Ali ste pripravljeni na novi Zakon o informacijski varnosti (ZInfV-1)? Kazni gredo do 10 milijonov evrov.

S sprejemom Zakona o informacijski varnosti (ZInfV-1), ki začne veljati 19. junija, je storjen pomemben korak v smeri boljše informacijske zaščite poslovnega okolja. Novi zakon v naš pravni red prenaša evropsko direktivo NIS2 in precej razširja število organizacij, ki morajo zagotavljati visoko raven informacijske varnosti.

Kaj prinaša novi zakon?

ZInfV-1 uvaja več ključnih novosti:

• Širši obseg zavezancev: Zavezanci niso več predvsem upravljalci kritične infrastrukture, temveč podjetja in organizacije iz številnih dejavnosti.
• Odgovornost vodstva: Za upravljanje informacijskih tveganj so odgovorni vodilni, kar je jasno sporočilo, da informacijska varnost ni zgolj tehnična, ampak je poslovna tema.
• Zahteve glede upravljanja tveganj: Zavezanci morajo imeti urejeno varnostno dokumentacijo, izdelano analizo obvladovanja tveganj, uvedeno redno izobraževanje, izvajati varnostne ukrepe in biti pripravljeni za odziv ob varnostnih incidentih.
• Obvezno poročanje: Incidenti, ki lahko bistveno vplivajo na delovanje organizacij, morajo biti prijavljeni že v 24 urah.
• Višje globe: Globe za neskladnosti lahko dosežejo do 2% letnega prometa oziroma do 10 milijonov evrov.

Ali ste zavezanec po ZInfV-1?

To vprašanje si morajo zastaviti številna podjetja in organizacije, kjer se z informacijsko varnostjo do sedaj niti niso ukvarjali pretirano resno. Poenostavljeno, če:

• imate več kot 50 zaposlenih in več kot 10 milijonov evrov prometa,
• delujete v eni od opredeljenih dejavnosti (energetika, zdravstvo, promet, digitalna infrastruktura, bančništvo, javna uprava, proizvodnja ključnih izdelkov idr.),
• ste del dobaviteljskih verig pomembnih zavezancev,

obstaja velika verjetnost, da sodite med zavezance po novem zakonu.

Kaj morate storiti?

Če spadate med (potencialne) zavezance, ne odlašajte, temveč čim prej izdelajte:

• začetno oceno skladnosti z zahtevami ZInfV-1,
• pregled obstoječega sistema upravljanja informacijske varnosti,
• načrt ukrepov za zagotovitev pravočasne skladnosti.

Kaj pa, če ne veste, kje začeti?

Če pri pripravi na skladnost potrebujete pomoč, mi lahko pišete tukaj.

Vse ključne informacije za analizo in obvladovanje informacijskih tveganj pa boste našli v novem priročniku, ki je praktično izhodišče za izpolnjevanje zahtev ZInfV-1 v praksi.