Oh no! No description found. But not to worry. Read from Tasks below how to advance this topic.
Zakon o informacijski varnosti (ZInfV-1) is a Slovenian law that strengthens the national cybersecurity system and implements the NIS2 Directive, focusing on enhancing network and information system security.
Below you'll find all of the requirements of this framework. In Cyberday, we map all requirement to global tasks, making multi-compliance management easy. Do it once, and see the progress across all frameworks!
Bistveni in pomembni subjekti morajo pristojni nacionalni organ in za njih pristojno skupino CSIRT obvestiti o svojem sodelovanju pri dogovorih o izmenjavi informacij o kibernetski varnosti iz drugega odstavka tega člena, in to po sklenitvi takih dogovorov ali o odstopu od dogovora, ko odstop začne veljati. Skrbnik takšnega dogovora pošlje obvestilo pristojnemu nacionalnemu organu in pristojni skupini CSIRT v 15 dneh od nastanka dogodka.




Zavezanci na podlagi tega zakona in drugi subjekti si lahko prostovoljno izmenjujejo ustrezne informacije o kibernetski varnosti, vključno z informacijami, ki se nanašajo na kibernetske grožnje, skorajšnje incidente, ranljivosti, tehnike in postopke, kazalnike ogroženosti, sovražne taktike, specifične informacije o grožnji in akterju, opozorila glede kibernetske varnosti in priporočila glede konfiguracije orodij za kibernetsko varnost za zaznavo zlonamernih kibernetskih aktivnosti, kadar taka izmenjava informacij:








Dogovori o izmenjavi informacij o kibernetski varnosti iz prejšnjega odstavka vsebujejo vsebine in pogoje za takšne dogovore ter lahko vključujejo tudi operativne elemente, vključno glede uporabe namenskih digitalnih platform in orodij za avtomatizacijo. Pristojni nacionalni organ spodbuja sklenitev takšnih dogovorov z ozaveščanjem zavezancev in z metodološko podporo pri sklenitvi dogovorov.




Izmenjava informacij iz prejšnjega odstavka poteka v sektorskih ali medsektorskih skupnostih zavezancev, lahko pa tudi z njihovimi dobavitelji ali ponudniki storitev. Taka izmenjava se izvaja na podlagi dogovorov o izmenjavi informacij o kibernetski varnosti, ob upoštevanju morebitne občutljive narave informacij, ki se izmenjujejo. Podatki, ki so predmet izmenjave, morajo biti ustrezno označeni s semaforskim protokolom. Pri sklenitvi dogovorov o izmenjavi informacij se upoštevajo dobre prakse in smernice agencije ENISA.












Za obvladovanje tveganj za varnost omrežij in informacijskih sistemov bistveni in pomembni subjekti pri izvajanju ukrepov iz 22. člena tega zakona prednostno uporabljajo:
















1. Bistveni ali pomembni subjekt za izvedbo revizije skladnosti, ki jo zahteva inšpektor po tem zakonu, izbere revizorja informacijskih sistemov. O svoji izbiri in začetku postopka revizije skladnosti s predpisi s področja informacijske varnosti obvesti inšpektorja v 30 dneh od podane zahteve inšpektorja.
2. Ne glede na prejšnji odstavek lahko bistveni ali pomembni subjekt, ki ima med svojimi zaposlenimi osebo, ki ima status aktivnega preizkušenega revizorja informacijskih sistemov, za zadevno revizijo izbere tudi to svojo zaposleno osebo, če lahko zagotovi nepristranskost in neodvisnost revizorja.
3. Če bistveni ali pomembni subjekt ne izbere revizorja informacijskih sistemov v skladu s prvim ali drugim odstavkom tega člena, revizorja informacijskih sistemov s sklepom določi inšpektor.




