NIS2 во Македонија: водич низ законот за сајбер безбедност

Што е законот и каква е врската со NIS2

Законот за безбедност на мрежни и информациски системи („Службен весник на РСМ“ бр. 135/2025) е основниот закон за сајбер безбедност во Северна Македонија. Нема официјален наслов на англиски јазик; најчесто се преведува како „Law on Security of Network and Information Systems“.

Законот наведува дека е усогласен со Директивата (ЕУ) 2022/2555, позната како NIS2. Северна Македонија не е членка на ЕУ, па директивата не важи директно, а рокот за транспонирање од 17 октомври 2024 година не ја обврзувал државата. Моделот е сепак ист: суштински и важни субјекти, мерки за управување со ризици, строги рокови за известување и надзор.

Усогласен не значи идентичен: опфатот, надлежните органи, првиот рок за известување и основата за глобите се различни.

Клучни датуми и подзаконски акти

• 27.06.2025: Собранието го донесува законот.
• 04.07.2025: законот е објавен во „Службен весник на РСМ“ бр. 135/2025 и влегува во сила осмиот ден од денот на објавувањето.
• Рокови: подзаконските акти во рок од шест месеци од влегувањето во сила; листите на субјекти што ги утврдува Владата и почетокот на MKD-GOV-CSIRT во рок од дванаесет месеци.
• 01.01.2026: почеток на примената на законот (член 62).
• Јуни 2026: објавени се главните подзаконски акти (табелата подолу).
• Во тек: правилникот на АЕК за мерките во приватниот сектор и праговите за значајни инциденти беа на јавна расправа од 15 до 30 јули 2026 година; донесувањето не е потврдено.

Кого опфаќа законот

Законот опфаќа јавен сектор, средни и големи субјекти во 16 области и одредени субјекти без оглед на нивната големина.

Дали сте среден или голем субјект се утврдува според класификацијата во Законот за трговските друштва (број на вработени, годишен приход и вкупни средства), а не според дефиницијата на ЕУ за мали и средни претпријатија.

Странските даватели без седиште во Северна Македонија, на пример за облак, податочни центри, управувани или управувани безбедносни услуги, како и оние што даваат услуги на суштински и важни субјекти, мора да регистрираат локален претставник во МДТ.

• Јавен сектор (суштински субјекти): Собранието, независните и регулаторните тела, Владата, министерствата, органите на државната управа, судовите, општините и Градот Скопје.
• Области 1–7, се применуваат сега: енергетика, транспорт, банкарство, финансиски пазар, здравство, дигитална инфраструктура и управување со ИКТ-услуги (B2B).
• Области 8–16, се применуваат од денот на пристапувањето во ЕУ: вода за пиење, отпадни води, поштенски и курирски услуги, управување со отпад, хемикалии, храна, производство, даватели на дигитални услуги и истражување.
• Без оглед на големината: јавни електронски комуникации, доверливи услуги, регистарот на .mk и .мкд, DNS услуги, регистрари на домени, единствен давател на суштинска услуга, оператори на критична инфраструктура и други субјекти наведени во законот.

Суштински и важни субјекти

Категоријата влијае врз надзорот, офицерот за сајбер безбедност и глобата. Владата ги објави листите во јуни 2026 година (бр. 140/2026). Ако ги исполнувате условите, а не сте на листата, должни сте сами да го известите надлежниот орган. Опфатените субјекти се регистрираат на единствениот портал за сајбер безбедност.

Кој не е опфатен

Изземени се Министерството за внатрешни работи, Агенцијата за национална безбедност, Оперативно-техничката агенција, Дирекцијата за безбедност на класифицирани информации, Агенцијата за разузнавање, Министерството за одбрана и Јавното обвинителство. Законот не се применува на Народната банка.

Областите од 8 до 16 се одложени до пристапувањето во ЕУ. Сепак, вашите клиенти што се опфатени може веќе да ги бараат истите мерки од вас преку договорите, бидејќи безбедноста на ланецот на снабдување е нивна обврска.

Надлежни органи: МДТ, MKD-GOV-CSIRT и АЕК преку MKD-CIRT

Министерството за дигитална трансформација (МДТ) е надлежен орган за Владата, министерствата, органите на државната управа и општините, вклучувајќи го и Градот Скопје. МДТ е единствена точка за контакт, го води единствениот портал за сајбер безбедност преку кој субјектите се регистрираат и известуваат, а во него е сместен MKD-GOV-CSIRT.

Агенцијата за електронски комуникации (АЕК), преку MKD-CIRT, е надлежен орган и тим за одговор на компјутерски инциденти за Собранието, независните и регулаторните тела, судовите и за сите опфатени субјекти од приватниот сектор. MKD-CIRT веќе работеше во АЕК според Законот за електронските комуникации; овој закон ја потврдува неговата улога.

Посебни закони можат да определат други надлежни органи и тимови, а законот предвидува и Национален координатор и Тим за координација при инциденти со голем опфат.

Десетте мерки за управување со ризици

Членот 32 бара технички, оперативни и организациски мерки што се сразмерни на ризикот и ги следат современите достигнувања. Ако мерките не се доволни, корективните активности се преземаат веднаш, а најдоцна во рок од 30 дена.

