Mnoge firme i dalje planiraju usklađivanje prema Zakonu o informacionoj bezbednosti iz 2016. godine — dok je u međuvremenu, u oktobru 2025, usvojen sasvim nov zakon koji ga u celosti zamenjuje. Da bismo razjasnili šta se stvarno promenilo, hronologija je važna:
Bitno je razlikovati ova dva koraka: izmene iz 2019. su bile dopuna postojećeg zakona, dok je zakon iz 2025. potpuno nov propis koji stari zakon ukida i zamenjuje.
| Oblast | Stari zakon (2016, sa izmenama iz 2019) | Novi zakon (2025) |
|---|---|---|
| Kategorija obveznika | Jedinstvena kategorija — IKT sistem od posebnog značaja | Podela na prioritetne i važne operatore IKT sistema |
| Krug obveznika | Uži krug sektora — organi vlasti, energetika, saobraćaj, zdravstvo, bankarstvo i slično | Znatno širi krug — uključuje i prehrambenu i automobilsku industriju, upravljanje otpadom i druge delatnosti |
| Nadzorno telo | Nadzor u okviru postojećih državnih organa | Osniva se posebna Kancelarija za informacionu bezbednost (počinje sa radom 1.1.2027) |
| Usklađenost sa EU | Usklađen sa prvom NIS direktivom (kroz izmene iz 2019) | Usklađen sa NIS2 direktivom EU |
| Nadzor i revizije | Ređe i manje strukturirane provere | Pojačan inspekcijski nadzor i redovnije revizije usklađenosti |
| Kazne | Niže propisane novčane kazne | Precizniji i, prema dosadašnjim informacijama, stroži sistem kazni |
Uprkos svim promenama, osnovna logika usklađivanja se ne menja. I dalje su neophodni: analiza rizika, izrada Akta o bezbednosti IKT sistema, sprovođenje tehničkih i organizacionih mera zaštite, obuka zaposlenih i prijava bezbednosnih incidenata. Firme koje su ove korake već sprovele prema starom zakonu imaju solidnu osnovu — novi zakon ne kreće od nule, samo precizira kategorije, širi krug obveznika i pooštrava nadzor. Detaljno smo pisali o tome zašto je analiza rizika i gep analiza prvi korak, bez obzira na to koji zakon je na snazi.
Ako do sada niste bili obveznik starog zakona, vredi proveriti da li vas širi krug delatnosti iz novog zakona sada obuhvata. Ako jeste bili, korisno je unapred proveriti u koju od dve nove kategorije — prioritetne ili važne operatore — vaša firma spada, jer to direktno određuje obim obaveza. Detaljnije o novčanim kaznama za neusklađenost pisali smo u posebnom tekstu.
Ovaj tekst je informativnog karaktera i zasniva se na javno dostupnim podacima o Zakonu o informacionoj bezbednosti iz 2016. godine (sa izmenama i dopunama iz 2019) i novom Zakonu o informacionoj bezbednosti ("Sl. glasnik RS", br. 91/2025). Ne predstavlja pravni savet — za tačnu primenu na vašu firmu proverite zvaničan tekst zakona i prateće podzakonske akte, ili kontaktirajte naš tim.