Zakon o informacijski varnosti (ZInfV-1)

Na kratko

Ta zakon ureja področje informacijske in kibernetske varnosti v Republiki Sloveniji, določa nacionalni sistem informacijske varnosti ter ukrepe za obvladovanje tveganj in poročanje o incidentih. Njegov namen je zagotoviti visoko raven kibernetske varnosti in zaupanja v IKT proizvode, storitve in postopke.

Kaj ureja

• Pristojnosti, naloge, organizacijo in delovanje nacionalnega organa za informacijsko varnost, organa za obvladovanje incidentov velikih razsežnosti in kriz, enotne kontaktne točke za kibernetsko varnost ter skupin za odzivanje na incidente na področju računalniške varnosti (CSIRT).
• Sprejetje Strategije kibernetske varnosti Republike Slovenije in kibernetsko obrambo.
• Ukrepe za obvladovanje tveganj za informacijsko in kibernetsko varnost ter obveznost poročanja zavezancev in prostovoljno priglasitev incidentov.
• Pravila in obveznosti glede izmenjave informacij o kibernetski varnosti ter nadzor, vključno s certificiranjem za kibernetsko varnost.

Koga zadeva

• Pristojne državne organe in skupine CSIRT.
• Zavezance po tem zakonu, ki imajo obveznost poročanja.

Ključne točke

• Zakon prenaša v slovenski pravni red Direktivo 2022/2555/EU (direktiva NIS 2) in ureja izvajanje Uredbe (EU) 2019/881 (Akt o kibernetski varnosti), Uredbe (EU) 2021/887 in Uredbe (EU) 2025/38 (Akt o kibernetski solidarnosti).
• Zakon se ne uporablja za bistvene in pomembne subjekte v sektorjih bančništva in infrastrukture finančnega trga iz Priloge 1 za IV. in IX. poglavje.
• Zakon se ne uporablja za subjekte, ki jih Republika Slovenija izvzame s področja uporabe Uredbe (EU) 2022/2554.
• Zakon se ne uporablja za informacijsko-komunikacijske sisteme, v katerih se varujejo tajni podatki, za katere je nacionalni varnostni organ izdal varnostno dovoljenje, razen za priglasitev incidentov.