NIS2 Hrvatska: vodič za usklađenost za tvrtke

NIS2 direktiva zahtijeva od svih bitnih i važnih subjekata u Hrvatskoj implementaciju 10 sigurnosnih mjera iz članka 21. Ako vodite tvrtku u sektoru koji NIS2 pokriva, NIS2 Hrvatska usklađenost je zakonska obveza, ne preporuka.

Znam kako to izgleda iz vaše perspektive. Vodite tvrtku, rješavate operativne probleme, i onda netko kaže "moramo se uskladiti s NIS2" i vi pomislite: još jedan zakon za koji nikad nismo čuli, a koji nas može koštati milijune. Vidim to kod klijenata svaki tjedan.

Dobra vijest: izvedivo je. Čak i za tvrtke bez internog IT sigurnosnog tima, uz pravu stručnu podršku.

U ovom vodiču prolazim kroz konkretne stvari: tko je obveznik, što morate napraviti, koliko to realno košta i kakvi su rokovi. Samo praktični koraci, bez teorije koja vam ne treba.

Sadržaj

Što je NIS2 i zašto je važna za Hrvatsku?

NIS2 (Network and Information Security Directive 2) je EU direktiva 2022/2555 koja postavlja zajedničke sigurnosne standarde za ključne sektore u EU. Širi opseg od prethodnice, strože kazne, i uvodi osobnu odgovornost članova uprave. Politika i službene smjernice EU dostupne su na stranici Europske komisije o NIS2, a ENISA pruža dodatne smjernice za implementaciju.

Što se promijenilo od NIS-a do NIS2?

Originalna NIS direktiva iz 2016. pokrivala je relativno uzak krug operatora ključnih usluga. U praksi se u Hrvatskoj to svodilo na pedesetak tvrtki. NIS2 mijenja tri stvari odjednom. Prvo, broj obuhvaćenih sektora narastao je s 7 na 18, podijeljenih na 11 ključnih i 7 važnih, pa odjednom pod zakon padaju i tvrtke koje nikad nisu mislile da su "kritična infrastruktura". Drugo, kazne su sa simboličnih iznosa skočile na do 10 milijuna EUR ili 2% globalnog prihoda, ovisno o tome što je veće, a obuhvat seže i kroz lanac opskrbe, tako da i mala tvrtka može biti uvučena preko klijenta. Treće, ono što direktore budi noću: odgovornost uprave. Osobna. Direktor se više ne može skloniti iza "to je problem IT odjela".

Kako je Hrvatska transponirala NIS2 (ZKS)?

Hrvatska je NIS2 transponirala kroz Zakon o kibernetičkoj sigurnosti (ZKS), objavljen u Narodnim novinama 14/2024. Zakon je stupio na snagu 15. veljače 2024. Dakle, više od dvije godine je u primjeni; puni tekst dostupan je na zakon.hr. ZKS prati strukturu NIS2 direktive, ali ima i naše specifičnosti: definira kategorije subjekata, njihove obveze, rokove za prijavu incidenata i kazne. Nadzor je podijeljen među sektorskim nadležnim tijelima, a incidente prijavljujete nadležnom CSIRT-u. Postoje dva: Nacionalni CERT, pri CARNET-u, nadležan za privatni sektor i građanstvo, te NCSC-HR (Nacionalni centar za kibernetičku sigurnost), pri SOA-i, nadležan za državna tijela, pravne osobe s javnim ovlastima i jedinice lokalne i područne samouprave. Kad se dogodi incident, već znate kome ga prijavljujete, a pod koji režim potpadate obično je prvo što me direktor pita.

Uredba o kibernetičkoj sigurnosti

Provedba ZKS-a detaljnije je razrađena Uredbom o kibernetičkoj sigurnosti (NN 135/2024), koja je stupila na snagu 30. studenog 2024. Uredba propisuje konkretne tehničke i organizacijske mjere, način provedbe samoprovjera, metodologiju procjene rizika i detalje oko prijave incidenata. U praksi će vam biti važnija od samog Zakona. Zakon postavlja obvezu da imate sigurnosne mjere; Uredba tu obvezu spušta na razinu na kojoj se zapravo radi: što dokumentirati, kako provesti procjenu rizika i koji su minimalni tehnički standardi. Upravo Uredba operacionalizira 10 mjera iz članka 21, a procjena rizika je mjera 1 iz koje sve ostalo proizlazi. Ta ista metodologija temelj je kojim poslije sistematizirano prolazite kroz svih 10 mjera i ocjenjujete gdje stojite. Uredba mjere dijeli na tri razine — osnovnu, srednju i naprednu — a koja se razina odnosi na vas ovisi o kategorizaciji; katalog mjera nalazi se u njezinom Prilogu II. Kad sjednete pisati prvu politiku ili pripremati samoprovjeru, otvarate Uredbu, ne Zakon.

