ZInfV-1 in dobavitelji: kaj bo zavezanec zahteval od vas?

V e-poštni nabiralnik prispe preglednica z nekaj deset vprašanji: ali uporabljate večfaktorsko avtentikacijo, kdaj ste nazadnje preizkusili obnovitev iz varnostne kopije, kdo je opravil vaš zadnji penetracijski (vdorni) test. Pošilja jo naročnik, ki je bistveni ali pomembni subjekt. Zakon o informacijski varnosti (ZInfV-1) (Uradni list RS, št. 40/25) skrb za varnost dobavne verige nalaga njemu, ne vam – odgovoriti pa morate vi.

V članku pojasnimo, od kod zahteva izvira, kaj varnostni vprašalnik dobavitelja sprašuje, s katerimi dokazi odgovorite in česa naročniku ne pošiljate.

Od kod zahteva: varnost dobavne verige po NIS2 in ZInfV-1

ZInfV-1 v slovenski pravni red prenaša Direktivo (EU) 2022/2555 (NIS 2). Med ukrepi, ki jih morajo sprejeti bistveni in pomembni subjekti, je v 10. točki drugega odstavka 22. člena tudi:

»varnost dobavne verige z določitvijo ustreznih minimalnih zahtev, povezanih z informacijsko in kibernetsko varnostjo, za ključne dobavitelje ali ponudnike storitev, pri čemer se zahteve nanašajo na odnose med posameznim subjektom in njegovimi neposrednimi dobavitelji ali ponudniki storitev …«

Četrti odstavek istega člena pove, kaj zavezanec mora in kaj sme:

»Bistveni in pomembni subjekti morajo pri presoji in izvedbi ustreznih varnostnih ukrepov za varnost dobavne verige upoštevati ranljivosti, ki so specifične za posameznega neposrednega dobavitelja in ponudnika storitev, ter splošno kakovost proizvodov in praks svojih dobaviteljev in ponudnikov storitev na področju kibernetske varnosti, vključno z njihovimi varnimi razvojnimi postopki. Ugotavljati morajo, kateri varnostni ukrepi so ustrezni in primerni za zagotovitev varnosti dobavne verige, poleg tega lahko preverjajo njihovo izvajanje pri dobaviteljih in ponudnikih storitev.«

Iz tega sledi troje.

• Dolžnost je zavezančeva. Zakon nagovarja bistvene in pomembne subjekte, ne njihovih dobaviteljev.
• Gre za neposredne in ključne dobavitelje. Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) v pojasnilih k zakonu (verzija 1.3, januar 2026) piše, da so ključni dobavitelji »predvsem tisti, ki jih subjekt težko nadomesti in pri katerih ima morebiten varnostni dogodek neposreden vpliv na njegovo informacijsko varnost, na razpoložljivost informacijskega sistema subjekta ali na zagotavljanje storitev, zaradi katerih je subjekt zavezanec na podlagi ZInfV-1«.
• Zavezanec potrebuje dokaz, ne zagotovila. Njegovi ukrepi morajo biti po trinajstem odstavku 22. člena »preverljivi tako, da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi«.

Rok za sprejetje ukrepov iz 21. in 22. člena je 19. december 2026 (62. člen ZInfV-1).

Ali ste zaradi tega zavezanec tudi vi?

Ne. Zavezance določa 6. člen ZInfV-1: to so subjekti iz Priloge 1 ali 2, če imajo »vsaj 50 zaposlenih in … letni promet ali letno bilančno vsoto vsaj 10 milijonov eurov«, ter nekateri subjekti ne glede na velikost. To, komu prodajate, med merili ni (stanje na dan 12. novembra 2026).

URSIV položaj dobavitelja opiše takole: »subjekti, ki svoje storitve nudijo zavezancem iz ZInfV-1, spadajo v njihove dobavne verige«. Kdor sam ni zavezanec, mora po istih pojasnilih kot del zavezančeve dobavne verige upoštevati minimalne zahteve, ki mu jih ta določi. Obveznost torej k vam pride s pogodbo: inšpekcijski nadzor po ZInfV-1 je usmerjen v zavezance, vas pa zavezuje tisto, kar podpišete.

