NIS2 in ZInfV-1
Penetracijski testi za NIS2 in ZInfV-1 v Sloveniji
Zakon o informacijski varnosti (ZInfV-1, Uradni list RS, št. 40/25) v slovenski pravni red prenaša direktivo NIS2. Od bistvenih in pomembnih subjektov zahteva, da preverjajo izpolnjevanje varnostnih ukrepov – najmanj enkrat letno ali v rednih obdobjih, ki jih opredelijo v svoji politiki, in ob zaznanih ranljivostih (peti odstavek 22. člena). Imeti morajo tudi politiko s postopki za presojo učinkovitosti teh ukrepov (8. točka prvega odstavka 21. člena). Penetracijski test (tudi vdorni test ali pentest) je uveljavljen način, kako pridobiti dokaze za to.
Sisteme preizkusimo tako, kot bi se jih lotil napadalec, poročilo pa pripravimo v obliki, ki jo kot dokazilo razumeta tudi inšpektor za informacijsko varnost in revizor informacijskih sistemov.
Zaupajo nam
NIS2 in ZInfV-1
Kaj NIS2 in ZInfV-1 v resnici zahtevata
Direktiva (EU) 2022/2555 (NIS 2) je nadomestila prvotno direktivo NIS ter razširila tako sektorje, ki jih zajema, kot obveznosti zavezancev. Penetracijski test neposredno podpira dva ukrepa za obvladovanje tveganj iz člena 21(2) direktive: točko (e), varnost pri pridobivanju, razvoju in vzdrževanju sistemov, ter točko (f), politike in postopke za oceno učinkovitosti ukrepov.
NIS2 je direktiva, ne uredba, zato vas ne zavezuje neposredno, temveč prek zakona države članice. V Sloveniji je to ZInfV-1, ki velja od 19. junija 2025. Pristojni organ je Urad Vlade Republike Slovenije za informacijsko varnost (URSIV), incidente pa obravnavata skupini SI-CERT in SIGOV-CERT. Preglednici spodaj kažeta, kaj zahtevata direktiva in zakon ter kaj k dokazom prispeva penetracijski test.
Zahteva NIS2 in ZInfV-1 → kaj pripravimo
| Zahteva | Kaj pripravi Haxoris |
|---|---|
| NIS2, točka (e) člena 21(2) – varnost pri pridobivanju, razvoju in vzdrževanju omrežnih in informacijskih sistemov, vključno z obravnavanjem in razkrivanjem ranljivosti ZInfV-1, 12. in 13. točka drugega odstavka 22. člena – med drugim »upravljanje in preprečevanje izrab tehničnih ranljivosti« | Penetracijski testi aplikacij, vmesnikov API in infrastrukture po OWASP Top 10:2025, ASVS in WSTG. Vsaka ugotovitev ima oceno resnosti, dokaze in konkretno priporočilo za odpravo. |
| NIS2, točka (f) člena 21(2) – politike in postopki za oceno učinkovitosti ukrepov za obvladovanje tveganj za kibernetsko varnost ZInfV-1, 8. točka prvega odstavka 21. člena – »politiko s postopki za presojo učinkovitosti varnostnih ukrepov za obvladovanje tveganj za informacijsko in kibernetsko varnost« | Neodvisen test, ki izmeri, ali ukrepi, v katere ste že vložili, napadalca res ustavijo, in brezplačno ponovno testiranje (retest), ki potrdi, da so popravki učinkoviti. |
| ZInfV-1, peti odstavek 22. člena – preverjanje izpolnjevanja varnostnih ukrepov najmanj enkrat letno ali v rednih obdobjih, ki jih subjekt opredeli v svoji politiki, in ob zaznanih ranljivostih | Poročilo o penetracijskem testu s pisno določenim obsegom in ugotovitvami je dokazilo za tehnični del tega preverjanja. Ponovni test pokaže, da so popravni ukrepi izvedeni. |