NIS2 obveznici u Hrvatskoj: jeste li vi u opsegu?

Pitanje koje najčešće dobivam. Odgovor ovisi o tri stvari: sektoru, veličini tvrtke i (ovo mnogi ne znaju) lancu opskrbe u kojem se nalazite.

Koji sektori su NIS2 ključni subjekti?

Ključni subjekti (essential entities) su tvrtke u sektorima koji drže državu i gospodarstvo na nogama. Najstroži zahtjevi, najviše kazne.

Sektori ključnih subjekata prema NIS2

Sektor	Primjeri
Energetika	Elektroprivreda, plinska distribucija, nafta, toplinarstvo
Promet	Zračni, željeznički, vodeni, cestovni prijevoz
Bankarstvo	Kreditne institucije
Infrastruktura financijskog tržišta	Mjesta trgovanja, središnje druge ugovorne strane
Zdravstvo	Bolnice, laboratoriji, proizvođači medicinskih proizvoda
Pitka voda	Distribucija i opskrba
Otpadne vode	Sustavi za prikupljanje i pročišćavanje
Digitalna infrastruktura	DNS, TLD, cloud, data centri, CDN, trust usluge
Upravljanje ICT uslugama (B2B)	Managed service provideri, managed security service provideri
Javna uprava	Tijela središnje i regionalne vlasti
Svemir	Operatori zemaljske infrastrukture

Pragovi: velika poduzeća (250+ zaposlenika ili 50M+ EUR prihod / 43M+ EUR aktiva). No, neki subjekti su obuhvaćeni neovisno o veličini, primjerice pružatelji DNS usluga, TLD registri i kvalificirani pružatelji usluga povjerenja.

Koji sektori su NIS2 važni subjekti?

Važni subjekti (important entities) obuhvaćaju širi krug sektora. Zahtjevi su isti, ali su kazne nešto niže.

Sektori važnih subjekata prema NIS2 / ZKS-u

Sektor	Primjeri
Poštanske i kurirske usluge	Poštanski operatori
Gospodarenje otpadom	Prikupljanje, obrada, recikliranje
Kemijska industrija	Proizvodnja i distribucija kemikalija
Proizvodnja i distribucija hrane	Prehrambena industrija, veleprodaja
Proizvodnja	Medicinski uređaji, računala, elektronika, strojevi, motorna vozila
Digitalni pružatelji usluga	Online tržišta, tražilice, platforme društvenih mreža
Istraživanje	Istraživačke organizacije
Sustav obrazovanja	Hrvatsko proširenje u ZKS-u, iznad opsega NIS2 — razvrstava se među važne subjekte

Pragovi: srednja poduzeća (50+ zaposlenika ili 10M+ EUR prihod / 10M+ EUR aktiva).

Samoprovjera: 5 pitanja

Ako niste sigurni jeste li NIS2 obveznik, prođite kroz ovih pet pitanja:

1. Je li vaš primarni sektor djelatnosti na jednom od gornjih popisa?
2. Imate li 50 ili više zaposlenika?
3. Prelazi li vaš godišnji prihod 10 milijuna EUR?
4. Pružate li usluge nekom od ključnih subjekata kao dio njihovog lanca opskrbe?
5. Pruža li vaša tvrtka digitalne usluge (cloud, SaaS, managed IT) drugim tvrtkama?

Ako ste na bilo koje pitanje odgovorili s "da", vjerojatno ste obveznik.

Tipičan scenarij: dobavljač koji ne zna da je u opsegu

Zamislite proizvodno poduzeće sa 60 zaposlenih koje kao dobavljač izrađuje komponente za energetski sektor. Firewall, antivirus, i to je otprilike to od sigurnosti. Onda njihov ključni klijent iz energetike kaže: "Trebamo dokaz da ispunjavate NIS2 zahtjeve jer ste u našem lancu opskrbe." Odjednom, moraju ispuniti svih 10 mjera iz članka 21, a nemaju ni početnu točku. Ovakvih slučajeva je sve više. Mnoge tvrtke otkrivaju da su u opsegu NIS2 ne kroz vlastiti sektor, nego kroz lanac opskrbe. NIS2 traži od ključnih subjekata da osiguraju vlastiti lanac opskrbe (mjera 4 iz članka 21), pa tu obvezu ugovornim sigurnosnim klauzulama prebacuju na dobavljače. Tako i tvrtka koja je sama ispod veličinskog praga i ne pripada nijednom od 18 reguliranih sektora ipak završi pod NIS2 zahtjevima, i to preko ugovora s klijentom. Ako prodajete reguliranom subjektu, taj zahtjev stiže u vašem sljedećem ugovoru; pitanje je samo kada.

