Što je NIS 2 i što znači za hrvatske tvrtke

Redakcija nis2.hr · Ažurirano: 3. listopada 2026.

Što je NIS 2?

NIS 2 (engl. Network and Information Security Directive 2) je Direktiva (EU) 2022/2555 o mjerama za visoku zajedničku razinu kibernetičke sigurnosti u Uniji. Donesena je u prosincu 2022., a države članice morale su je prenijeti u nacionalno zakonodavstvo do 17. listopada 2024. Zamjenjuje prvu NIS direktivu iz 2016.

Što se mijenja u odnosu na prvu NIS direktivu?

• Širi obuhvat. Umjesto da svaka država sama određuje „operatore ključnih usluga”, NIS 2 koristi jasan kriterij: sektor i veličina poduzeća (srednja i velika).
• Strože obveze. Propisan je minimalni skup od deset skupina sigurnosnih mjera.
• Prijava incidenata u rokovima. Rano upozorenje u 24 sata, obavijest u 72 sata i završno izvješće u mjesec dana.
• Odgovornost uprave. Uprava odobrava mjere, nadzire ih i može odgovarati za propuste.
• Veće kazne. Do 10 milijuna eura ili 2 % svjetskog godišnjeg prihoda za ključne, odnosno 7 milijuna eura ili 1,4 % za važne subjekte.
• Sigurnost lanca opskrbe. Obveznici moraju upravljati rizicima koje donose dobavljači.

Kako je NIS 2 prenesena u Hrvatskoj?

Direktiva je prenesena Zakonom o kibernetičkoj sigurnosti (NN 14/2024), koji je stupio na snagu 15. veljače 2024., te Uredbom o kibernetičkoj sigurnosti (NN 135/2024) koja razrađuje mjere i postupke. Nadzor i koordinaciju provode središnje državno tijelo za kibernetičku sigurnost (SOA), nacionalni CSIRT-ovi (CARNET i ZSIS) te sektorska nadležna tijela.

Što trebate napraviti odmah?

1. Utvrdite spadate li pod Zakon. Provjerite sektor i veličinu – za to vam treba nekoliko minuta (besplatni kalkulator).
2. Dobijte potporu uprave. Uprava mora odobriti mjere i proći izobrazbu.
3. Napravite gap analizu u odnosu na deset skupina mjera i dogovorite plan s rokovima.
4. Pripremite postupak prijave incidenata (24 h / 72 h / 1 mjesec).