Dvoje vseeno preverite.

• Morda ste zavezanec sami. Med visoko kritičnimi sektorji v Prilogi 1 je upravljanje storitev IKT, kamor sodijo ponudniki upravljanih storitev in ponudniki upravljanih varnostnih storitev. Če za stranke nameščate, upravljate ali vzdržujete sisteme IKT in dosegate merila velikosti, vprašalnika ne boste le izpolnjevali, temveč ga boste tudi pošiljali.
• Status zavezanca ne nadomesti preverjanja. URSIV v odgovorih na pogosta vprašanja o zakonu piše: »Status zavezanca po ZInfV-1 pomeni, da je tak subjekt dolžan izpolnjevati zakonske zahteve, ne pa to, da že sam status zavezanca ZInfV-1 pomeni, da je zaupanja vreden.«

Ali je vaš naročnik zavezanec, v javnem registru ne boste našli: seznam je po četrtem odstavku 8. člena »varovani podatek pristojnega nacionalnega organa«.

Ali ste zavezanec in v katero kategorijo spadate, preverite pri URSIV oziroma s pravnim svetovalcem; ta članek ni pravno mnenje.

Kaj sprašuje varnostni vprašalnik dobavitelja

URSIV je avgusta 2026 objavil »Priporočila za upravljanje tveganj dobavnih verig« (verzija 1.0). Dokument o sebi pravi: »Ta dokument se uporablja kot priporočilo oziroma pripomoček in ni predpis.« Njegova Priloga 1 je vzorčni vprašalnik za dobavitelja: 37 vprašanj v devetih sklopih. Na vsako odgovorite z DA, DELNO, NE ali NI RELEVANTNO in navedete dokazila – po navodilu »certifikati, politike, poročila presoj, rezultati testiranj«.

Naročnik ni vezan na ta vzorec, vprašanja pa bodo verjetno podobna. V levem stolpcu so vprašanja iz vzorca URSIV, v desnem naš predlog dokazov; ta ni del priporočil.

Dokaz ima stopnje. URSIV loči samoizjavo, dokumentarni dokaz, neodvisno presojo ali certifikat in tehnično preverjanje. Če dokazov ni, se to pozna: »Pomanjkanje dokazljivosti se odrazi v slabši oceni stanja«, naročnik pa tveganje omeji drugače – na primer z ožjim dostopom do svojih sistemov in podatkov.

Certifikat ne odgovori na vse. URSIV piše: »Certifikat ISO/IEC 27001 sam po sebi ni dokaz, da je konkretna storitev ali dobavna veriga brez tveganj; preverite tudi obseg certificiranja in relevantnost kontrol za naročeno storitev.« Če certifikat pokriva eno lokacijo, storitev za naročnika pa teče drugje, bo naročnik upravičeno vprašal po razliki.

Kaj bo v pogodbi

Vprašalniku sledi pogodba. Priloga 4 priporočil je kontrolni seznam pogodbenih določb; izpostavljamo štiri.

• Obveščanje o incidentih. URSIV priporoča rok »24 ur ali manj«. Razlog je pri naročniku: zavezanec mora pristojni skupini CSIRT poslati zgodnje sporočilo najpozneje v 24 urah in priglasitev incidenta najpozneje v 72 urah po zaznavi pomembnega incidenta (30. člen ZInfV-1).
• Pravica do presoje. Naročnik si pridrži pravico, da izvajanje ukrepov preveri pri vas. To je pogodbena izpeljava besed »lahko preverjajo njihovo izvajanje« iz četrtega odstavka 22. člena.
• Prenos zahtev na poddobavitelje. Pogodba lahko zahteva, da iste varnostne zahteve prenesete na svoje ključne poddobavitelje in za njihovo zamenjavo pridobite naročnikovo soglasje.
• Preverjanje preteklosti. Po 23. členu ZInfV-1 lahko zavezanec preveri preteklost zaposlenih z dostopom do svojih ključnih informacijskih sistemov: »V skladu z oceno tveganja lahko preveri preteklost tudi za zaposlene pri pogodbenih izvajalcih.« Preverjanje poteka s predhodnim soglasjem osebe in za zadnjih pet let; brez soglasja se delo po tretjem odstavku »ne dovoli oziroma se pogodba ne sklene«.