1. Bistveni subjekti morajo oceno skladnosti izvajati najmanj enkrat na dve leti ali v primeru pojava pomembnega incidenta. Ocena skladnosti se izvaja kot revizija skladnosti s predpisi s področja informacijske varnosti ali v okviru notranje revizije, ki se izvaja na podlagi drugih predpisov in vključuje področje informacijske varnosti iz tega zakona in na podlagi tega zakona izdanih podzakonskih predpisov ali izvedbenih aktov Evropske komisije. Oceno skladnosti lahko v okviru notranje revizije poleg revizorjev informacijskih sistemov izvajajo tudi notranji revizorji v sodelovanju z veščakom za informacijsko tehnologijo ki je posameznik oziroma posameznica ali organizacija z izkazanimi poglobljenimi strokovnimi znanji na področju informacijsko-komunikacijskih tehnologij katerega ali katere delo revizor uporabi kot strokovno pomoč pri pridobivanju zadostnih in ustreznih revizijskih dokazov. Revizor informacijskih sistemov ali notranji revizor pripravi poročilo o izvedeni oceni skladnosti.
2. Če poročilo o izvedeni oceni skladnosti iz prejšnjega odstavka vsebuje ugotovitve neskladnosti in priporočila revizorja informacijskih sistemov za njihovo odpravo bistveni subjekt pripravi načrt za odpravo ugotovljenih neskladnosti določi način njihove odprave in roke za izvedbo.
3. Pomembni subjekti izvedejo samooceno skladnosti najmanj enkrat na dve leti ali v primeru pojava pomembnega incidenta. Samoocena skladnosti se izvede na način da se dokumentirano preverita skladnost pomembnega subjekta z njegovo varnostno dokumentacijo in izvajanje ukrepov za obvladovanje tveganj za kibernetsko varnost. Samoocena skladnosti se lahko izvede tudi v okviru notranje revizije.
4. Če je iz rezultatov opravljene samoocene skladnosti razvidno da pomembni subjekt izpolnjuje zahteve predpisane s tem zakonom ta sestavi izjavo o skladnosti pri čemer ta vsebuje potrebne elemente samoocenjevanja skladnosti ki omogočajo izvedbo ponovljivosti opravljene ocene.
5. Če je iz rezultatov opravljene samoocene skladnosti razvidno da pomembni subjekt ne izpolnjuje predpisanih zahtev ta sestavi izjavo o ugotavljanju neskladnosti v kateri navede ugotovljene neskladnosti in način njihove odprave z roki za izvedbo.
















1. Bistveni in pomembni subjekti za priglasitev pomembnih incidentov iz prvega odstavka prejšnjega člena pristojni skupini CSIRT predložijo:
2. Ne glede na točko b prejšnjega odstavka mora ponudnik storitev zaupanja v zvezi s pomembnimi incidenti ki vplivajo na zagotavljanje njegovih storitev o tem nemudoma najpozneje pa v 24 urah po zaznavi pomembnega incidenta priglasi incident pristojni skupini CSIRT.




1. Bistveni in pomembni subjekti pristojni skupini CSIRT nemudoma v skladu s prvim in drugim odstavkom 30. člena tega zakona in nacionalnim načrtom odzivanja iz drugega odstavka 12. člena tega zakona priglasijo vse incidente, ki imajo pomemben vpliv na zagotavljanje njihovih storitev. Pri tem se incident šteje za pomembnega (v nadaljnjem besedilu: pomemben incident), če:
2. Bistveni in pomembni subjekti pri vrednotenju pomembnosti incidenta upoštevajo prizadetost omrežnih in informacijskih sistemov zlasti njihov pomen pri zagotavljanju storitev subjekta resnost in tehnične značilnosti kibernetske grožnje in njenega vpliva na uporabnike ranljivosti ki se izkoriščajo in izkušnje subjekta s podobnimi incidenti. Pri priglašanju iz prejšnjega odstavka upoštevajo izvedbene akte Evropske komisije iz prvega pododstavka enajstega odstavka 23. člena Direktive 2022/2555/EU s katerimi ta podrobneje določi vrsto informacij obliko in postopek priglasitve ter prostovoljne priglasitve in obvestila.
5. Bistveni in pomembni subjekti pristojni skupini CSIRT sporočijo vse potrebne informacije, da ta ugotovi čezmejni vpliv pomembnega incidenta. V primeru pomembnega čezmejnega ali medsektorskega pomembnega incidenta se ustrezna informacija pravočasno sporoči enotni kontaktni točki v skladu s 30. členom tega zakona.
6. Bistveni in pomembni subjekti uporabnike svojih storitev nemudoma obvestijo o pomembnih incidentih iz prvega odstavka tega člena, ki bodo verjetno negativno vplivali na zagotavljanje teh storitev.
7. Bistveni in pomembni subjekti nemudoma uporabnikom svojih storitev, ki bi jih pomembna kibernetska grožnja lahko prizadela, sporočijo vse ukrepe ali sredstva, ki jih lahko ti uporabniki sprejmejo v odziv na to grožnjo. Zadevne uporabnike obvestijo tudi o zadevni pomembni kibernetski grožnji.
