| NIS2, točka (d) člena 21(2) – varnost dobavne verige ZInfV-1, 10. točka drugega odstavka 22. člena | Testiranje integracij, vmesnikov API in komponent tretjih ponudnikov, od katerih je odvisna vaša storitev, vključno s konfiguracijo oblaka ter razmejitvijo identitet in dostopov. |
| NIS2, člen 23 – obveznosti poročanja ZInfV-1, 29. in 30. člen – priglasitev pomembnih incidentov | Ugotovitve, ki bi ob izrabi pomenile incident, ki ga je treba priglasiti, v poročilu posebej označimo. Tako postopek priglasitve preizkusite, še preden ga zares potrebujete. |
| Izvedbena uredba (EU) 2024/2690, točka 6.5 – »Varnostno testiranje«; zavezuje le subjekte iz šestega odstavka 22. člena ZInfV-1, na primer ponudnike storitev računalništva v oblaku in podatkovnih centrov ter ponudnike upravljanih storitev | Test po dokumentirani metodologiji (OWASP WSTG, ASVS) ter poročilo z oceno resnosti in priporočilom za odpravo pri vsaki ugotovitvi. Potrebo, obseg, pogostost in vrsto testov po uredbi določite sami na podlagi ocene tveganja. |
NIS2 v Sloveniji: kaj določa ZInfV-1
| Področje | Kaj določa ZInfV-1 | Člen |
|---|---|---|
| Kdo je zavezanec | Subjekti, ki spadajo med vrste subjektov iz Priloge 1 ali 2 ter imajo vsaj 50 zaposlenih in hkrati letni promet ali letno bilančno vsoto vsaj 10 milijonov evrov. Nekateri so zavezanci ne glede na velikost, med drugim ponudniki javnih elektronskih komunikacijskih omrežij in storitev, ponudniki storitev zaupanja, registri TLD imen in ponudniki storitev DNS, subjekti javne uprave na državni ravni ter mestne občine. | 6. člen |
| Kategoriji zavezancev | Zavezanci se delijo na bistvene in pomembne subjekte. Bistveni so med drugim subjekti iz Priloge 1 z vsaj 250 zaposlenimi ali z letnim prometom vsaj 50 milijonov evrov ali z letno bilančno vsoto vsaj 43 milijonov evrov. Pomembni so subjekti iz Priloge 2 in drugi zavezanci, ki niso bistveni. | 7. člen |
| Samoregistracija | Zavezanci se samoregistrirajo pri URSIV v 30 dneh od dneva, ko izpolnijo merila. Rok za prvo samoregistracijo je bil 19. december 2025. | 8. in 60. člen |
| Rok za sprejetje ukrepov | Rok za sprejetje ukrepov iz 21. in 22. člena je 19. december 2026, to je 18 mesecev po uveljavitvi zakona. Za zavezance, določene že po prejšnjem zakonu, in za operaterje elektronskih komunikacij je bil rok 19. junij 2026. | 62. člen |
| Redno preverjanje ukrepov | »Bistveni ali pomembni subjekti morajo najmanj enkrat letno ali v rednih obdobjih, ki jih opredelijo v politiki in postopkih za presojo učinkovitosti ukrepov za obvladovanje tveganj za kibernetsko varnost, in ob zaznanih ranljivostih preverjati izpolnjevanje varnostnih ukrepov iz drugega odstavka tega člena.« Kako to preverjajo in kdo preverjanje izvede, zakon ne določa. | peti odstavek 22. člena |
| Ocena skladnosti | Bistveni subjekti najmanj enkrat na dve leti ali ob pomembnem incidentu izvedejo oceno skladnosti – kot revizijo skladnosti, ki jo opravi revizor informacijskih sistemov, ali v okviru notranje revizije. Pomembni subjekti v enakih obdobjih izvedejo samooceno skladnosti. | 25. člen |
| Priglasitev incidentov | Pomemben incident zavezanec priglasi pristojni skupini CSIRT (SIGOV-CERT za javno upravo, SI-CERT za druge zavezance): zgodnje sporočilo najpozneje v 24 urah po zaznavi, priglasitev incidenta najpozneje v 72 urah po zaznavi in končno poročilo najpozneje v enem mesecu po priglasitvi. | 29. in 30. člen |