Podpišite le roke, ki jih zmorete izpolniti. Zaveza o obvestilu v 24 urah brez dosegljive kontaktne osebe je tveganje, ne prednost.

Načrt priprave v šestih korakih

1. Ugotovite, kje ste ključni. Pri katerih naročnikih imate dostop do sistemov ali podatkov in vas je težko nadomestiti?
2. Popišite, kaj je v igri. Sistemi, s katerimi izvajate storitev, dostopi v naročnikovo okolje, podatki in poddobavitelji.
3. Zberite, kar že imate. Politike, nastavitve MFA, zapisnik preizkusa obnovitve iz varnostne kopije, evidenco usposabljanj.
4. Naročite neodvisen tehnični pregled storitve, ki jo prodajate. Penetracijski test ali pregled ranljivosti naj zajame prav sistem, ki ga uporablja naročnik, ne vašega predstavitvenega spletnega mesta.
5. Odpravite ugotovitve in jih dajte ponovno preveriti. Naročnika ne zanima le, kaj je test našel, temveč tudi, kaj ste z ugotovitvami naredili. Test, odprava in ponovni test trajajo, zato ne čakajte na rok iz vprašalnika.
6. Določite skrbnika in datum obnove. URSIV zavezancem pri kritičnih dobaviteljih priporoča najmanj letni pregled in dodatnega ob pomembnih spremembah ali incidentih.

Kaj deliti in česa ne

Dokler ugotovitve niso odpravljene, je poročilo o penetracijskem testu navodilo za vdor v vaš sistem. Zato ločite tri ravni.

• Delite brez zadržkov: povzetek za vodstvo, potrdilo o ponovnem testu, certifikat z obsegom in opise postopkov.
• Le po podpisu NDA in po odpravi ugotovitev: celotno tehnično poročilo z dokazi in koraki za ponovitev, arhitekturne sheme in izpise konfiguracij. Kjer je mogoče, omogočite vpogled namesto pošiljanja datoteke; tudi vzorčni načrt varnostnih ukrepov URSIV (različica 1.0, november 2025) pravi, da ključni dobavitelji »morajo omogočiti vpogled v dokazila o skladnosti«.
• Nikoli: gesel in ključev, podatkov drugih strank ter podrobnosti o še neodpravljenih ranljivostih po nešifrirani e-pošti.

Kje vam lahko pomaga Haxoris

Haxoris je evropsko podjetje, ki izvaja penetracijske teste. Priskrbimo lahko tisti del dokazov, ki ga dobavitelj ne more napisati sam – neodvisen tehnični dokaz.

• Penetracijski test storitve ali aplikacije, ki jo uporablja naročnik: ročno testiranje, povzetek za vodstvo in tehnično poročilo z dokazi.
• Ponovno testiranje (retest) po odpravi ugotovitev je brezplačno. Po njem izdamo pisno izjavo o tem, kaj je odpravljeno – to je potrdilo o ponovnem testu.
• Pregled ranljivosti: avtomatizirano skeniranje z ročno validacijo rezultatov in poročilom, v katerem je vsaka ranljivost ocenjena po CVSS.
• Varnostni pregled konfiguracij, postopkov in kontrol. Če vam je naročnik poslal varnostni vprašalnik, lahko pregled opravimo neposredno po njem.

Česar ne počnemo: certifikatov ne izdajamo in skladnosti ne obljubljamo. Revizijo skladnosti po 25. členu ZInfV-1 lahko izvede le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja. Naše poročilo je tehnični dokaz, ki ga lahko uporabite vi, vaš naročnik in njegov revizor.

Kaj zakon zahteva od zavezancev samih, preberite v članku o tem, ali je penetracijski test obvezen po ZInfV-1. Kateri test odgovori na vaš vprašalnik, lahko preverimo na brezplačnem posvetu.

ZInfV-1 in dobavitelji – pogosta vprašanja

Povezane storitve: penetracijski testi spletnih aplikacij in infrastrukture · penetracijski testi za NIS2 in ZInfV-1 · varnostni pregled informacijskega sistema · pregled ranljivosti sistemov in aplikacij