Ali ISO 27001 zadošča za NIS2 in ZInfV-1?
·Na kratko
- Ne zadošča. Zakon o informacijski varnosti (ZInfV-1) (Uradni list RS, št. 40/25) certifikata ISO/IEC 27001 nikjer ne šteje za dokaz skladnosti (stanje na dan 12. novembra 2026).
- Pomaga pa veliko: 28. člen zavezancem nalaga, da evropske in mednarodne standarde uporabljajo »v največji možni meri«.
- Standard ne pozna samoregistracije pri URSIV, zakonskih rokov za priglasitev incidentov, ocene oziroma samoocene skladnosti, usposabljanja odgovornih oseb pri URSIV in obsega, ki ga določa zakon.
- Najprej preverite obseg: obseg certificiranja določite sami, najmanjši obseg sistema pa določa 21. člen ZInfV-1.
- Pri testiranju se standard in zakon srečata: isti penetracijski test da tehnične dokaze za oba.
Ne. Certifikat ISO/IEC 27001 pot do skladnosti občutno skrajša, dokaz skladnosti pa ni. Direktivo (EU) 2022/2555 (NIS 2) je v slovenski pravni red prenesel Zakon o informacijski varnosti (ZInfV-1) (Uradni list RS, št. 40/25), ki velja od 19. junija 2025. Dolžnosti slovenskih zavezancev zato določa zakon – ta pa standarda ISO/IEC 27001 ne imenuje, certificiranja po njem ne zahteva in takega certifikata nikjer ne šteje za dokaz, da so njegove zahteve izpolnjene (stanje na dan 12. novembra 2026).
Standardom je zakon kljub temu naklonjen. Po prvem odstavku 28. člena bistveni in pomembni subjekti pri izvajanju ukrepov iz 21. in 22. člena »v največji možni meri« uporabljajo »evropske in mednarodne standarde in tehnične specifikacije, ki obravnavajo varnost omrežnih in informacijskih sistemov«. Uporabo standardov zakon torej nalaga, neizpolnitev te dolžnosti je po 52. in 53. členu celo prekršek. Certifikata pa pri tem ne zahteva.
Enako trezno na certifikate gleda Urad Vlade Republike Slovenije za informacijsko varnost (URSIV). V priporočilih za upravljanje tveganj dobavnih verig (avgust 2026) o ocenjevanju dobaviteljev zapiše:
»Certifikat ISO/IEC 27001 sam po sebi ni dokaz, da je konkretna storitev ali dobavna veriga brez tveganj; preverite tudi obseg certificiranja in relevantnost kontrol za naročeno storitev.«
Stavek govori o dobaviteljih, a isto vprašanje velja za lastni certifikat: kaj pokriva in ali ukrepi v praksi delujejo.
ISO 27001 in ZInfV-1: dva različna instrumenta
Standard in zakon odgovarjata na različni vprašanji. Standard sprašuje, ali informacijsko varnost vodite sistematično in ponovljivo. Zakon sprašuje, ali ste izpolnili naložene dolžnosti in ali ste to storili pravočasno.