Kategorizacija: kako saznajete da ste obveznik i što tada kreće

Za razliku od GDPR-a, gdje ste sami procjenjivali primjenjuje li se na vas, ZKS radi obrnuto: nadležna tijela (SOA i sektorski regulatori poput HNB-a, HANFA-e i HAKOM-a) kategoriziraju subjekte po službenoj dužnosti i šalju im obavijest. Popisi ključnih i važnih subjekata nisu javno dostupni, pa ne postoji registar u kojem biste "provjerili status" — ili ste dobili obavijest, ili niste. Popisi se preispituju najmanje jednom u dvije godine, a proces utvrđivanja novih obveznika i dalje traje.

Gdje smo danas: prva kategorizacija provedena je u proljeće 2025., a prema NCSC-ovom kvartalnom pregledu za drugi kvartal 2026. obavijest je dosad primilo 798 subjekata — 162 ključna i 636 važnih. Kategoriziranima je NCSC u međuvremenu poslao i upitnik o stanju provedbe mjera. Prevedeno: regulator je s pitanja "tko je obveznik" prešao na "što ste dosad napravili".

Rokovi koji teku od dostave obavijesti o kategorizaciji

Obveza	Rok
Dostava traženih podataka nadležnom tijelu	15 dana
Početak obveze prijave incidenata i registracija na platformu PiXi	30 dana
Provedba mjera upravljanja kibernetičkim sigurnosnim rizicima (čl. 26. ZKS-a)	1 godina
Samoprocjena + izjava o sukladnosti (važni subjekti)	prva do kraja 3. godine, zatim najmanje svake 2 godine
Revizija kibernetičke sigurnosti (ključni subjekti, o vlastitom trošku)	prva do kraja 3. godine, zatim najmanje svake 2 godine

Najvažnija posljedica tog rasporeda: subjektima iz prvog vala kategorizacije godina dana za provedbu mjera istekla je u travnju 2026. Ako ste među njima, više niste u fazi "pripremamo se" — u fazi ste u kojoj regulator smije pitati za dokaze, a upitnik koji je NCSC poslao upravo to i jest.

A ako obavijest još niste dobili? To ne znači da ste izvan opsega. Proces je kontinuiran, popisi se dopunjuju, a lanac opskrbe vas može uvući i bez ijednog službenog dopisa. Prođite samoprovjeru od pet pitanja iznad — gap analizu je pametnije napraviti prije obavijesti nego rokove brojati od nje.

NIS2 i ISO 27001: saveznici, ne konkurencija

"Ako imam ISO 27001, trebam li se brinuti o NIS2?" Pitanje koje dobivam barem jednom tjedno. ISO 27001 vam daje veliku prednost, ali sam po sebi nije dovoljan.

Usporedba ISO 27001 i NIS2 zahtjeva

Područje	ISO 27001	NIS2 / ZKS
Procjena rizika	Da (Annex A)	Da (čl. 21, mjera 1)
Upravljanje incidentima	Da (A.5.24-A.5.28)	Da, sa strožim rokovima (24h/72h/30d)
Kontinuitet poslovanja	Da (A.5.29-A.5.30)	Da (čl. 21, mjera 3)
Lanac opskrbe	Da (A.5.19-A.5.23)	Da, s eksplicitnim zahtjevima (čl. 21, mjera 4)
Upravljanje pristupom	Da (A.5.15-A.5.18, A.8)	Da (čl. 21, mjera 9-10)
Edukacija zaposlenika	Da (A.6.3)	Da (čl. 21, mjera 7)
Kriptografija	Da (A.8.24)	Da (čl. 21, mjera 8)
Prijava regulatoru	Ne (nije obvezna)	Da (24h/72h/30d rokovi)
Osobna odgovornost uprave	Ne	Da (kazne za fizičke osobe)
Zakonska sankcija	Ne (dobrovoljni standard)	Da (do 10M EUR)

Ovisno o mapiranju, ISO 27001 pokriva 60–80% tehničkih zahtjeva NIS2 — tabela iznad pokazuje gdje se preklapaju i gdje NIS2 ide korak dalje. Ključne razlike su rokovi prijave incidenata (ISO nema stroge rokove), osobna odgovornost uprave (ISO to ne pokriva) i regulatorne kazne (ISO je dobrovoljan standard).