До датумот на ажурирање не е потврдено дека е донесен правилникот на АЕК со поблиските барања за приватниот сектор, па основа се мерките од самиот закон. Минимумот од член 32 став 3, по угледот на член 21(2)(a)–(j) од NIS2, е:

• анализа на ризикот и безбедност на информациските системи
• справување со инциденти
• континуитет на работењето: резервни копии, закрепнување по катастрофален испад и кризен менаџмент
• безбедност на ланецот на снабдување, вклучително и односите со директните добавувачи
• безбедност при набавка, развој и одржување на системите, вклучително справување со ранливости и нивно откривање
• проценка на ефикасноста на мерките
• основни практики на сајбер хигиена и обуки за сајбер безбедност
• криптографија и шифрирање
• безбедност на човечките ресурси, контрола на пристап и управување со средствата
• повеќефакторска или континуирана автентификација, заштитени комуникации и безбедни комуникации во итни случаи

Раководство, годишна проценка на ризиците и офицер за сајбер безбедност

Органите на управување мора најмалку еднаш годишно да направат проценка на ризиците, да ги ажурираат мерките и да го надгледуваат нивното спроведување. Тие мора да обезбедат и редовни обуки за раководството и за вработените.

Институциите од јавниот сектор и суштинските субјекти мора да имаат офицер за сајбер безбедност, кој одговара пред раководството и работи независно. Компетенциите на офицерот во институциите од јавниот сектор се уредени со правилник (бр. 139/2026), а критериумите за големина со друг (бр. 128/2026).

Доказите што треба да ги имате: годишна проценка на ризиците одобрена од раководството, именуван офицер со јасен мандат, записници за надзорот и евиденција за обуките.

Известување за инциденти: до кого и за што

Значајните сајбер безбедносни инциденти и значајните сајбер закани што влијаат врз вашите услуги ги пријавувате до надлежниот тим за одговор (MKD-CIRT или MKD-GOV-CSIRT) преку единствениот портал.

Што е „значајно“ утврдува секој надлежен орган со своја методологија. МДТ ја објавува својата методологија на својата веб-страница, а постапката за известување за Владата и општините е уредена со правилник (бр. 141/2026). АЕК на 15 јули 2026 донесе правилник за пријавување до MKD-CIRT, а неговите прагови за приватниот сектор беа сè уште нацрт на датумот на ажурирање.

Давателите на доверливи услуги известуваат во рок од 24 часа. Доколку е можно, корисниците на вашите услуги на кои може да влијае сериозна сајбер закана ги известувате најдоцна наредниот работен ден за мерките или правните средства што можат да ги преземат. Ако се засегнати лични податоци, важи и обврската за известување според Законот за заштита на личните податоци.

Ланец на снабдување и јавни набавки

Безбедноста на ланецот на снабдување е една од десетте мерки. МДТ е должно да бара суштинските и важните субјекти да користат сертифицирани ИКТ-производи и услуги, а со правилник на министерот се утврдува за кои производи и субјекти. МДТ води и регистар на ИКТ-производи, услуги и производители со висок ризик, кои се исклучени од јавните набавки.

Практично: водете попис на ИКТ-добавувачите, внесете безбедносни барања во договорите и проверувајте ги новите набавки во однос на регистарот.

Надзор и ревизии

Суштинските субјекти се под проактивен надзор, вклучително проверки на лице место и ревизии. Над важните субјекти се врши само накнаден надзор (ex post).

Ревизиите ги вршат независни ревизори за сајбер безбедност со лиценца од МДТ или други институции што ги дозволува законот. Diverto не е лиценциран ревизор и не издава сертификати. Ние ве подготвуваме: ги наоѓаме празнините, ги воведуваме контролите и ги собираме доказите.

Казни

Глобите ги изрекува надлежен суд во прекршочна постапка, а не MKD-CIRT или МДТ. Нема фиксен максимум во евра, а основа е вкупниот годишен приход, не светскиот промет (членови 54–57).

• Суштински субјекти од областите: до 2% од вкупниот годишен приход во претходната деловна година.
• Важни субјекти: до 1,4% од вкупниот годишен приход во претходната деловна година.
• Други прекршоци од законот: до 10.000 евра.
• Одговорното лице во субјектот: до 5.000 евра; раководното лице на институција од јавниот сектор: 5.000 евра.
• Забрани: за суштински субјект, забрана за вршење дејност од три месеци до две години; за неговото одговорно лице, забрана за вршење професија, дејност или должност од три месеци до една година.

Споредба со NIS2 на ЕУ

Кај подружниците на групи од ЕУ најчести празнини се рокот од три часа, локалниот портал, локалните органи и тестот за големина.

Практична листа за првите 90 дена

Ова е работен план, а не законски рок: законот веќе се применува.

• Денови 1–15: потврдете го опфатот и проверете ги листите на Владата; ако треба, известете го надлежниот орган. Регистрирајте се на порталот; странските даватели регистрираат претставник.
• Денови 15–30: запознајте го раководството со неговите обврски, определете офицер каде што е задолжително и напишете постапка за прво известување во рок од три часа, со контакти и ескалација надвор од работното време.
• Денови 30–60: проценка на ризиците и анализа на празнините во однос на десетте мерки. Брзи подобрувања: повеќефакторска автентификација, тестирани резервни копии, привилегиран пристап и логирање.
• Денови 30–60: попишете ги ИКТ-добавувачите, проверете ги безбедносните одредби во договорите и набавките во однос на регистарот со висок ризик.
• Денови 60–90: претворете ги празнините во план со одговорни лица, буџет и рокови, одобрен од раководството.
• Денови 60–90: обучете ги раководството и вработените, спроведете вежба за инцидент што го проверува рокот од три часа и архивирајте ги доказите.
• Постојано: следете ги правилникот и праговите на АЕК.

Известување за значаен инцидент (член 33)

Како помагаме

Често поставувани прашања

Извори

1. Закон за безбедност на мрежни и информациски системи, „Службен весник на РСМ“ бр. 135/2025 (PDF)
2. Министерство за дигитална трансформација: документи за сајбер безбедност
3. Директива (ЕУ) 2022/2555 (NIS2) на EUR-Lex