NIS2 direktiva: Ko mora da je ispuni i šta zahteva

← Blog

Šta je NIS2 i zašto je važna

NIS2 (Network and Information Security Directive 2) je EU direktiva koja zamenjuje originalnu NIS direktivu iz 2016. Stupila je na snagu oktobra 2024. Razlog za reviziju: NIS1 je pokrila premalo kompanija, implementacija je bila nekonzistentna između zemalja, a sajber incidenti su dramatično porasli.

Ključne promene u odnosu na NIS1: drastično proširen obuhvat (10x više kompanija), uvođenje lične odgovornosti menadžmenta, harmonizovane kazne na EU nivou i strožije zahteve za supply chain bezbednost.

Ko je obavezan?

NIS2 deli organizacije na dve kategorije:

Essential Entities (Esencijalni subjekti)

Sektori koji su direktno regulisani sa strožijim nadzorom: energetika, transport, finansije i bankarstvo, zdravstvo, voda i otpadne vode, digitalna infrastruktura (cloud provajderi, data centri, DNS), IKT upravljanje (MSP-ovi) i javna administracija.

Important Entities (Važni subjekti)

Poštanske i kurirske usluge, upravljanje otpadom, hemijska industrija, hrana, proizvodni sektor (medicinski uređaji, elektronika, automobili), digitalni provajderi (online tržišta, pretraživači, platforme).

Prag veličine

Opšte pravilo: srednja preduzeća (50+ zaposlenih ili godišnji prihod/bilans >€10M) su automatski u obuhvatu u navedenim sektorima. Manje firme mogu biti uključene ako su jedini provajder kritičnog servisa ili su u supply chain-u Essential Entity.

Konkretni tehnički zahtevi (Art. 21)

NIS2 propisuje minimum deset kategorija mera. Evo tehničkih koje su direktno merljive:

Risk management politike

Formalna procena rizika kibernetičke bezbednosti, dokumentovana i redovno ažurirana. Nije dovoljno samo da znate koji su rizici — mora biti pismeno.

Incident handling

Procedure za detekciju, odgovor i oporavak od incidenata. Kritični rok: 24 sata za early warning nadležnom telu od saznanja o incidentu koji ima "značajan uticaj", 72 sata za detaljan izveštaj, 30 dana za finalni izveštaj.

Business continuity i disaster recovery

Backup politika (šta se backupuje, koliko često, gde se čuva, koliko brzo se može restore-ovati). Disaster recovery plan sa dokumentovanim RTO (Recovery Time Objective) i RPO (Recovery Point Objective).

Supply chain bezbednost

Procena bezbednosti vaših dobavljača i provajdera. Ovo je nova oblast u NIS2 — morate znati koji softveri i servisi koje koristite imaju kojepozitivne bezbednosne prakse.

Mrežna i sistemska bezbednost

Network segmentacija, firewall konfiguracija, monitoring saobraćaja. Enkripcija podataka u prenosu i mirovanju gde je relevantno za kritične sisteme.

Autentifikacija i pristup

MFA ili ekvivalentni mehanizmi za sve sisteme koji obrađuju kritične podatke ili su dostupni sa interneta. Minimalne privilegije, redovni review pristupa.

Kriptografija

Politika kriptografije: koje algoritme koristite, kako upravljate ključevima, šta je rok trajanja ključeva.

Vulnerability management

Redovni security scan i patch management. NIS2 ne specificira frekvenciju ali "redovni" se interpretira kao minimum kvartalni za kritične sisteme.

Lična odgovornost menadžmenta

Ovo je nova i važna odredba NIS2: senior menadžment (C-level, upravni odbor) lično odgovara za usklađenost. Mogu biti privremeno diskvalifikovani za obavljanje upravljačkih funkcija u slučaju teških propusta.

Praktična implikacija: CEO i CTO moraju biti upoznati sa cyber risk-om i moraju odobriti bezbednosne politike. "Nisam znao" više nije odbrana.

Kazne

• Essential Entities: Do €10 miliona ili 2% ukupnog godišnjeg globalnog prometa (što je veće)
• Important Entities: Do €7 miliona ili 1.4% ukupnog godišnjeg globalnog prometa
• Dodatno: privremena diskvalifikacija menadžmenta, obavezno objavljivanje incidenta (naming and shaming)

Kako početi sa pripremom

1. Utvrdite da li ste u obuhvatu — sektor + veličina firme
2. Gap analysis — šta od zahtevanih mera već imate, šta nedostaje
3. Vulnerability assessment — tehnička provera vaše web infrastrukture (ovo je jedan od zahteva NIS2)
4. Dokumentujte procedure — incident response, backup politika, risk assessment
5. Trenirajte zaposlene — security awareness je eksplicitan zahtev NIS2
6. Registrujte se kod nadležnog tela — u Srbiji nadležno telo je RATEL (za srpske firme koje posluju u EU, važi i EU regulacija za EU operacije)

← Blog

What Is NIS2 and Why It Matters

NIS2 (Network and Information Security Directive 2) is the EU directive that replaces the original NIS directive from 2016. It came into force in October 2024. The reason for the revision: NIS1 covered too few companies, implementation was inconsistent between countries, and cyber incidents dramatically increased.

Key changes from NIS1: drastically expanded scope (10x more companies), introduction of personal management liability, harmonized penalties at EU level, and stricter supply chain security requirements.

Who Is Obligated?

NIS2 divides organizations into two categories:

Essential Entities

Sectors that are directly regulated with stricter supervision: energy, transport, finance and banking, healthcare, water and wastewater, digital infrastructure (cloud providers, data centers, DNS), ICT management (MSPs), and public administration.

Important Entities

Postal and courier services, waste management, chemical industry, food, manufacturing sector (medical devices, electronics, vehicles), digital providers (online marketplaces, search engines, platforms).

Size Threshold

General rule: medium enterprises (50+ employees or annual revenue/balance sheet >€10M) are automatically in scope in the listed sectors. Smaller firms may be included if they are the sole provider of a critical service or are in the supply chain of an Essential Entity.

Concrete Technical Requirements (Art. 21)

NIS2 prescribes a minimum of ten categories of measures. Here are the technical ones that are directly measurable:

Risk Management Policies

Formal cybersecurity risk assessment, documented and regularly updated. Knowing the risks isn't enough — it must be in writing.

Incident Handling

Procedures for detecting, responding to, and recovering from incidents. Critical timeline: 24 hours for early warning to the competent authority from becoming aware of a "significant impact" incident, 72 hours for detailed report, 30 days for final report.

Business Continuity and Disaster Recovery

Backup policy (what is backed up, how often, where stored, how quickly it can be restored). Disaster recovery plan with documented RTO (Recovery Time Objective) and RPO (Recovery Point Objective).

Supply Chain Security

Assessment of the security practices of your suppliers and providers. This is a new area in NIS2 — you must know which software and services you use have what security practices.

Network and System Security

Network segmentation, firewall configuration, traffic monitoring. Encryption of data in transit and at rest where relevant for critical systems.

Personal Management Liability

This is a new and important NIS2 provision: senior management (C-level, board of directors) is personally responsible for compliance. They can be temporarily disqualified from holding management positions in cases of serious breaches.

Practical implication: CEOs and CTOs must be familiar with cyber risk and must approve security policies. "I didn't know" is no longer a defense.

Penalties

• Essential Entities: Up to €10 million or 2% of total annual global turnover (whichever is higher)
• Important Entities: Up to €7 million or 1.4% of total annual global turnover
• Additionally: temporary management disqualification, mandatory incident disclosure (naming and shaming)