EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Cybersecurity of network and information systems (2022)
Kibernetska varnost omrežja in informacijskih sistemov (2022)
Kibernetska varnost omrežja in informacijskih sistemov (2022)
Direktiva (EU) 2022/2555 o ukrepih za visoko skupno raven kibernetske varnosti v EU
Direktiva, znana kot NIS2, določa skupni regulativni okvir kibernetske varnosti, katerega namen je povečati raven kibernetske varnosti v Evropski uniji (EU), od držav članic EU zahteva, da okrepijo zmogljivosti kibernetske varnosti ter uvedejo ukrepe za obvladovanje tveganja kibernetske varnosti in poročanje v kritičnih sektorjih, skupaj s pravili o sodelovanju, izmenjavi informacij, nadzoru in izvrševanju.
Kibernetska varnost pomeni dejavnosti, ki so potrebne za zaščito omrežij in informacijskih sistemov, njihovih uporabnikov in drugih oseb, ki jih prizadenejo kibernetske grožnje.
Kritični sektorji
Direktiva se uporablja predvsem za srednje velike in velike subjekte, ki delujejo v naslednjih zelo kritičnih sektorjih, kot so opredeljeni v Prilogi I:
Velja tudi za druge kritične sektorje, kot so opredeljeni v Prilogi II:
Nacionalna strategija kibernetske varnosti
Vsaka država članica mora sprejeti nacionalno strategijo za doseganje in vzdrževanje visoke ravni kibernetske varnosti v kritičnih sektorjih, vključno z:
Države članice morajo do 17 aprila 2025 oblikovati seznam bistvenih in pomembnih subjektov, skupaj s subjekti, ki zagotavljajo storitve registracije domenskih imen. Ta seznam morajo redno pregledovati in po potrebi posodabljati, nato pa vsaj vsaki 2 leti. Evropska komisija je sprejela smernice o informacijah, ki jih je treba zbrati pri sestavljanju teh seznamov, skupaj s predlogo za to.
Komisija je izdala tudi smernice, ki pojasnjujejo pravila o razmerju med Direktivo (EU) 2022/2555 ter trenutnimi in prihodnjimi sektorskimi pravnimi akti EU, ki obravnavajo ukrepe za obvladovanje tveganja kibernetske varnosti ali zahteve za poročanje o incidentih. Dodatek k smernicam vsebuje neizčrpen seznam sektorskih pravnih aktov, za katere Komisija meni, da spadajo na področje uporabe Direktive (EU) 2022/2555.
Skupine za odzivanje na incidente na področju računalniške varnosti
Skupine za odzivanje na incidente na področju računalniške varnosti (CSIRT) ponujajo tehnično pomoč subjektom, vključno s:
Mreža CSIRT
Direktiva vzpostavlja mrežo nacionalnih skupin CSIRT za spodbujanje hitrega in učinkovitega operativnega sodelovanja.
Usklajeno razkritje ranljivost
Države članice morajo:
Agencija Evropske unije za kibernetsko varnost (ENISA) bo razvila in vzdrževala bazo podatkov o ranljivostih.
Skupina za sodelovanje
Direktiva vzpostavlja skupino za sodelovanje za podporo in olajšanje strateškega sodelovanja in izmenjave informacij. Sestavljajo ga predstavniki držav članic, Komisije in ENISA. Po potrebi lahko skupina za sodelovanje k sodelovanju pri svojem delu povabi Evropski parlament in predstavnike ustreznih zainteresiranih strani.
Evropska mreža povezovalnih organizacij za kibernetske krize
Evropska povezovalna mreža organizacij za kibernetsko krizo (EU-CyCLONe) je mreža, ki jo sestavljajo predstavniki organov držav članic za upravljanje kibernetske krize skupaj s Komisijo v primerih, ko potencialni ali trajajoči obsežen kibernetski incident pomembno vpliva ali bo verjetno imel pomemben vpliv na sektorje, ki jih zajema direktiva. V drugih primerih bo Komisija pri dejavnostih mreže sodelovala kot opazovalka.