| ISO/IEC 27001 | ZInfV-1 | |
|---|---|---|
| Narava | prostovoljen standard; slovenska izdaja je SIST EN ISO/IEC 27001:2023 | zakon, ki zavezuje bistvene in pomembne subjekte |
| Obseg | meje sistema določi organizacija sama (točka 4.3) | najmanj sredstva, podatki in procesi, potrebni za delovanje ali opravljanje storitev (drugi odstavek 21. člena) |
| Izbira ukrepov | kontrole iz Dodatka A (angl. Annex A) izberete glede na ocenjena tveganja | najmanj 17 področij ukrepov iz drugega odstavka 22. člena, sorazmerno s tveganji |
| Kdo preverja | certifikacijski organ | ocena oziroma samoocena skladnosti (25. člen) in inšpekcijski nadzor URSIV (45. člen) |
| Posledica kršitve | neskladnost, v skrajnem primeru izguba certifikata | globa – za pravno osebo, ki je bistveni subjekt, »od 0,5 odstotka do 2 odstotka skupnega letnega prometa pravne osebe, doseženega v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov« (52. člen) |
| Naslovnik | organizacija | organizacija in njene odgovorne osebe (20. člen) |
Terminološka past. Standard SIST EN ISO/IEC 27001:2023 govori o sistemu vodenja informacijske varnosti (ISMS) in o notranji presoji (točka 9.2). ZInfV-1 govori o sistemu upravljanja varovanja informacij (21. člen) in o reviziji skladnosti (25. člen). Izrazi so si podobni, instrumenti niso. Notranjo presojo načrtuje in izvede organizacija sama, certifikacijski organ opravi svojo presojo in izda certifikat, revizijo skladnosti pa izvede revizor informacijskih sistemov, kot ga določa 48. točka 5. člena zakona. Poročilo o notranji presoji zato ni poročilo o oceni skladnosti, tudi kadar obravnava iste ukrepe.
Kaj certifikat pokrije in kaj ostane odprto
Dobra novica: ob obstoječem sistemu vam ni treba graditi drugega. Po 21. členu zavezanci »vzpostavijo in vzdržujejo dokumentirani sistem upravljanja varovanja informacij in sistem upravljanja neprekinjenega poslovanja« – ureditev iste vrste, kot jo opisuje standard. URSIV v uvodu vzorčnega načrta varnostnih ukrepov (različica 1.0, november 2025) sam zapiše, da dokument zajema ukrepe, »ki jih praviloma zahtevajo standardi sistema upravljanja informacijske varnosti ISO/IEC 27001, ISO/IEC 27002, NIST-CSF, SOC 2 in sorodne smernice oziroma strokovni okvirji«. Potrebujete torej preglednico, ki obstoječe dokaze poveže s členi zakona.
Spodnja preglednica je naša uredniška ocena prekrivanja, ne uradna enakovrednost. Tudi URSIV ob lastni preslikavi na kontrole ISO/IEC 27002:2022 in določbe ZInfV-1 (Priloga 5 priporočil za dobavne verige) opozarja: »preslikava je informativna in poenostavljena«.
| Dolžnost po ZInfV-1 | Kaj pokrije ISO/IEC 27001 | Kaj ostane odprto |
|---|---|---|
| Varnostna dokumentacija (1.–7. točka prvega odstavka 21. člena) | točke 4–8 standarda (obseg, politika, ocenjevanje in obravnavanje tveganj, dokumentirane informacije) ter kontrole iz Dodatka A za popis sredstev, neprekinjeno poslovanje in incidente | vsebina, ki jo zakon našteva poimensko – na primer »načrt odzivanja na incidente s protokolom obveščanja pristojne skupine CSIRT« – in obseg iz drugega odstavka |
| Presoja učinkovitosti ukrepov (8. točka prvega odstavka 21. člena) | točka 9.1 (spremljanje, merjenje, analiziranje in vrednotenje) in vodstveni pregled (9.3) | politika s postopki, ki vključuje kazalnike učinkovitosti in »izvedeno analizo zbranih podatkov« |
