Novi Zakon o informacionoj bezbednosti 2025: šta se menja i koji su rokovi

Narodna skupština Republike Srbije je 22. oktobra 2025. godine usvojila nov Zakon o informacionoj bezbednosti („Sl. glasnik RS“, br. 91/2025). Zakon je stupio na snagu 31. oktobra 2025. godine i zamenio je zakon iz 2016. godine — uz prelazne rokove koji firmama ostavljaju vreme da se usklade. Većina tih rokova ističe tokom 2026. i 2027. godine, pa je sada pravi trenutak da se zna šta tačno dolazi.

Rokovi koje treba znati

Detaljnije o tome koji su podzakonski akti već doneti, a koji se tek očekuju, pišemo u posebnom tekstu o podzakonskim aktima.

Zašto se zakon menja?

Novi zakon dodatno usklađuje Srbiju sa evropskom NIS2 direktivom — propisom Evropske unije koji podiže nivo zahteva za kibernetičku bezbednost širom Evrope. Cilj je stabilniji, predvidljiviji sistem zaštite u uslovima sve učestalijih sajber napada, i usklađenost domaćih pravila sa standardima koje već primenjuju zemlje EU.

Šta se konkretno menja?

• umesto jedinstvene kategorije „IKT sistem od posebnog značaja“, uvodi se podela na prioritetne i važne operatore IKT sistema — pisali smo o tome u posebnom tekstu;
• širi se krug obveznika — među važnim operatorima su, na primer, prehrambena industrija (veleprodaja i industrijska proizvodnja), proizvodnja motornih vozila, mašina, električne opreme, računara i elektronike, medicinskih uređaja i naučnoistraživačke institucije; zakon se odnosi i na fizička lica u svojstvu registrovanog subjekta;
• uvodi se poseban Akt o proceni rizika koji se izrađuje prema opštoj metodologiji za procenu rizika, uz Akt o bezbednosti IKT sistema koji se zasniva na njemu;
• o incidentu koji može značajno da naruši informacionu bezbednost obaveštava se bez odlaganja, a najkasnije u roku od 24 sata, a prijavljuju se i izbegnuti incidenti koji predstavljaju ozbiljnu pretnju;
• osniva se posebna Kancelarija za informacionu bezbednost;
• novčane kazne su diferencirane prema kategoriji operatora — o tome više u tekstu o kaznama za neusklađenost.

Šta ostaje isto?

Osnovna logika usklađivanja se ne menja: procena rizika, Akt o bezbednosti IKT sistema, mere zaštite (uključujući obuku zaposlenih), provera usklađenosti mera najmanje jednom godišnje — samostalno ili uz angažovanje spoljnih eksperata — i obaveštavanje o incidentima. Firme koje već imaju Akt o bezbednosti i sprovedenu analizu rizika imaju solidnu osnovu.

Kako se pripremiti na vreme?

• proverite u koju kategoriju vaša firma spada — kriterijumi (uključujući veličinu privrednih subjekata) biće preciznije utvrđeni podzakonskim aktom Vlade;
• sprovedite procenu rizika prema novoj metodologiji, jer se na njoj zasniva sve ostalo — ne čekajte kraj roka;
• uskladite ili izradite Akt o bezbednosti IKT sistema i sprovedite obuku zaposlenih.

BDB tim prati razvoj propisa i klijentima nudi godišnje ažuriranje dokumentacije, tako da prelazak na novi zakonski okvir prođe bez iznenađenja.