Подзаконски акти уз нови Закон о информационој безбедности — шта је донето, а шта се очекује

Закон о информационој безбедности Републике Србије („Сл. гласник РС“, бр. 91/2025) на више места предвиђа подзаконске акте који треба да прецизније уреде обавезе оператора — од критеријума који одређују ко је оператор приоритетног или важног ИКТ система, до садржаја Акта о безбедности ИКТ система. Према члану 54 закона, сва подзаконска акта доносе се у року од 12 месеци од ступања закона на снагу, односно до 31. октобра 2026. године.

Шта је већ донето: општа методологија за процену ризика

Први подзаконски акт донет на основу новог закона је Правилник о општој методологији за процену ризика у информационо-комуникационим системима од посебног значаја. Донео га је Савет РАТЕЛ-а (орган који обавља послове Националног ЦЕРТ-а) 24. јуна 2026, објављен је у „Сл. гласнику РС“, бр. 63/2026 од 10. јула 2026, а ступио је на снагу осмог дана од објављивања. Основ је члан 11 став 4 закона.

Шта је важно знати о њему:

• Акт о процени ризика израђује се у складу са овом методологијом, а ревидира се најмање једном годишње и при значајним променама претњи, рањивости или окружења;
• методологија се ослања на међународне изворе — ITSRM методологију Европске комисије, ENISA-ин алат „Interoperable EU Risk Management Toolbox“, као и стандарде NIST SP 800-30 Rev.1 и ISO/IEC 27005:2022;
• процес има шест корака: дефинисање опсега, идентификација ресурса, идентификација претњи, анализа ризика (уз матрицу ризика и регистар ризика), поступање са ризиком и праћење ризика;
• прилог уз правилник је Каталог претњи информационе безбедности са шест група претњи — природне, индустријске, грешке и ненамерни пропусти, намерни напади (укључујући рансомвер и социјални инжењеринг), претње везане за спољне услуге (укључујући нападе уз употребу вештачке интелигенције и безбедност ланца снабдевања) и инсајдерске претње;
• операторима који већ имају успостављену процену ризика методологија служи као референтни оквир за проверу усклађености, а не као обавеза да процену раде изнова;
• доношење Акта о процени ризика и Акта о безбедности ИКТ система је одговорност органа управљања оператора, а препорука је да Акт о процени ризика буде поверљив документ.

Шта се још очекује

Према подацима објављеним на сајту РАТЕЛ-а на дан 20. септембра 2026, поред методологије нису објављени други подзаконски акти донети на основу новог закона. Закон предвиђа, између осталих:

Уз њих закон предвиђа и акте о сертификацији ИКТ система, скенирању рањивости, криптозаштити и заштити деце на интернету. Најважнији за већину фирми је први у табели — критеријуми о величини и делатности који коначно одређују да ли је ваша фирма оператор ИКТ система од посебног значаја. Оператори су дужни да Министарству доставе податке за евиденцију најкасније 90 дана од доношења акта о евиденцији.

Шта важи до доношења нових аката

Члан 57 закона прописује да се подзаконски акти донети на основу закона из 2016. примењују до ступања на снагу нових. То значи да и даље важе, између осталих:

• Уредба о ближем садржају акта о безбедности ИКТ система од посебног значаја, начину провере и садржају извештаја о провери („Сл. гласник РС“, бр. 94/2016);
• Уредба о ближем уређењу мера заштите ИКТ система од посебног значаја („Сл. гласник РС“, бр. 94/2016);
• Уредба о поступку обавештавања о инцидентима у ИКТ системима од посебног значаја („Сл. гласник РС“, бр. 11/2020);
• Уредба о утврђивању Листе делатности у областима у којима се обављају делатности од општег интереса („Сл. гласник РС“, бр. 94/2019);
• Правилник о подацима које садржи евиденција оператора ИКТ система од посебног значаја („Сл. гласник РС“, бр. 9/2020);
• Правилник о врсти, форми и начину достављања статистичких података („Сл. гласник РС“, бр. 76/2020).

Где пронаћи текст закона и подзаконских аката

• Текст Закона о информационој безбедности (Сл. гласник РС 91/2025) и верзија у PDF формату;
• РАТЕЛ — подзаконски акти из области информационе безбедности;
• Правилник о општој методологији за процену ризика (PDF).

Шта то значи за вашу фирму

Не треба чекати последњи подзаконски акт да би се почело. Методологија за процену ризика је већ објављена, а Акт о процени ризика је основа на којој се гради Акт о безбедности ИКТ система — дакле, управо је процена ризика корак који се може и треба започети одмах. Рок за оба акта је 18 месеци од ступања закона на снагу, односно крај априла 2027. године. О целој временској линији пишемо у тексту о новом закону 2025. и роковима.