Odgovorne osebe zagotavljajo, da vsi skrbniki informacijsko-komunikacijskih sistemov zavezanca opravijo redno letno usposabljanje, da pridobijo in ohranijo raven znanj in spretnosti ter so usposobljeni za prepoznavanje in ocenjevanje tveganj ter za oceno praks obvladovanja tveganj za informacijsko in kibernetsko varnost ter njihovega vpliva na storitve, ki jih opravlja subjekt.
















Za izvajanje ukrepov iz 21. in 22. člena tega zakona so odgovorni predstojniki subjektov javne uprave, in odgovorne osebe pravnih oseb, to so fizične osebe, ki vodijo, nadzorujejo ali upravljajo poslovanje pravne osebe oziroma so po zakonu, aktu o ustanovitvi ali pooblastilu pristojne in dolžne zagotoviti zakonito delovanje (v nadaljnjem besedilu: odgovorne osebe) bistvenih ali pomembnih subjektov.
















Odgovorne osebe iz prvega odstavka tega člena se najmanj vsaka štiri leta izobražujejo oziroma usposabljajo na področju obvladovanja tveganj informacijske in kibernetske varnosti ter njihovega vpliva na dejavnosti ali storitve, ki jih izvaja subjekt.




















Odgovorne osebe iz prejšnjega odstavka odobrijo ukrepe za obvladovanje tveganj iz 22. člena tega zakona, ki jih subjekt izvaja zaradi izpolnjevanja obveznosti, določenih s tem zakonom, in nadzirajo njihovo izvajanje.
























Odgovorne osebe zagotavljajo redno usposabljanje zaposlenih, da pridobijo dovolj znanj in spretnosti, s katerimi se usposobijo za prepoznavanje tveganj za informacijsko in kibernetsko varnost ter njihovega vpliva na storitve, ki jih opravlja subjekt. Pristojni nacionalni organ objavi na osrednjem spletnem mestu državne uprave priporočene vsebine rednega usposabljanja zaposlenih.












Varnostni ukrepi morajo temeljiti na pristopu upoštevanja vseh nevarnosti, katerega namen je zaščita omrežnih in informacijskih sistemov ter njihovega fizičnega okolja pred incidenti, in morajo obsegati najmanj: varnostne mehanizme v posamezni aplikativni programski opremi za izvajanje dejavnosti, vključno z varnostjo pri pridobivanju, razvoju in vzdrževanju omrežnih in informacijskih sistemov ter obravnavanjem in razkrivanjem ranljivosti.








































Varnostni ukrepi morajo temeljiti na pristopu upoštevanja vseh nevarnosti, katerega namen je zaščita omrežnih in informacijskih sistemov ter njihovega fizičnega okolja pred incidenti, in morajo obsegati najmanj: varnost dobavne verige z določitvijo ustreznih minimalnih zahtev, povezanih z informacijsko in kibernetsko varnostjo, za ključne dobavitelje ali ponudnike storitev, pri čemer se zahteve nanašajo na odnose med posameznim subjektom in njegovimi neposrednimi dobavitelji ali ponudniki storitev, in to v skladu s četrtim odstavkom tega člena.
































Explore our comprehensive resources and improve your security with the themes of this framework.
Discover specific ways our platform streamlines your ISO 27001 compliance process, from automated controls to audit preparation.
Explore use caseTake our comprehensive assessment to identify gaps in your current implementation and get personalized recommendations.
Start assessmentDive deeper with our articles, case studies, and expert insights on framework implementation.
Read articleGet a concise overview of all requirements, controls, and implementation steps in our quick guide.
Get the guideSee how the overlap and differences with any other framework to optimize your compliance strategy.
Compare frameworkParticipate in expert-led sessions covering implementation strategies, common pitfalls, and best practices for compliance.
Register for webinarParticipate in expert-led sessions covering implementation strategies, common pitfalls, and best practices for compliance.
Register for webinarUnderstand the basics of cyber security frameworks with our comprehensive guide.
Read the articleWhen building an ISMS, it's important to understand the different levels of information hierarchy. Here's how Cyberday is structured.
Sets the overall compliance standard or regulation your organization needs to follow.
Break down the framework into specific obligations that must be met.
Concrete actions and activities your team carries out to satisfy each requirement.
Documented rules and practices that are created and maintained as a result of completing tasks.
