{"id":394,"date":"2026-10-22T09:00:00","date_gmt":"2026-10-22T07:00:00","guid":{"rendered":"https:\/\/solucom.si\/?p=394"},"modified":"2026-11-11T08:15:08","modified_gmt":"2026-11-11T07:15:08","slug":"nis2-za-koga-velja-dobavitelji","status":"publish","type":"post","link":"https:\/\/solucom.si\/sl\/nis2-a-chi-si-applica-fornitori\/","title":{"rendered":"NIS2: za koga velja in kaj zahteva od dobaviteljev zavezanih podjetij"},"content":{"rendered":"<p><strong>NIS2 velja za srednja in velika podjetja, ki delujejo v enem od 18 sektorjev, navedenih v uredbi, ter za nekatere digitalne dejavnosti, ki so v obsegu ne glede na velikost.<\/strong> V Italiji jo ureja zakonska uredba \u0161t. 138\/2024, ki velja od 16. oktobra 2024, pristojni organ pa je nacionalna agencija za kibernetsko varnost (ACN).<\/p>\n<p>Mnoga MSP so torej izven obsega. Kljub temu jih je leta 2026 kar nekaj prejelo varnostni vpra\u0161alnik, novo klavzulo v pogodbi ali zahtevo za \u00bbuskladitev z NIS2\u00ab. Razlog je, da so njihove stranke v obsegu, NIS2 pa od teh strank zahteva, da skrbijo tudi za varnost svojih dobaviteljev.<\/p>\n<p>Tu pojasnjujemo, kdo je v obsegu, zakaj zahteva pride tudi do tistih, ki niso, in kaj kot dobavitelj pripraviti. Ukvarjamo se s tehni\u010dnim in operativnim delom: za pravno opredelitev va\u0161ega podjetja potrebujete odvetnika ali specializiranega svetovalca.<\/p>\n<h2>Kdo spada pod NIS2<\/h2>\n<p>Uredba zajema <strong>18 sektorjev<\/strong>: 11 zelo kriti\u010dnih in 7 kriti\u010dnih. Med prvimi so energetika, promet, zdravstvo, voda, digitalna infrastruktura in upravljanje storitev IKT med podjetji (ponudniki upravljanih storitev in upravljanih varnostnih storitev). Med drugimi so po\u0161tne in kurirske storitve, ravnanje z odpadki, kemikalije, hrana, proizvodnja razli\u010dnih izdelkov, ponudniki digitalnih storitev in raziskave.<\/p>\n<p>Znotraj teh sektorjev odlo\u010da velikost po evropski opredelitvi MSP:<\/p>\n<ul>\n<li><strong>velika podjetja<\/strong> (od 250 zaposlenih ali s prometom nad 50 milijonov in bilanco nad 43 milijonov evrov): <em>bistveni subjekti<\/em> v zelo kriti\u010dnih sektorjih, <em>pomembni<\/em> v ostalih;<\/li>\n<li><strong>srednja podjetja<\/strong> (od 50 zaposlenih ali s prometom in bilanco nad 10 milijonov evrov): praviloma <em>pomembni subjekti<\/em>;<\/li>\n<li><strong>mala in mikro podjetja<\/strong>: izven obsega, razen izjem.<\/li>\n<\/ul>\n<p>Izjeme so v obsegu <strong>ne glede na velikost<\/strong>: ponudniki javnih elektronskih komunikacijskih omre\u017eij in storitev, ponudniki storitev zaupanja, upravljavci vr\u0161nih domen, ponudniki storitev DNS in registrarji domen. V obsegu so tudi javne uprave, ki jih navaja uredba, ACN pa lahko vklju\u010di posamezne organizacije, ki jih ima za kriti\u010dne.<\/p>\n<p>Dve podrobnosti, ki sta pomembni pri izra\u010dunu. Pri <strong>skupinah podjetij<\/strong> se \u0161tevilke se\u0161tejejo s povezanimi podjetji, zato je lahko majhna dru\u017eba pod nadzorom velike skupine \u0161teta kot srednja ali velika. Obstaja <strong>varovalna klavzula<\/strong> (uredba predsednika vlade \u0161t. 221\/2024), ki v nekaterih primerih dovoljuje, da se \u0161tevilke ne se\u0161tejejo, vendar jo je treba zahtevati in utemeljiti.<\/p>\n<p>Najzanesljiveje to ugotovite s samooceno, ki jo ponuja ACN, in z vpra\u0161anji po posameznih sektorjih.<\/p>\n<h2>Kaj morajo storiti zavezana podjetja<\/h2>\n<p>Subjekti NIS imajo vrsto obveznosti z natan\u010dnimi roki:<\/p>\n<ul>\n<li><strong>registracija<\/strong> na platformi ACN in posodobitev registracije od 1. januarja do 28. februarja vsako leto;<\/li>\n<li><strong>posodobitev podatkov<\/strong> do 31. maja vsako leto;<\/li>\n<li><strong>prijava pomembnih incidentov skupini CSIRT Italia<\/strong>, obveznost velja od januarja 2026;<\/li>\n<li><strong>sprejetje osnovnih varnostnih ukrepov<\/strong> po dolo\u010dilih ACN do oktobra 2026: en seznam za pomembne subjekte in dalj\u0161i za bistvene.