| Varnost dobavne verige (10. točka drugega odstavka in četrti odstavek 22. člena) | kontrole 5.19–5.22: odnosi in pogodbe z dobavitelji, dobavna veriga IKT, spremljanje njihovih storitev | minimalne zahteve za ključne dobavitelje; upoštevanje ranljivosti posameznega dobavitelja in kakovosti praks dobaviteljev, »vključno z njihovimi varnimi razvojnimi postopki« |
| Ranljivosti in varen razvoj (12. in 13. točka drugega odstavka 22. člena) | kontrole 8.8 (upravljanje tehničnih ranljivosti), 8.25 in 8.28 (varen razvoj, varno kodiranje), 8.29 (varnostno testiranje pri razvoju in prevzemu), 5.7 (obveščevalni podatki o grožnjah) | dokazi, da ukrepi delujejo na sistemih za regulirane storitve; rešitev z aktivno izkoriščanimi ranljivostmi ne smete uporabljati brez dodatne ocene tveganja in ukrepov (osmi odstavek) |
| Letno preverjanje ukrepov (peti odstavek 22. člena) | točki 9.1 in 9.2: spremljanje in merjenje ter notranja presoja v presledkih, ki jih določite sami | zakonski ritem – »najmanj enkrat letno« ali v obdobjih iz vaše politike »in ob zaznanih ranljivostih« – ter takojšnji popravni ukrepi |
| Vodstvo in usposabljanje (20. člen) | točke 5.1, 7.2, 7.3 in 9.3 (voditeljstvo, kompetentnost, ozaveščenost, vodstveni pregled); kontrola 6.3 (ozaveščanje, izobraževanje in usposabljanje) | odgovorne osebe ukrepe odobrijo in nadzirajo ter se najmanj vsaka štiri leta usposabljajo pri URSIV; skrbniki sistemov IKT se usposabljajo vsako leto |
| Ocena oziroma samoocena skladnosti (25. člen) | notranja presoja (9.2) in presoja certifikacijskega organa dasta uporabno gradivo | bistveni subjekti: ocena skladnosti najmanj enkrat na dve leti ali ob pomembnem incidentu; pomembni subjekti: samoocena skladnosti |
| Priglasitev incidentov (29. in 30. člen) | kontrole 5.24–5.26: priprava na incidente, ocenjevanje dogodkov, odziv | zgodnje sporočilo v 24 urah, priglasitev incidenta v 72 urah, končno poročilo v enem mesecu – pristojni skupini CSIRT |
| Samoregistracija (8. člen) | standard je ne pozna | registracija pri URSIV v 30 dneh od izpolnitve meril |
Srednji stolpec velja samo za sistem, ki v praksi deluje: ukrepi morajo biti po trinajstem odstavku 22. člena »preverljivi tako, da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi«.
Česa certifikat ne prinese
Pet dolžnosti v standardu nima ustreznice. To ni njegova pomanjkljivost: standard ne pozna ne registra zavezancev, ne nadzornega organa, ne zakonskih rokov.
1. Samoregistracija pri URSIV
Zavezanci se morajo prepoznati sami in se registrirati prek mehanizma URSIV »v tridesetih dneh od dneva, ko so nastopile okoliščine, na podlagi katerih izpolnjujejo merila iz 6. in 7. člena tega zakona« (drugi odstavek 8. člena). Za subjekte, ki so merila izpolnjevali ob uveljavitvi zakona, se je rok za prvo registracijo iztekel 19. decembra 2025. Splošno merilo je kumulativno: vrsta subjekta iz Priloge 1 ali 2, vsaj 50 zaposlenih in letni promet ali letna bilančna vsota vsaj 10 milijonov evrov; nekateri subjekti so zavezanci ne glede na velikost.
2. Zakonski roki za priglasitev incidentov
Kontrole 5.24–5.26 zahtevajo urejen postopek, roka za priglasitev pa ne določajo. Zakon ga določa. Pomemben incident priglasite pristojni skupini CSIRT: zgodnje sporočilo najpozneje v 24 urah po zaznavi, priglasitev incidenta najpozneje v 72 urah po zaznavi, končno poročilo najpozneje v enem mesecu po predložitvi priglasitve (30. člen). Za večino zavezancev je pristojen SI-CERT, za javno upravo SIGOV-CERT. Postopek iz vašega ISMS zato potrebuje dodatno vejo: kdo odloči, da je incident pomemben, in kdo ga priglasi.
