.

Kje začeti, če ste dobavitelj MSP

Za dober odgovor na vprašalnik ne potrebujete certifikata. Vedeti morate, kaj imate, in to znati dokazati.

• Naredite popis tega, kar dobavljate posamezni stranki: storitve, dostopi, podatki, ki gredo skozi vas.
• Uredite preproste stvari: dvofaktorska avtentikacija povsod, osebni in ne skupni računi, varnostne kopije s preizkusom obnove, posodobitve po pravilu.
• Napišite dve strani, ne sto: kdo je kontaktna oseba, kako upravljate dostope, varnostne kopije in posodobitve, kaj se zgodi ob incidentu in v kakšnem roku obvestite stranko.
• Preverite svoje dobavitelje: gostovanje, oblak, programska oprema. Stranka vas bo vprašala tudi o njih.
• Pozorno preberite klavzule v pogodbah, ki jih prejmete, skupaj s svojim odvetnikom: zaveze glede rokov obveščanja, revizij in poddobaviteljev je treba izpolnjevati skozi čas, ne le podpisati.

Veliko tega je najprej dobro vzdrževanje in šele nato skladnost. Kdor ima to že urejeno, na vprašalnik odgovori v enem popoldnevu; kdor nima, ugotovi, da ima varnostno težavo, ne le težavo s papirji.

Pogosta vprašanja

Viri: Italijanska nacionalna agencija za kibernetsko varnost, strani Obseg, Osnovni ukrepi in specifikacije in Pogosta vprašanja NIS; Zakonska uredba št. 138 z dne 4. septembra 2024. Preverjeno 11. novembra 2026.

Ste od stranke prejeli vprašalnik NIS2? Pomagamo vam lahko odgovoriti na tehnični del in urediti, kar manjka: dostope, varnostne kopije, posodobitve, postopke. Poglejte, kako delamo, v naših projekti.