<\/li>\n<\/ul>\n<p>Ena to\u010dka zadeva vodstvo: <strong>upravni organi<\/strong> potrdijo ukrepe, nadzorujejo njihovo izvajanje in odgovarjajo za kr\u0161itve. Globe zna\u0161ajo do 10 milijonov evrov ali 2 % svetovnega prometa za bistvene subjekte in do 7 milijonov ali 1,4 % za pomembne.<\/p>\n<h2>Zakaj zahteva pride tudi do dobaviteljev<\/h2>\n<p>Med ukrepi, ki jih uredba zahteva od subjektov NIS, je <strong>varnost dobavne verige<\/strong>: odnose z neposrednimi dobavitelji in ponudniki storitev je treba oceniti in upravljati kot tveganje.<\/p>\n<p>Od leta 2026 je to postalo konkretno. Ob letni posodobitvi subjekti NIS agenciji ACN sporo\u010dijo tudi <strong>seznam pomembnih dobaviteljev<\/strong> (odlo\u010dba ACN \u0161t. 314287\/2026, ki je nadomestila odlo\u010dbo \u0161t. 127437 z dne 13. aprila 2026). Na ta seznam spadajo na primer ponudniki oblaka in podatkovnih centrov, podjetja, ki v zunanjem izvajanju upravljajo sisteme ali varnost, in na splo\u0161no vsi, ki dobavljajo nekaj, \u010desar prekinitev bi ustavila storitve stranke.<\/p>\n<p>Zato vpra\u0161anja, ki jih prej ni postavljal nih\u010de, zdaj dobivajo programska oprema distributerja, agencija, ki upravlja spletno trgovino, pisarna, ki vodi pla\u010de, in tehnik z oddaljenim dostopom do stre\u017enikov. Ne zato, ker bi NIS2 veljala zanje, ampak zato, ker mora stranka dokazati, da ve, kdo so in kako varni so.<\/p>\n<h2>Kaj vas bo stranka, zavezana NIS2, v praksi vpra\u0161ala<\/h2>\n<p>Vpra\u0161alniki se razlikujejo od podjetja do podjetja, vpra\u0161anja pa se ponavljajo. Odgovore je dobro imeti pripravljene, predvsem pa res imeti stvari, ki jih opisujejo.<\/p>\n<h3>1. Kdo ima dostop do na\u0161ih sistemov in kako?<\/h3>\n<p>Seznam oseb in ra\u010dunov, ki dostopajo do sistemov stranke, z dvofaktorsko avtentikacijo. Brez skupnih ra\u010dunov, brez poverilnic, poslanih po e-po\u0161ti. Ko oseba zapusti projekt, se njen dostop zapre isti dan.<\/p>\n<h3>2. Kje so na\u0161i podatki?<\/h3>\n<p>Katere storitve v oblaku uporabljate, v kateri regiji in s katerimi poddobavitelji. Stranka mora popisati svojo dobavno verigo in vi ste njen del.<\/p>\n<h3>3. Ali delate varnostne kopije in ste jih \u017ee kdaj obnovili?<\/h3>\n<p>Varnostna kopija, ki je nikoli niste preizkusili, je upanje. Vedeti morate, kako pogosto se izdela, kje je shranjena, koliko \u010dasa traja ponovni zagon in kdaj je bil zadnji preizkus obnove.<\/p>\n<h3>4. Kako posodabljate sisteme in programsko opremo?<\/h3>\n<p>Zapisano pravilo o tem, kdo name\u0161\u010da varnostne posodobitve in v kak\u0161nem roku: operacijski sistemi, CMS, vti\u010dniki, knji\u017enice. Pri tem vpra\u0161anju se najbolj mu\u010dijo strani WordPress, prepu\u0161\u010dene same sebi. O tem pi\u0161emo v \u010dlanku <a href=\"\/sl\/wordpress-misijsko-kriticna\/\">WordPress mission-critical<\/a>.<\/p>\n<h3>5. \u010ce imate incident, kdaj nam to sporo\u010dite?<\/h3>\n<p>Stranka, zavezana NIS2, mora skupini CSIRT poslati zgodnje opozorilo v 24 urah od trenutka, ko izve za pomemben incident, in prijavo v 72 urah. \u010ce se incident za\u010dne pri vas, so njeni roki odvisni od va\u0161ih. Potrebujete dosegljivo kontaktno osebo in pisno zavezo o rokih obve\u0161\u010danja.<\/p>\n<h3>6. Kdo je va\u0161a kontaktna oseba za varnost?<\/h3>\n<p>Tudi majhno podjetje potrebuje ime: nekoga, ki odgovarja na vpra\u0161anja, posodablja dokumentacijo in usklajuje ukrepe, ko se kaj zgodi.<\/p>\n<h2>Kje za\u010deti, \u010de ste dobavitelj MSP<\/h2>\n<p>Za dober odgovor na vpra\u0161alnik ne potrebujete certifikata. Vedeti morate, kaj imate, in to znati dokazati.<\/p>\n<ul>\n<li><strong>Naredite popis<\/strong> tega, kar dobavljate posamezni stranki: storitve, dostopi, podatki, ki gredo skozi vas.