Na kratko
Certifikat ISO/IEC 27001 pokrije večino ukrepov za obvladovanje tveganj, ki jih zahteva ZInfV-1, ne pa vseh obveznosti. Posebej je treba urediti samoregistracijo, prijavo pomembnih incidentov v rokih 24 ur, 72 ur in en mesec, odgovornost in usposabljanje vodstva ter presojo oziroma samooceno skladnosti.
Kateri ukrepi NIS2 se pokrivajo s kontrolami ISO 27001?
Direktiva NIS2 v členu 21(2) našteva deset skupin ukrepov, ki jih ZInfV-1 prenaša v slovensko pravo. Vsaki ustrezajo točke in kontrole ISO/IEC 27001:2022.
| Ukrep (NIS2, čl. 21(2)) | ISO/IEC 27001:2022 |
|---|---|
| a) politike analize tveganj in varnosti informacijskih sistemov | 5.2, 6.1.2, 6.1.3, A.5.1 |
| b) obravnavanje incidentov | A.5.24–A.5.28, A.6.8 |
| c) neprekinjeno poslovanje, varnostne kopije, obnova po nesreči, krizno upravljanje | A.5.29, A.5.30, A.8.13, A.8.14 (in ISO 22301) |
| d) varnost dobavne verige | A.5.19–A.5.23 |
| e) varnost pri nabavi, razvoju in vzdrževanju sistemov, obravnava in razkrivanje ranljivosti | A.8.8, A.8.25–A.8.29, A.8.32 |
| f) ocenjevanje učinkovitosti ukrepov | 9.1, 9.2, 9.3 |
| g) osnovna kibernetska higiena in usposabljanje | 7.2, 7.3, A.6.3 |
| h) kriptografija in šifriranje | A.8.24 |
| i) varnost človeških virov, nadzor dostopa, upravljanje sredstev | A.6.1–A.6.6, A.5.9–A.5.18, A.8.2, A.8.3, A.8.5 |
| j) večfaktorska avtentikacija, zavarovane komunikacije | A.8.5, A.5.14, A.8.20, A.8.21 |
Pokritost velja, če so kontrole v obsegu sistema, izbrane v Izjavi o uporabnosti (SoA) in dejansko izvedene. Izključene kontrole ali preozek obseg certifikata pomenijo vrzel tudi pri ZInfV-1.
Česa ISO 27001 ne pokrije?
| Obveznost | Člen ZInfV-1 | Kaj je treba urediti |
|---|---|---|
| Samoregistracija | 8. člen | registracija pri URSIV in sporočanje sprememb podatkov |
| Prijava pomembnih incidentov | 29. člen | zgodnje sporočilo v 24 urah, priglasitev v 72 urah, končno poročilo v enem mesecu |
| Odgovornost in usposabljanje vodstva | 20. člen | odgovorne osebe in njihovo usposabljanje, redno usposabljanje zaposlenih |
| Presoja oziroma samoocena skladnosti | 25. člen | bistveni subjekti presoja, pomembni samoocena – najmanj vsaki dve leti in po pomembnem incidentu |
| Sodelovanje pri nadzoru | – | dokazila o izvajanju ukrepov, pripravljena za URSIV |
Poleg tega ima ZInfV-1 v 21. členu svoj seznam varnostne dokumentacije (med drugim politiko in načrt neprekinjenega poslovanja z oceno vpliva na poslovanje ter načrt odzivanja na incidente s protokolom obveščanja CSIRT). Večino teh dokumentov SUVI že vsebuje, njihovo obliko in vsebino pa je treba preveriti glede na zakon.
Ali za ZInfV-1 potrebujemo certifikat ISO 27001?
Ne. ZInfV-1 zahteva ukrepe za obvladovanje tveganj in njihovo dokazovanje, ne certifikata. Sistem po ISO/IEC 27001 je za to sistematična podlaga, certifikat pa neodvisno potrdi, da sistem deluje – kar je pri nadzoru prepričljiv dokaz.
Kako zapreti vrzeli med ISO 27001 in ZInfV-1?
Ocena zavezanstva in samoregistracija
Ali ste bistveni ali pomembni subjekt in ali je samoregistracija opravljena.
Analiza vrzeli glede na 20., 21. in 22. člen
Primerjava obsega certifikata, SoA in dokumentacije z zakonom.
Postopek prijave pomembnih incidentov
Merila za pomemben incident, vloge, roki in protokol obveščanja CSIRT.
Usposabljanje in potrditve vodstva
Usposabljanje odgovornih oseb in zapisane odločitve vodstva.
Dokazila za nadzor in presojo skladnosti
Dokazila, povezana z ukrepi, ter priprava na presojo oziroma samooceno po 25. členu.
Več o storitvah: uvedba ISO 27001 in skladnost z ZInfV-1.
Pogosta vprašanja
Ali certifikat ISO 27001 pomeni, da izpolnjujemo ZInfV-1?
Ne samodejno. SUVI po ISO/IEC 27001 je sistematična in dokazljiva podlaga za večino ukrepov za obvladovanje tveganj. Ločeno je treba urediti samoregistracijo, postopke prijave pomembnih incidentov (24 ur, 72 ur, en mesec), odgovornost in usposabljanje vodstva ter dokazila za nadzor.
Ali ZInfV-1 zahteva certifikat ISO 27001?
Ne. Zakon zahteva ukrepe za obvladovanje tveganj in njihovo dokazovanje, ne certifikata. Certifikat pa neodvisno potrdi, da sistem deluje.
Kaj najprej uredimo, če že imamo ISO 27001?
Samoregistracijo, postopek prijave pomembnih incidentov v zakonskih rokih, usposabljanje in odgovornost vodstva ter preverbo, ali varnostna dokumentacija pokriva vse dokumente iz 21. člena ZInfV-1.
Viri
- Direktiva (EU) 2022/2555 (NIS2), člen 21 – EUR-Lex
- Zakon o informacijski varnosti (ZInfV-1), Uradni list RS
- URSIV – Pojasnila k ZInfV-1, različica 1.4 (januar 2026)
- ISO/IEC 27001:2022 (ISO)
Zadnja posodobitev: · Pripravila ekipa Regulus Ai
Želite preveriti, kaj vaš certifikat pokrije pri ZInfV-1?
Dogovorite uvodni posvet