Mnoge firme i dalje planiraju usklađivanje prema Zakonu o informacionoj bezbednosti iz 2016. godine — dok je u međuvremenu, u oktobru 2025, usvojen sasvim nov zakon koji ga zamenjuje. Da bismo razjasnili šta se stvarno promenilo, hronologija je važna:
Bitno je razlikovati ova dva koraka: izmene iz 2017. i 2019. su bile dopuna postojećeg zakona, dok je zakon iz 2025. potpuno nov propis koji stari zakon zamenjuje.
| Oblast | Stari zakon (2016, sa izmenama) | Novi zakon (2025) |
|---|---|---|
| Kategorija obveznika | Jedinstvena kategorija — IKT sistem od posebnog značaja | Podela na prioritetne i važne operatore IKT sistema |
| Krug obveznika | Sektori iz Uredbe o listi delatnosti (energetika, saobraćaj, zdravstvo, bankarstvo, digitalna infrastruktura i dr.) | Širi krug — među važnim operatorima su i prehrambena industrija, proizvodnja motornih vozila, mašina, električne opreme, računara i medicinskih uređaja, naučnoistraživačke institucije; obuhvaćena su i fizička lica u svojstvu registrovanog subjekta |
| Procena rizika | Nema posebnog akta; analiza bezbednosti u cilju procene rizika jedna je od mera | Poseban Akt o proceni rizika (član 11), izrađen prema opštoj metodologiji (Pravilnik, „Sl. glasnik RS“, br. 63/2026), revizija najmanje jednom godišnje |
| Akt o bezbednosti IKT sistema | Obavezan (član 8) | Obavezan (član 12) i zasniva se na Aktu o proceni rizika |
| Provera usklađenosti | Najmanje jednom godišnje, samostalno ili uz spoljne eksperte | Isto — najmanje jednom godišnje, samostalno ili uz spoljne eksperte |
| Prijava incidenata | Postupak uređen Uredbom o postupku obaveštavanja o incidentima | Bez odlaganja, a najkasnije u roku od 24 sata (član 13); prijavljuju se i izbegnuti incidenti koji predstavljaju ozbiljnu pretnju |
| Institucije | Nadležni organ — Ministarstvo (uz inspektora za informacionu bezbednost); RATEL kao Nacionalni CERT | Od 1. januara 2027. radi Kancelarija za informacionu bezbednost, koja preuzima poslove Nacionalnog CERT-a; inspekcijski nadzor vrši inspektor za informacionu bezbednost |
| Kazne | 50.000–2.000.000 dinara za pravno lice; 5.000–50.000 za odgovorno lice | Prioritetni operatori: do 2.000.000 dinara za pravno lice; važni: do 1.000.000. Nove kazne i za fizička lica u svojstvu registrovanog subjekta; odgovorno lice i dalje 5.000–50.000 |
| Usklađenost sa EU | Prva NIS direktiva (kroz izmene iz 2019) | NIS2 direktiva EU |
Uprkos promenama, osnovna logika usklađivanja ostaje ista. I dalje su neophodni Akt o bezbednosti IKT sistema, sprovođenje tehničkih i organizacionih mera zaštite, obuka zaposlenih, provera usklađenosti najmanje jednom godišnje i prijava bezbednosnih incidenata. Nova je pre svega obaveza procene rizika kao posebnog akta. Firme koje su prethodne korake već sprovele imaju solidnu osnovu — novi zakon ne kreće od nule. Detaljno smo pisali o tome zašto je analiza i procena rizika i gep analiza prvi korak.
Ako do sada niste bili obveznik starog zakona, vredi proveriti da li vas širi krug delatnosti iz novog zakona sada obuhvata. Ako jeste bili, korisno je proveriti u koju od dve kategorije — prioritetne ili važne operatore — vaša firma spada, jer to utiče na sektorske zahteve i visinu kazni. Detaljnije o kaznama pisali smo u posebnom tekstu, a o rokovima u tekstu o novom zakonu i rokovima.
Ovaj tekst je informativnog karaktera i zasniva se na tekstu Zakona o informacionoj bezbednosti iz 2016. godine (prečišćen tekst, „Sl. glasnik RS“, br. 6/16, 94/17 i 77/19) i novog Zakona o informacionoj bezbednosti („Sl. glasnik RS“, br. 91/2025). Ne predstavlja pravni savet — za tačnu primenu na vašu firmu proverite zvaničan tekst zakona i prateće podzakonske akte, ili kontaktirajte naš tim.