| Globe | Za prekrške iz prvega odstavka 52. oziroma 53. člena, med drugim za neizpolnjevanje obveznosti glede varnostne dokumentacije, ukrepov in priglasitve incidentov, se pravna oseba kaznuje z globo: bistveni subjekt – »v višini od 0,5 odstotka do 2 odstotka skupnega letnega prometa pravne osebe, doseženega v preteklem poslovnem letu, vendar ne manj kot 10.000 eurov in ne več kot 10.000.000 eurov, odvisno od tega, kateri znesek je višji«; pomembni subjekt – »v višini od 0,3 odstotka do 1,4 odstotka skupnega letnega prometa pravne osebe, doseženega v preteklem poslovnem letu, vendar ne manj kot 7.000 eurov in ne več kot 7.000.000 eurov, odvisno od tega, kateri znesek je višji«. Odgovorna oseba se kaznuje z globo od 1.000 do 10.000 evrov (bistveni subjekt) oziroma od 1.000 do 7.000 evrov (pomembni subjekt). | 52. in 53. člen |
| Bančništvo in finančni trg | Za bistvene in pomembne subjekte v sektorjih bančništva in infrastrukture finančnega trga se IV. in IX. poglavje zakona (ukrepi in priglasitev incidentov, nadzor) ne uporabljata; zanje velja Uredba (EU) 2022/2554 (DORA). | 3. člen |
Ali ste zavezanec in v katero kategorijo spadate, preverite pri URSIV oziroma s pravnim svetovalcem; ta stran ni pravno mnenje. Obseg testa prilagodimo vaši kategoriji. Revizijo skladnosti po 25. členu ZInfV-1 lahko izvede le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja. Tudi penetracijskega testiranja na podlagi analize groženj (TLPT) po uredbi DORA Haxoris ne izvaja.
Veriga dokazov, ki jo pričakujeta revizor in inšpektor
Samo poročilo o testu redko zadošča. Kdor preverja vaše ukrepe, pričakuje sklenjen krog – od dogovorjenega obsega do potrjene odprave. Pripravimo vsak člen te verige:
Obseg in pooblastilo
Pisno določen obseg, pravila izvedbe testa in podpisano pisno pooblastilo naročnika, da je tudi sam test dokumentiran in zakonit.
Poročilo o testu
Ugotovitve s stopnjo resnosti, vplivom na poslovanje, koraki za ponovitev in dokazi – berljive za vaše inženirje in za vašega revizorja.
Načrt odprave
Vsaka ugotovitev dobi konkreten popravek in nosilca, zato poročilo postane seznam nalog in ne ostane le dokument.
Ponovni test in potrditev
Popravke brezplačno ponovno preverimo in izdamo pisno izjavo o tem, kaj je odpravljeno – dokument, ki sklene krog.
Kdo je zavezanec
ZInfV-1 zajema 11 visoko kritičnih sektorjev iz Priloge 1 in 8 drugih kritičnih sektorjev iz Priloge 2. Če delujete v enem od njih ter imate vsaj 50 zaposlenih in hkrati letni promet ali letno bilančno vsoto vsaj 10 milijonov evrov, je vaša organizacija praviloma zavezanec; nekateri subjekti so zavezanci ne glede na velikost. Dokončno to preverite pri URSIV oziroma s pravnim svetovalcem. Med sektorji so:
Mnenja strank
Kaj o nas pravijo stranke
NIS2, ZInfV-1 in penetracijski testi – pogosta vprašanja
01 Ali je penetracijski test obvezen po ZInfV-1?
Ne. ZInfV-1 penetracijskega testa ne omenja – ne kot penetracijski ne kot vdorni test (stanje na dan 12. novembra 2026). Tudi direktiva NIS2 ga ne imenuje; v točki (f) člena 21(2) zahteva politike in postopke za oceno učinkovitosti ukrepov.
