Усогласеност со NIS2: од опфат до подготвеност за ревизија

Законот за безбедност на мрежни и информациски системи се применува од 1 јануари 2026 година. Ги опфаќа органите од јавниот сектор, освен одредени безбедносни и одбранбени органи, како и средните и големите субјекти во седум сектори: енергетика, транспорт, банкарство, финансиски пазар, здравство, дигитална инфраструктура и управување со ИКТ-услуги (B2B). Големината се утврдува според Законот за трговските друштва, а не според дефиницијата на ЕУ за мали и средни претпријатија. Некои даватели, како операторите на електронски комуникации и давателите на доверливи услуги и DNS-услуги, се опфатени без оглед на големината. Уште девет сектори, меѓу кои водоснабдувањето, храната и производството, се одложени до пристапувањето во ЕУ.

Суштински субјекти се, меѓу другите, големите субјекти во наведените сектори, институциите од јавниот сектор, операторите на критична инфраструктура, давателите на доверливи услуги и давателите на DNS-услуги. Тие мора да имаат офицер за сајбер безбедност и се под проактивен надзор, вклучително проверки на лице место и ревизии. Важни субјекти се главно средните субјекти во наведените сектори и подлежат само на накнаден надзор. И едните и другите мора да ги применуваат десетте мерки, најмалку еднаш годишно да прават проценка на ризиците и да известуваат за значајни инциденти.

За значаен инцидент или значајна сајбер закана го известувате надлежниот тим за одговор на компјутерски инциденти веднаш, а најдоцна во рок од три часа откако ќе дознаете. Следуваат рано предупредување во рок од 24 часа и известување за инцидентот во рок од 72 часа. Привремено известување се доставува на барање, а завршно известување еден месец по известувањето за инцидентот. Рокот од три часа е построг од роковите во европската директива, па внатрешната ескалација мора да биде брза. Што е „значаен“ инцидент утврдува методологијата на секој надлежен орган, а ние ги следиме методологиите како што се донесуваат.

Глобите за субјектите се одредуваат врз основа на вкупниот годишен приход од претходната деловна година, со повисоки максимални износи за суштинските отколку за важните субјекти. Ги изрекува суд во прекршочна постапка, а не MKD-CIRT или Министерството. Одговорните лица може да бидат казнети и лично, а на суштинскиот субјект судот, покрај глобата, му изрекува и привремена забрана за вршење дејност; забрана за вршење професија може да добие и одговорното лице.

Не. Ревизиите според законот ги вршат ревизори со лиценца од Министерството за дигитална трансформација или други институции што ги дозволува законот, а Diverto не е ниту едното ниту другото. Ние ве подготвуваме: ги затвораме празнините, ги средуваме доказите и сме со вас за време на ревизијата и на корективните активности што следуваат.