Ako imate ISO 27001, vaš put do NIS2 usklađenosti je kraći i jeftiniji. Ako nemate, razmislite o paralelnoj implementaciji jer se ulaganje značajno preklapa. Detaljnije o ISO 27001 pripremi u Hrvatskoj — razlika 2013 vs. 2022, 93 Annex A kontrole, 6-mjesečni roadmap i interni audit — pokrivam u našem ISO 27001 vodiču.

Koje su 10 obveznih mjera iz članka 21 NIS2?

Članak 21 NIS2 direktive (transponiran u ZKS) definira 10 obveznih sigurnosnih mjera. Zakonski zahtjevi, ne preporuke. Evo što svaka znači kad sjednete za stol i krenete raditi.

10 obveznih mjera iz članka 21 NIS2

Mjera	Što znači u praksi	Razina napora
1. Analiza rizika i politike	Dokumentirana metodologija procjene rizika, formalne politike	Srednja
2. Postupanje s incidentima	Incident response plan, definirana eskalacija, kontakt lista	Srednja
3. Kontinuitet poslovanja	Backup, disaster recovery, BCP, testiranje oporavka	Visoka
4. Lanac opskrbe	Procjena dobavljača, sigurnosne klauzule u ugovorima	Srednja
5. Sigurnost razvoja i održavanja	Patch management, sigurnosno testiranje, SDLC	Srednja do visoka
6. Procjena učinkovitosti	Interni auditi, pen testovi, pregledi politika	Srednja
7. Kibernetička higijena i edukacija	Security awareness training, phishing simulacije, redovne sigurnosne edukacije	Niska
8. Kriptografija	Enkripcija podataka, upravljanje ključevima, standardi	Srednja
9. Upravljanje pristupom, HR sigurnošću i imovinom	RBAC, princip najmanjeg privilegija, pregledi pristupa, background checks, NDA-ovi, inventar i klasifikacija imovine	Srednja
10. MFA i sigurne komunikacije	Višefaktorska autentifikacija na kritičnim sustavima, kriptirani voice/video kanali, sigurni emergency komunikacijski sustavi	Niska

Koje su prve tri NIS2 mjere koje treba uvesti?

Ne morate raditi sve odjednom. Iz iskustva s klijentima, ovo je redoslijed koji ima najviše smisla:

1. Procjena rizika (mjera 1) — sve ostalo proizlazi iz nje. Bez procjene rizika ne znate što štitite ni od čega.
2. MFA na kritičnim sustavima (mjera 10) — najbrža pobjeda s najboljim omjerom ulaganja i učinka.
3. Incident response plan (mjera 2) — rokovi prijave počinju od dana jedan. Improvizacija u trenutku krize nije opcija.

Koji su rokovi za prijavu NIS2 incidenata?

Direktiva propisuje trostupanjski rokovnik u članku 23 NIS2 direktive; u Hrvatskoj je obveza prijave značajnih incidenata u čl. 37. ZKS-a, a konkretni rokovi u čl. 66.–71. Uredbe o kibernetičkoj sigurnosti.

Rokovi prijave:

• 24 sata: rano upozorenje. Od trenutka kad saznate za incident, imate 24 sata da pošaljete rano upozorenje CERT-u. Ovo ne mora biti detaljna analiza, ali mora sadržavati osnovne informacije o tome što se dogodilo.
• 72 sata: potpuna prijava. Detaljna prijava s procjenom ozbiljnosti, utjecaja, indikatorima kompromitacije i poduzetim mjerama.
• 30 dana: završno izvješće, računajući od dostave početne obavijesti. Kompletna analiza incidenta, root cause, poduzete korektivne mjere i naučene lekcije.

Kome se prijavljuje (podjela prema Prilogu III. ZKS-a):

• Nacionalni CERT (pri CARNET-u): za privatni sektor i građanstvo te sektore poput bankarstva, infrastrukture financijskog tržišta, digitalne infrastrukture, znanosti i obrazovanja.
• NCSC-HR (Nacionalni centar za kibernetičku sigurnost, pri SOA-i): za državna tijela, pravne osobe s javnim ovlastima te jedinice lokalne i područne (regionalne) samouprave.

Kako se prijavljuje: od 5. svibnja 2025. incidenti se prijavljuju kroz nacionalnu platformu PiXi (prijava NIAS vjerodajnicom uz e-Ovlaštenja). Registracija na PiXi jedan je od prvih koraka nakon obavijesti o kategorizaciji — rok je 30 dana, isti kao i početak obveze prijave incidenata.

Što se dogodi bez incident response plana?