Zakon pa zahteva politiko s postopki za presojo učinkovitosti varnostnih ukrepov (8. točka prvega odstavka 21. člena) ter upravljanje in preprečevanje izrab tehničnih ranljivosti (13. točka drugega odstavka 22. člena). Izpolnjevanje ukrepov morate preverjati najmanj enkrat letno ali v rednih obdobjih, ki jih opredelite v tej politiki, in ob zaznanih ranljivostih (peti odstavek 22. člena). Kako to preverjate, zakon ne predpisuje. Penetracijski test je uveljavljen način; tudi v vzorčni dokumentaciji URSIV (različica 1.0, november 2025) so kot primer varnostnih testov navedeni »varnostni pregledi in vdorni testi«.
Inšpektor za informacijsko varnost sme pri nadzoru pregledati »poročila o izvedbi revizije informacijskih sistemov ter izvedbi varnostnih pregledov omrežja in informacijskih sistemov« (7. točka petega odstavka 45. člena). Poročilo o testu je torej dokazilo, ki ga lahko predložite. Več v članku Ali je penetracijski test obvezen po ZInfV-1?
02 Kako pogosto je smiselno izvajati penetracijske teste?
Pogostosti penetracijskih testov zakon ne določa. Določa pa, da izpolnjevanje varnostnih ukrepov preverjate najmanj enkrat letno ali v rednih obdobjih, ki jih opredelite v svoji politiki, in ob zaznanih ranljivostih (peti odstavek 22. člena). Priporočamo test vsaj enkrat letno in po vsaki večji spremembi sistema ali njegove arhitekture; podobno vzorčna dokumentacija URSIV predlaga presojo učinkovitosti ukrepov »najmanj enkrat letno, po večjih spremembah … ali v primeru pojava pomembnih incidentov«. Za okolja, ki se hitro spreminjajo, lahko sredi leta izvedemo še manjši test z ožjim obsegom.
03 Ali je naše podjetje zavezanec po ZInfV-1?
Odvisno od sektorja in velikosti. Splošno merilo je kumulativno: zavezanec je subjekt, ki spada med vrste subjektov iz Priloge 1 ali 2 ter ima vsaj 50 zaposlenih in hkrati letni promet ali letno bilančno vsoto vsaj 10 milijonov evrov (6. člen). Nekateri subjekti so zavezanci ne glede na velikost. Povejte nam, s čim se ukvarjate, in na brezplačnem posvetu bomo merila pregledali skupaj – raje pravilno določimo obseg, kot da vam prodamo test, ki ga ne potrebujete. Ali ste zavezanec in v katero kategorijo spadate, preverite pri URSIV oziroma s pravnim svetovalcem; ta stran ni pravno mnenje.
04 Koliko stane penetracijski test za NIS2 in ZInfV-1?
Odvisno od obsega. Osnovni test spletne aplikacije stane od približno 2.000 € naprej; večja omrežja, okolja v oblaku ali obsegi z več sistemi stanejo več. Običajen projekt obsega 5 do 15 delovnih dni, fiksno ceno pa ponudimo po kratkem posvetu o obsegu.
05 Bo testiranje motilo produkcijo?
Ne. Pravila izvedbe testa pred začetkom pisno uskladimo, vse, kar bi lahko motilo delovanje, izvedemo v dogovorjenem terminu, ves čas testa pa smo v stalnem stiku z vašo ekipo DevOps.
06 Ali pripravite dokumentacijo, ki jo lahko predložimo revizorju?
Da. Poročilo, evidenco odprave in izjavo o ponovnem testu pišemo tako, da jih razume tudi bralec, ki ni inženir. Skupaj sklenejo verigo dokazov. Kot tehnični dokazi služijo vam pri preverjanju ukrepov, vašemu revizorju informacijskih sistemov pri oceni skladnosti in inšpektorju pri nadzoru. Revizijo skladnosti po 25. členu ZInfV-1 lahko izvede le revizor informacijskih sistemov, vpisan v register Slovenskega inštituta za revizijo; Haxoris te revizije ne izvaja.
