Шта прописује закон, ко су ИКТ системи од посебног значаја и како се израђује Акт о безбедности.
Закон о информационој безбедности је основни правни оквир у Републици Србији којим се уређују мере заштите од безбедносних ризика у информационо-комуникационим системима (ИКТ системима), надлежности државних органа у овој области и обавезе оператора ИКТ система — укључујући привредна друштва, јавна предузећа и друге субјекте који у свом пословању користе информационе технологије за обављање делатности од значаја за јавни интерес.
Циљ закона је да се успостави јединствен систем заштите података, мрежа и система од све учесталијих сајбер напада, кроз обавезу процене ризика, примену техничких и организационих мера и редовну обуку запослених.
У зависности од делатности и величине система који се користи, Закон о информационој безбедности од оператора ИКТ система, по правилу, тражи да:
Закон посебно издваја категорију ИКТ система од посебног значаја — системе чији би испад или компромитовање могло озбиљно да наруши пословање, безбедност или јавни интерес. Нови закон их дели на приоритетне (нпр. енергетика, саобраћај, банкарство, здравство, дигитална инфраструктура) и важне (нпр. прехрамбена индустрија, производња моторних возила и машина, услуге информационог друштва). Оператор ИКТ система је правно лице, орган или физичко лице у својству регистрованог субјекта које ИКТ систем користи у оквиру своје делатности.
За операторе ИКТ система од посебног значаја обавезе су строже, а две кључне су доношење Акта о процени ризика и Акта о безбедности ИКТ система од посебног значаја — документа који се у пракси назива и Акт о безбедности информационо-комуникационог система, а којим се детаљно прописују мере заштите, одговорности и процедуре поступања у случају инцидента.
БДБ тим израђује предлог овог акта на основу упитника и анализе вашег пословања, тако да буде усклађен са законом и практично примењив у свакодневном раду. Документацију припремамо у складу са светски признатим стандардима и најбољом праксом — пре свега NIST оквиром (National Institute of Standards and Technology) и ISO 27000 фамилијом стандарда за управљање безбедношћу информација.
Анализа ризика и Акт о безбедности ИКТ система нису једнократни документи. Закон налаже њихову редовну ревизију — Акт о процени ризика ревидира се најмање једном годишње, а усклађеност примењених мера са Актом о безбедности проверава се најмање једном годишње (самостално или уз ангажовање спољних експерата). Усклађеност је, другим речима, континуиран процес, а не једнократна обавеза која се „скине с листе" и заборави.
Зато клијентима који унапред дефинишу вишегодишњу сарадњу кроз уговор о редовној ресертификацији одобравамо попуст на целу услугу:
На тај начин обезбеђујете континуитет усклађености без потребе да сваке године изнова преговарате о условима, а ми вам заузврат гарантујемо повољнију цену на дужи рок.
Пре израде Акта о безбедности, спроводи се анализа и процена ризика (Акт о процени ризика) — процена вероватноће и утицаја могућих безбедносних инцидената на конкретне процесе, системе и податке ваше фирме. Од јула 2026. постоји и званична општа методологија за ту процену (Правилник, „Сл. гласник РС“, бр. 63/2026). Уз њу, по потреби радимо и геп анализу (GAP анализу) — поређење тренутног стања безбедности са захтевима закона и добре праксе, како бисмо прецизно утврдили које мере недостају ("гап") пре него што кренемо у израду документације. Ова два корака заједно дају јасну слику приоритета и основ су за све даље активности усклађивања.
Народна скупштина је 22. октобра 2025. године усвојила нов Закон о информационој безбедности („Сл. гласник РС“, бр. 91/2025), неформално називан и „српски NIS2". Закон је на снази од 31. октобра 2025. и заменио је закон из 2016. Оператори имају рок од 18 месеци (до краја априла 2027) да донесу Акт о процени ризика и Акт о безбедности ИКТ система, а Канцеларија за информациону безбедност почиње да ради 1. јануара 2027. Детаљније о роковима пишемо у посебном тексту.
Нови закон додатно усклађује Србију са европском NIS2 директивом и доноси неколико важних промена:
БДБ прати ове измене и на време припрема клијенте на нове обавезе, како би прелазак на нови законски оквир прошао без изненађења. Клијентима по потреби нудимо и годишње ажурирање документације, како би Акт о безбедности и пратећа документација увек били усклађени са важећим прописима.
Заштита података о личности је у Србији уређена посебним законом, који је у великој мери усклађен са европском GDPR регулативом, док Закон о информационој безбедности регулише безбедност ИКТ система у ширем смислу. Иако су реч о два различита правна оквира, мере које се примењују — контрола приступа, енкрипција, управљање инцидентима, обука запослених — у пракси се у великој мери преклапају. Зато анализу ризика и Акт о безбедности ИКТ система по правилу радимо тако да узму у обзир и захтеве заштите података о личности (GDPR), како бисте једним процесом покрили оба правна оквира.
Садржај ове странице је информативног карактера и не представља правни савет нити замењује појединачну правну анализу. За тумачење закона и процену конкретних обавеза ваше фирме, контактирајте наш тим.