Podzakonski akti uz novi Zakon o informacionoj bezbednosti — šta je doneto, a šta se očekuje

Zakon o informacionoj bezbednosti Republike Srbije („Sl. glasnik RS“, br. 91/2025) na više mesta predviđa podzakonske akte koji treba da preciznije urede obaveze operatora — od kriterijuma koji određuju ko je operator prioritetnog ili važnog IKT sistema, do sadržaja Akta o bezbednosti IKT sistema. Prema članu 54 zakona, sva podzakonska akta donose se u roku od 12 meseci od stupanja zakona na snagu, odnosno do 31. oktobra 2026. godine.

Šta je već doneto: opšta metodologija za procenu rizika

Prvi podzakonski akt donet na osnovu novog zakona je Pravilnik o opštoj metodologiji za procenu rizika u informaciono-komunikacionim sistemima od posebnog značaja. Doneo ga je Savet RATEL-a (organ koji obavlja poslove Nacionalnog CERT-a) 24. juna 2026, objavljen je u „Sl. glasniku RS“, br. 63/2026 od 10. jula 2026, a stupio je na snagu osmog dana od objavljivanja. Osnov je član 11 stav 4 zakona.

Šta je važno znati o njemu:

• Akt o proceni rizika izrađuje se u skladu sa ovom metodologijom, a revidira se najmanje jednom godišnje i pri značajnim promenama pretnji, ranjivosti ili okruženja;
• metodologija se oslanja na međunarodne izvore — ITSRM metodologiju Evropske komisije, ENISA-in alat „Interoperable EU Risk Management Toolbox“, kao i standarde NIST SP 800-30 Rev.1 i ISO/IEC 27005:2022;
• proces ima šest koraka: definisanje opsega, identifikacija resursa, identifikacija pretnji, analiza rizika (uz matricu rizika i registar rizika), postupanje sa rizikom i praćenje rizika;
• prilog uz pravilnik je Katalog pretnji informacione bezbednosti sa šest grupa pretnji — prirodne, industrijske, greške i nenamerni propusti, namerni napadi (uključujući ransomver i socijalni inženjering), pretnje vezane za spoljne usluge (uključujući napade uz upotrebu veštačke inteligencije i bezbednost lanca snabdevanja) i insajderske pretnje;
• operatorima koji već imaju uspostavljenu procenu rizika metodologija služi kao referentni okvir za proveru usklađenosti, a ne kao obaveza da procenu rade iznova;
• donošenje Akta o proceni rizika i Akta o bezbednosti IKT sistema je odgovornost organa upravljanja operatora, a preporuka je da Akt o proceni rizika bude poverljiv dokument.

Šta se još očekuje

Prema podacima objavljenim na sajtu RATEL-a na dan 20. septembra 2026, pored metodologije nisu objavljeni drugi podzakonski akti doneti na osnovu novog zakona. Zakon predviđa, između ostalih:

Uz njih zakon predviđa i akte o sertifikaciji IKT sistema, skeniranju ranjivosti, kriptozaštiti i zaštiti dece na internetu. Najvažniji za većinu firmi je prvi u tabeli — kriterijumi o veličini i delatnosti koji konačno određuju da li je vaša firma operator IKT sistema od posebnog značaja. Operatori su dužni da Ministarstvu dostave podatke za evidenciju najkasnije 90 dana od donošenja akta o evidenciji.

Šta važi do donošenja novih akata

Član 57 zakona propisuje da se podzakonski akti doneti na osnovu zakona iz 2016. primenjuju do stupanja na snagu novih. To znači da i dalje važe, između ostalih:

• Uredba o bližem sadržaju akta o bezbednosti IKT sistema od posebnog značaja, načinu provere i sadržaju izveštaja o proveri („Sl. glasnik RS“, br. 94/2016);
• Uredba o bližem uređenju mera zaštite IKT sistema od posebnog značaja („Sl. glasnik RS“, br. 94/2016);
• Uredba o postupku obaveštavanja o incidentima u IKT sistemima od posebnog značaja („Sl. glasnik RS“, br. 11/2020);
• Uredba o utvrđivanju Liste delatnosti u oblastima u kojima se obavljaju delatnosti od opšteg interesa („Sl. glasnik RS“, br. 94/2019);
• Pravilnik o podacima koje sadrži evidencija operatora IKT sistema od posebnog značaja („Sl. glasnik RS“, br. 9/2020);
• Pravilnik o vrsti, formi i načinu dostavljanja statističkih podataka („Sl. glasnik RS“, br. 76/2020).

Gde pronaći tekst zakona i podzakonskih akata

• Tekst Zakona o informacionoj bezbednosti (Sl. glasnik RS 91/2025) i verzija u PDF formatu;
• RATEL — podzakonski akti iz oblasti informacione bezbednosti;
• Pravilnik o opštoj metodologiji za procenu rizika (PDF).

Šta to znači za vašu firmu

Ne treba čekati poslednji podzakonski akt da bi se počelo. Metodologija za procenu rizika je već objavljena, a Akt o proceni rizika je osnova na kojoj se gradi Akt o bezbednosti IKT sistema — dakle, upravo je procena rizika korak koji se može i treba započeti odmah. Rok za oba akta je 18 meseci od stupanja zakona na snagu, odnosno kraj aprila 2027. godine. O celoj vremenskoj liniji pišemo u tekstu o novom zakonu 2025. i rokovima.