<\/li>\n<li><strong>Uredite preproste stvari<\/strong>: dvofaktorska avtentikacija povsod, osebni in ne skupni ra\u010duni, varnostne kopije s preizkusom obnove, posodobitve po pravilu.<\/li>\n<li><strong>Napi\u0161ite dve strani<\/strong>, ne sto: kdo je kontaktna oseba, kako upravljate dostope, varnostne kopije in posodobitve, kaj se zgodi ob incidentu in v kak\u0161nem roku obvestite stranko.<\/li>\n<li><strong>Preverite svoje dobavitelje<\/strong>: gostovanje, oblak, programska oprema. Stranka vas bo vpra\u0161ala tudi o njih.<\/li>\n<li><strong>Pozorno preberite klavzule<\/strong> v pogodbah, ki jih prejmete, skupaj s svojim odvetnikom: zaveze glede rokov obve\u0161\u010danja, revizij in poddobaviteljev je treba izpolnjevati skozi \u010das, ne le podpisati.<\/li>\n<\/ul>\n<p>Veliko tega je najprej dobro vzdr\u017eevanje in \u0161ele nato skladnost. Kdor ima to \u017ee urejeno, na vpra\u0161alnik odgovori v enem popoldnevu; kdor nima, ugotovi, da ima varnostno te\u017eavo, ne le te\u017eavo s papirji.<\/p>\n<h2>Pogosta vpra\u0161anja<\/h2>\n\n\n\n<p class=\"sol-fonti\"><small><strong>Viri:<\/strong> Italijanska nacionalna agencija za kibernetsko varnost, strani <a href=\"https:\/\/www.acn.gov.it\/portale\/nis\/ambito\" target=\"_blank\" rel=\"noopener\">Obseg<\/a>, <a href=\"https:\/\/www.acn.gov.it\/portale\/nis\/modalita-specifiche-base\" target=\"_blank\" rel=\"noopener\">Osnovni ukrepi in specifikacije<\/a> in <a href=\"https:\/\/www.acn.gov.it\/portale\/nis\/faq\" target=\"_blank\" rel=\"noopener\">Pogosta vpra\u0161anja NIS<\/a>; <a href=\"https:\/\/www.normattiva.it\/uri-res\/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138\" target=\"_blank\" rel=\"noopener\">Zakonska uredba \u0161t. 138 z dne 4. septembra 2024<\/a>. Preverjeno 11. novembra 2026.<\/small><\/p>\n<p><strong>Ste od stranke prejeli vpra\u0161alnik NIS2?<\/strong> Pomagamo vam lahko odgovoriti na tehni\u010dni del in urediti, kar manjka: dostope, varnostne kopije, posodobitve, postopke. Poglejte, kako delamo, v na\u0161ih <a href=\"\/sl\/projekti\/\">projekti<\/a>.<\/p>","protected":false},"excerpt":{"rendered":"<p>Chi rientra nella NIS2 in Italia, perch\u00e9 molte PMI restano fuori ma ricevono comunque questionari dai clienti, e cosa preparare da fornitore.<\/p>","protected":false},"author":1,"featured_media":393,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"NIS2 a chi si applica, e cosa chiede ai fornitori PMI","_seopress_titles_desc":"Chi rientra nella NIS2 in Italia, perch\u00e9 molte PMI restano fuori ma ricevono comunque richieste dai clienti, e cosa preparare da fornitore: la parte tecnica.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"footnotes":""},"categories":[15],"tags":[],"class_list":["post-394","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-contenuti-ai-act-compliance"],"_links":{"self":[{"href":"https:\/\/solucom.si\/sl\/wp-json\/wp\/v2\/posts\/394","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/solucom.si\/sl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/solucom.si\/sl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/solucom.si\/sl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/solucom.si\/sl\/wp-json\/wp\/v2\/comments?post=394"}],"version-history":[{"count":1,"href":"https:\/\/solucom.si\/sl\/wp-json\/wp\/v2\/posts\/394\/revisions"}],"predecessor-version":[{"id":414,"href":"https:\/\/solucom.si\/sl\/wp-json\/wp\/v2\/posts\/394\/revisions\/414"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/solucom.si\/sl\/wp-json\/wp\/v2\/media\/393"}],"wp:attachment":[{"href":"https:\/\/solucom.si\/sl\/wp-json\/wp\/v2\/media?parent=394"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/solucom.si\/sl\/wp-json\/wp\/v2\/categories?post=394"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/solucom.si\/sl\/wp-json\/wp\/v2\/tags?post=394"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}