Mreža podpira usklajeno upravljanje obsežnih incidentov na področju kibernetske varnosti in kriz na operativni ravni ter zagotavlja redno izmenjavo informacij med državami članicami ter institucijami, organi in agencijami EU.
Mreža je med drugim zadolžena za:
Poročanje
Subjekti morajo obvestiti svojo skupino CSIRT ali ustrezni organ o vsakem incidentu, ki:
Poleg tega bo ENISA v sodelovanju s Komisijo in skupino za sodelovanje pripravila dvoletno poročilo o stanju kibernetske varnosti v EU, ki bo predloženo tudi Parlamentu.
Nadzor in izvrševanje
Direktiva določa pravna sredstva in sankcije za zagotavljanje izvrševanja.
Medsebojni strokovni pregledi
Medsebojni strokovni pregledi so vzpostavljeni z namenom učenja iz skupnih izkušenj, krepitve medsebojnega zaupanja, doseganja visoke skupne ravni kibernetske varnosti ter krepitve zmogljivosti in politik držav članic na področju kibernetske varnosti, potrebnih za izvajanje te direktive. Ti pregledi vključujejo fizične ali virtualne obiske na kraju samem in izmenjavo informacij izven kraja. Sodelovanje v teh strokovnih pregledih je prostovoljno.
Direktivo je treba v nacionalno zakonodajo prenesti do 17. oktobra 2024. Ta pravila se uporabljajo od 18. oktobra 2024.
Direktiva bo 18. oktobra 2024 razveljavila Direktivo (EU) 2016/1148 (glej povzetek).
Več informacij je na voljo na strani:
Direktiva (EU) 2022/2555 Evropskega parlamenta in Sveta z dne 14. decembra 2022 o ukrepih za visoko skupno raven kibernetske varnosti v Uniji, spremembi Uredbe (EU) št. 910/2014 in Direktive (EU) 2018/1972 ter razveljavitvi Direktive (EU) 2016/1148 (direktiva NIS 2) (UL L 333, 27.12.2022, str. 80–152).
Nadaljnje spremembe Direktive (EU) 2022/2555 so vključene v izvirno različico. Ta prečiščena različica ima samo dokumentarno vrednost.
Sporočilo Komisije – Smernice Komisije o uporabi člena 3(4) Direktive (EU) 2022/2555 (Direktiva NIS 2) 2023/C 324/02 (UL C 324, 14.9.2023, str. 2–7).
Sporočilo Komisije – Smernice Komisije o uporabi člena 4(1) in (2) Direktive (EU) 2022/2555 (Direktiva NIS 2) 2023/C 328/02 (UL C 328, 18.9.2023, str. 2–10).
Uredba (EU) 2022/2554 Evropskega parlamenta in Sveta z dne 14. decembra 2022 o digitalni operativni odpornosti za finančni sektor in spremembi uredb (ES) št. 1060/2009, (EU) št. 648/2012, (EU) št. 600/2014, (EU) št. 909/2014 in (EU) 2016/1011 (UL L 333, 27.12.2022, str. 1–79).
Direktiva (EU) 2022/2557 Evropskega parlamenta in Sveta z dne 14. decembra 2022 o odpornosti kritičnih subjektov in razveljavitvi Direktive Sveta 2008/114/ES (UL L 333, 27.12.2022, str. 164–198).
Uredba (EU) 2021/696 Evropskega parlamenta in Sveta z dne 28. aprila 2021 o vzpostavitvi Vesoljskega programa Unije in ustanovitvi Agencije Evropske unije za vesoljski program ter razveljavitvi uredb (EU) št. 912/2010, (EU) št. 1285/2013 in (EU) št. 377/2014 in Sklepa št. 541/2014/EU (UL L 170, 12.5.2021, str. 69–148).
Uredba (EU) 2021/694 Evropskega parlamenta in Sveta z dne 29. aprila 2021 o vzpostavitvi programa Digitalna Evropa in razveljavitvi Uredbe (EU) št. 2015/2240 (UL L 166, 11.5.2021, str. 1–34).