3. Ocena skladnosti po 25. členu
Bistveni subjekti »morajo oceno skladnosti izvajati najmanj enkrat na dve leti ali v primeru pojava pomembnega incidenta« (prvi odstavek 25. člena), in sicer kot revizijo skladnosti, ki jo izvede revizor informacijskih sistemov, ali v okviru notranje revizije. Pomembni subjekti v enakem ritmu izvedejo samooceno skladnosti. Presoja certifikacijskega organa ni ne eno ne drugo; dokazi, zbrani za standard, pripravo skrajšajo, dolžnosti pa ne odpravijo. Kako se pripraviti, opisujemo v članku o reviziji skladnosti po ZInfV-1.
4. Usposabljanje odgovornih oseb pri URSIV
Standard zahteva kompetentnost in ozaveščenost, nagovarja pa organizacijo. Zakon nagovarja ljudi: odgovorne osebe ukrepe iz 22. člena odobrijo, nadzirajo njihovo izvajanje in se »najmanj vsaka štiri leta izobražujejo oziroma usposabljajo« (20. člen). To usposabljanje organizira URSIV (Uredba, Uradni list RS, št. 78/25); interno izobraževanje ali tečaj zunanjega izvajalca ga ne nadomesti. Za redno usposabljanje zaposlenih in skrbnikov sistemov IKT (četrti in peti odstavek) izvajalec ni predpisan; tu je program ozaveščanja iz vašega ISMS neposredno uporaben.
5. Obseg, ki ga določa zakon
Točka 4.3 standarda pravi: »Organizacija mora določiti meje in uporabnost sistema vodenja informacijske varnosti za opredelitev njegovega obsega.« Certifikat lahko zato pokriva tudi le del organizacije: eno lokacijo, en produkt, en oddelek. Zakon te svobode ne daje. Po drugem odstavku 21. člena mora sistem »obsegati najmanj tista informacijska, komunikacijska in druga sredstva, podatke in procese, ki so potrebni za njihovo delovanje ali opravljanje storitev«. URSIV isto vrzel opisuje pri dobaviteljih: »Neujemanje obsega certificiranja z naročeno storitvijo je pri velikih ponudnikih pogostejša vrzel kot odsotnost certifikata.«
Kje se standard in zakon srečata: testiranje
Na enem mestu se zahteve obeh instrumentov skoraj prekrivajo: pri tehničnih ranljivostih in preverjanju ukrepov. Kontrola 8.8 iz Dodatka A zahteva upravljanje tehničnih ranljivosti, kontrola 8.29 pa varnostno testiranje pri razvoju in prevzemu. ZInfV-1 v 13. točki drugega odstavka 22. člena zahteva »upravljanje in preprečevanje izrab tehničnih ranljivosti«, v petem odstavku istega člena pa, da zavezanci izpolnjevanje ukrepov preverjajo »najmanj enkrat letno« ali v obdobjih iz svoje politike »in ob zaznanih ranljivostih«.
Penetracijskega testa po imenu ne omenja ne standard ne zakon (stanje na dan 12. novembra 2026); več v članku o tem, ali je penetracijski test obvezen po ZInfV-1. Je pa penetracijski test (tudi vdorni test ali pentest) uveljavljen način, kako pridobiti dokaz za oboje – če poročilo ugotovitve poveže s kontrolami iz Dodatka A in s točkami 22. člena. Med testi stanje spremlja pregled ranljivosti.
Kaj pri tem naredimo mi in česa ne. Pri penetracijskih testih za ISO 27001 in za NIS2 in ZInfV-1 pripravimo tehnične dokaze: obseg in metodologijo, ugotovitve z dokazi in stopnjo resnosti, priporočila za odpravo ter ponovni test. Širši neodvisen pogled pred zakonsko oceno da varnostni pregled informacijskega sistema. Haxoris ne certificira: certifikat ISO/IEC 27001 izda le akreditiran certifikacijski organ. Revizijo skladnosti po 25. členu ZInfV-1 lahko izvede le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja. Standard pa poznamo tudi z druge strani mize: Haxoris ima certifikat ISO 27001, ki ga je izdal TÜV SÜD.