Zamislite da dobijete poziv od CERT.hr-a: detektirani su sumnjivi mrežni tokovi iz vaše mreže. Imate 72 sata za potpunu prijavu. Nemate incident response plan, nemate log management, nemate forenzičke sposobnosti. Jedina opcija: angažirati vanjsku pomoć po premium cijenama, jer niste imali retainer ugovor.

Reaktivno je uvijek skuplje od proaktivnog.

Koje su kazne za neusklađenost s NIS2?

Okvir kazni postavlja članak 34 NIS2 direktive, a konkretne raspone u Hrvatskoj čl. 101.–103. ZKS-a. Dizajnirane su da bole — i imaju propisani minimum, ne samo maksimum.

Kazne za neusklađenost s NIS2 / ZKS

Kategorija	Maksimalna kazna	Alternativno
Ključni subjekti (čl. 101. ZKS-a)	10.000 – 10.000.000 EUR	ili 0,5–2% ukupnog godišnjeg svjetskog prometa, što je veće
Važni subjekti (čl. 102. ZKS-a)	5.000 – 7.000.000 EUR	ili 0,2–1,4% ukupnog godišnjeg svjetskog prometa, što je veće
Osobna odgovornost uprave	1.000–6.000 EUR po osobi po prekršaju (ključni)	500–3.000 EUR po osobi po prekršaju (važni)

Primjenjuje se viši iznos: kazna ili postotak prometa, ovisno što je veće.

Osobna odgovornost uprave zaslužuje posebnu pozornost. Iznosi od 500 do 6.000 EUR po prekršaju možda ne zvuče dramatično, ali idu po osobi i po prekršaju, pa se kumulativno brzo akumuliraju. I iskreno, novac nije ni najgori dio. Regulatorna evidencija i reputacijski rizik za člana uprave, to je ono što dugoročno boli.

Kako se pripremiti za NIS2 — praktični koraci za SMB

NIS2 usklađenost ne mora biti beskonačni projekt. Pet koraka.

1. Utvrdite jeste li obveznik

Koristite samoprovjeru od pet pitanja iz ovog članka. Ako ste u dilemi, konzultirajte se. Bolje je znati nego pretpostavljati. Popisi kategoriziranih subjekata nisu javni — status vam formalno potvrđuje tek obavijest nadležnog tijela, ali svoj položaj možete (i trebate) procijeniti i prije nego što ona stigne.

2. Gap analiza: gdje ste danas vs. gdje morate biti

Sistematizirano prođite kroz svih 10 mjera iz članka 21 i ocijenite gdje stojite. Što imate dokumentirano? Što provodite, ali nije formalizirano? Što uopće ne radite? Gap analiza daje vam jasnu sliku prioriteta.

3. Prioritizacija mjera: ne morate sve odjednom

Na temelju gap analize, definirajte što radite prvo. Moja preporuka za većinu tvrtki:

1. Procjena rizika (mjera 1): sve ostalo proizlazi iz nje
2. MFA na kritičnim sustavima (mjera 10): brza pobjeda, visok učinak
3. Incident response plan (mjera 2): rokovi prijave počinju od dana jedan
4. Backup i oporavak (mjera 3): ransomware ne čeka

4. Implementacija i dokumentacija

NIS2 zahtijeva ne samo provedbu mjera nego i njihovu dokumentaciju. Politike, procedure, zapisi o provedbi. Sve mora biti na papiru (ili u sustavu). Regulatorima nije dovoljno da "radite to u praksi", morate to dokazati.

5. Testiranje i kontinuirano praćenje

Jednom kad implementirate mjere, testirajte ih. Tabletop vježba incidenta. Phishing simulacija. Restore iz backupa. I onda nastavite pratiti. NIS2 usklađenost nema završni datum. Pogledajte kako naš tim pristupa kontinuiranom praćenju.

Zaključak

Tri stvari. Utvrdite jeste li obveznik. Napravite gap analizu. Krenite s implementacijom po prioritetima. Ne morate sve odjednom. Ali morate početi — pogotovo ako ste među 798 kategoriziranih, jer vama rokovi ne teku od danas nego od obavijesti, a prvom valu su već istekli.

Tvrtke koje su ranije počele s pripremom već sada koriste NIS2 usklađenost kao tržišnu prednost. U natječajima za opskrbu velikih lanaca, dokumentirana sigurnosna praksa postaje diferencijator. Konkurencija koja još nije počela s usklađivanjem gubi pozicije, ne zato što je lošija u svom poslu, nego zato što ne može dokazati da je sigurna.

Ako želite znati gdje stojite, javite se. Pogledajte naše usluge IT sigurnosti i compliance-a ili zakažite besplatnu inicijalnu procjenu. Bez obveza, bez prodajnog pritiska.