Glej prečiščeno različico.
Uredba (EU) 2019/881 Evropskega parlamenta in Sveta z dne 17. aprila 2019 o Agenciji Evropske unije za kibernetsko varnost (ENISA) in o certificiranju informacijske in komunikacijske tehnologije na področju kibernetske varnosti ter razveljavitvi Uredbe (EU) št. 526/2013 (Akt o kibernetski varnosti) (UL L 151, 7.6.2019, str. 15–69).
Priporočilo Komisije (EU) 2019/534 z dne 26. marca 2019 – Kibernetska varnost omrežij 5G (UL L 88, 29.3.2019, str. 42–47).
Uredba (EU) 2018/1139 Evropskega parlamenta in Sveta z dne 4. julija 2018 o skupnih pravilih na področju civilnega letalstva in ustanovitvi Agencije Evropske unije za varnost v letalstvu ter spremembi uredb (ES) št. 2111/2005, (ES) št. 1008/2008, (EU) št. 996/2010, (EU) št. 376/2014 ter direktiv 2014/30/EU in 2014/53/EU Evropskega parlamenta in Sveta ter razveljavitvi uredb (ES) št. 552/2004 in (ES) št. 216/2008 Evropskega parlamenta in Sveta ter Uredbe Sveta (EGS) št. 3922/91 (UL L 212, 22.8.2018, str. 1–122).
Glej prečiščeno različico.
Izvedbeni sklep Sveta (EU) 2018/1993 z dne 11. decembra 2018 o enotni ureditvi EU za politično odzivanje na krize (UL L 320, 17.12.2018, str. 28–34).
Direktiva (EU) 2018/1972 Evropskega parlamenta in Sveta z dne 11. decembra 2018 o Evropskem zakoniku o elektronskih komunikacijah (prenovitev) (UL L 321, 17.12.2018, str. 36–214).
Glej prečiščeno različico.
Priporočilo Komisije (EU) 2017/1584 z dne 13. septembra 2017 o usklajenem odzivu na velike kibernetske incidente in krize (UL L 239, 19.9.2017, str. 36–58).
Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, 4.5.2016, str. 1–88).
Glej prečiščeno različico.
Uredba (EU) št. 910/2014 Evropskega parlamenta in Sveta z dne 23. julija 2014 o elektronski identifikaciji in storitvah zaupanja za elektronske transakcije na notranjem trgu in o razveljavitvi Direktive 1999/93/ES (UL L 257, 28.8.2014, str. 73–114).
Direktiva 2013/40/EU Evropskega parlamenta in Sveta z dne 12. avgusta 2013 o napadih na informacijske sisteme in nadomestitvi Okvirnega sklepa Sveta 2005/222/PNZ (UL L 218, 14.8.2013, str. 8–14).
Sklep št. 1313/2013/EU Evropskega parlamenta in Sveta z dne 17. decembra 2013 o mehanizmu Unije na področju civilne zaščite (UL L 347, 20.12.2013, str. 924–947).
Glej prečiščeno različico.
Direktiva 2011/93/EU Evropskega parlamenta in Sveta z dne 13. decembra 2011 o boju proti spolni zlorabi in spolnemu izkoriščanju otrok ter otroški pornografiji in nadomestitvi Okvirnega sklepa Sveta 2004/68/PNZ (UL L 335, 17.12.2011, str. 1–14).
Glej prečiščeno različico.
Uredba (ES) št. 300/2008 Evropskega parlamenta in Sveta z dne 11. marca 2008 o skupnih pravilih na področju varovanja civilnega letalstva in o razveljavitvi Uredbe (ES) št. 2320/2002 (UL L 97, 9.4.2008, str. 72–84).
Glej prečiščeno različico.
Direktiva 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL L 201, 31.7.2002, str. 37–47).
Glej prečiščeno različico.
Zadnja posodobitev 03.05.2024