Imate certifikat: kako naprej
- Primerjajte obseg. Ali certifikat zajema storitve, zaradi katerih ste zavezanec, ter sredstva, podatke in procese iz drugega odstavka 21. člena?
- Preverite status in registracijo. Priloga 1 ali 2, merila iz 6. in 7. člena, samoregistracija pri URSIV.
- Sestavite preglednico skladnosti. Dolžnosti iz ZInfV-1 v prvem stolpcu, obstoječi dokazi v drugem.
- Dopolnite, česar standard ne pozna. Roki za priglasitev incidentov, usposabljanje odgovornih oseb pri URSIV, ocena oziroma samoocena skladnosti.
- Preverite učinkovitost. Test, ki ga izvajate zaradi kontrole 8.29, lahko podpre tudi letno preverjanje po petem odstavku 22. člena – če poročilo to izrecno poveže.
Rok za sprejetje ukrepov iz 21. in 22. člena je 19. december 2026 (62. člen).
Ali ste zavezanec in v katero kategorijo spadate, preverite pri URSIV oziroma s pravnim svetovalcem; ta članek ni pravno mnenje. Stanje na dan 12. novembra 2026.
ISO 27001 in NIS2 – pogosta vprašanja
01Ali ISO 27001 zadošča za NIS2 in ZInfV-1?
Ne. Zakon o informacijski varnosti (ZInfV-1) certifikata ISO/IEC 27001 nikjer ne šteje za dokaz skladnosti (stanje na dan 12. novembra 2026). Delujoč sistem vodenja informacijske varnosti pokrije velik del 21. in 22. člena. Odprti ostanejo samoregistracija pri URSIV, zakonski roki za priglasitev incidentov, ocena oziroma samoocena skladnosti, usposabljanje odgovornih oseb pri URSIV in obseg sistema.
02Ali ZInfV-1 zahteva certifikat ISO 27001?
Ne. Zakon zahteva dokumentirani sistem upravljanja varovanja informacij in ukrepe iz 22. člena, certifikata ISO/IEC 27001 pa ne (stanje na dan 12. novembra 2026). Po 28. členu zavezanci evropske in mednarodne standarde uporabljajo v največji možni meri, zato je standard uporabno ogrodje tudi brez certificiranja. Certifikat je smiseln, kadar ga pričakujejo naročniki: vzorčni vprašalnik URSIV za dobavitelje se začne z vprašanjem o certificiranem sistemu in njegovem obsegu.
03Ali certifikat ISO 27001 nadomesti oceno skladnosti po 25. členu ZInfV-1?
Ne. Bistveni subjekti oceno skladnosti izvajajo najmanj enkrat na dve leti ali ob pomembnem incidentu, pomembni subjekti v enakem ritmu izvedejo samooceno skladnosti. Revizijo skladnosti po 25. členu ZInfV-1 lahko izvede le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja.
04Ali lahko isti penetracijski test uporabimo za ISO 27001 in ZInfV-1?
Da, če test zajame sisteme, ki jih pokrivata oba okvira, in če poročilo ugotovitve poveže z obema. Kontroli 8.8 in 8.29 iz Dodatka A zahtevata upravljanje tehničnih ranljivosti in varnostno testiranje, 22. člen ZInfV-1 pa upravljanje in preprečevanje izrab tehničnih ranljivosti ter preverjanje ukrepov najmanj enkrat letno. Letno preverjanje se nanaša na vse ukrepe; test pokrije njihov tehnični del.
05Kateri roki po ZInfV-1 veljajo ne glede na certifikat?
Rok za sprejetje ukrepov iz 21. in 22. člena je 19. december 2026 (62. člen); za subjekte, določene že po prejšnjem zakonu, in za operaterje elektronskih komunikacij se je iztekel 19. junija 2026. Rok za prvo samoregistracijo pri URSIV se je iztekel 19. decembra 2025. Dolžnost priglasitve pomembnih incidentov velja od uveljavitve zakona, 19. junija 2025.
