Zakon o informacionoj bezbednosti — vodič kroz obaveze vaše firme

Zakon o informacionoj bezbednosti je osnovni pravni okvir u Republici Srbiji kojim se uređuju mere zaštite od bezbednosnih rizika u informaciono-komunikacionim sistemima (IKT sistemima), nadležnosti državnih organa u ovoj oblasti i obaveze operatora IKT sistema — uključujući privredna društva, javna preduzeća i druge subjekte koji u svom poslovanju koriste informacione tehnologije za obavljanje delatnosti od značaja za javni interes.

Cilj zakona je da se uspostavi jedinstven sistem zaštite podataka, mreža i sistema od sve učestalijih sajber napada, kroz obavezu procene rizika, primenu tehničkih i organizacionih mera i redovnu obuku zaposlenih.

Šta zakon konkretno traži od firmi?

U zavisnosti od delatnosti i veličine sistema koji se koristi, Zakon o informacionoj bezbednosti od operatora IKT sistema, po pravilu, traži da:

• upiše se u evidenciju IKT sistema od posebnog značaja;
• izvrši procenu rizika i donese Akt o proceni rizika za svoje informaciono-komunikacione sisteme;
• donese i redovno ažurira Akt o bezbednosti IKT sistema (internu politiku/proceduru bezbednosti);
• primeni odgovarajuće tehničke i organizacione mere zaštite, uključujući obuku zaposlenih iz oblasti informacione bezbednosti;
• najmanje jednom godišnje proveri usklađenost primenjenih mera — samostalno ili uz angažovanje spoljnih eksperata;
• o incidentu koji značajno narušava bezbednost sistema obavesti bez odlaganja, a najkasnije u roku od 24 sata.

IKT sistem od posebnog značaja, operator IKT sistema i Akt o bezbednosti

Zakon posebno izdvaja kategoriju IKT sistema od posebnog značaja — sisteme čiji bi ispad ili kompromitovanje moglo ozbiljno da naruši poslovanje, bezbednost ili javni interes. Novi zakon ih deli na prioritetne (npr. energetika, saobraćaj, bankarstvo, zdravstvo, digitalna infrastruktura) i važne (npr. prehrambena industrija, proizvodnja motornih vozila i mašina, usluge informacionog društva). Operator IKT sistema je pravno lice, organ ili fizičko lice u svojstvu registrovanog subjekta koje IKT sistem koristi u okviru svoje delatnosti.

Za operatore IKT sistema od posebnog značaja obaveze su strože, a dve ključne su donošenje Akta o proceni rizika i Akta o bezbednosti IKT sistema od posebnog značaja — dokumenta koji se u praksi naziva i Akt o bezbednosti informaciono-komunikacionog sistema, a ponekad, neformalno, i Pravilnik o informacionoj bezbednosti ili Pravilnik o bezbednosti IKT sistema — iako zakon koristi isključivo termin „Akt". Njime se detaljno propisuju mere zaštite, odgovornosti i procedure postupanja u slučaju incidenta.

BDB tim izrađuje predlog ovog akta na osnovu upitnika i analize vašeg poslovanja, tako da bude usklađen sa zakonom i praktično primenjiv u svakodnevnom radu. Dokumentaciju pripremamo u skladu sa svetski priznatim standardima i najboljom praksom — pre svega NIST okvirom (National Institute of Standards and Technology) i ISO 27000 familijom standarda za upravljanje bezbednošću informacija.

Redovna resertifikacija i popust za višegodišnju saradnju

Analiza rizika i Akt o bezbednosti IKT sistema nisu jednokratni dokumenti. Zakon nalaže njihovu redovnu reviziju — Akt o proceni rizika revidira se najmanje jednom godišnje, a usklađenost primenjenih mera sa Aktom o bezbednosti proverava se najmanje jednom godišnje (samostalno ili uz angažovanje spoljnih eksperata). Usklađenost je, drugim rečima, kontinuiran proces, a ne jednokratna obaveza koja se „skine s liste" i zaboravi.

Zato klijentima koji unapred definišu višegodišnju saradnju kroz ugovor o redovnoj resertifikaciji odobravamo popust na celu uslugu:

• 15% popusta za ugovor o saradnji na period od 3 godine;
• 25% popusta za ugovor o saradnji na period od 5 godina.

Na taj način obezbeđujete kontinuitet usklađenosti bez potrebe da svake godine iznova pregovarate o uslovima, a mi vam zauzvrat garantujemo povoljniju cenu na duži rok.

Analiza i procena rizika i gep (GAP) analiza — prvi korak

Pre izrade Akta o bezbednosti, sprovodi se analiza i procena rizika (Akt o proceni rizika) — procena verovatnoće i uticaja mogućih bezbednosnih incidenata na konkretne procese, sisteme i podatke vaše firme. Od jula 2026. postoji i zvanična opšta metodologija za tu procenu (Pravilnik, „Sl. glasnik RS“, br. 63/2026). Uz nju, po potrebi radimo i gep analizu (GAP analizu) — poređenje trenutnog stanja bezbednosti sa zahtevima zakona i dobre prakse, kako bismo precizno utvrdili koje mere nedostaju ("gap") pre nego što krenemo u izradu dokumentacije. Ova dva koraka zajedno daju jasnu sliku prioriteta i osnov su za sve dalje aktivnosti usklađivanja.

Novi Zakon o informacionoj bezbednosti 2025 — izmene u odnosu na zakon iz 2016. i rokovi

Narodna skupština je 22. oktobra 2025. godine usvojila nov Zakon o informacionoj bezbednosti („Sl. glasnik RS“, br. 91/2025), neformalno nazivan i „srpski NIS2". Zakon je na snazi od 31. oktobra 2025. i zamenio je zakon iz 2016. Operatori imaju rok od 18 meseci (do kraja aprila 2027) da donesu Akt o proceni rizika i Akt o bezbednosti IKT sistema, a Kancelarija za informacionu bezbednost počinje da radi 1. januara 2027. Detaljnije o rokovima pišemo u posebnom tekstu.

Novi zakon dodatno usklađuje Srbiju sa evropskom NIS2 direktivom i donosi nekoliko važnih promena:

• umesto jedinstvene kategorije „IKT sistem od posebnog značaja", uvodi se podela na prioritetne i važne operatore IKT sistema, sa diferenciranim kaznama;
• proširuje se krug obveznika — među važnim operatorima su, na primer, prehrambena industrija, proizvodnja motornih vozila, mašina, električne opreme, računara i medicinskih uređaja i naučnoistraživačke institucije;
• uvodi se poseban Akt o proceni rizika izrađen prema opštoj metodologiji, a o incidentima se obaveštava u roku od 24 sata.

BDB prati ove izmene i na vreme priprema klijente na nove obaveze, kako bi prelazak na novi zakonski okvir prošao bez iznenađenja. Klijentima po potrebi nudimo i godišnje ažuriranje dokumentacije, kako bi Akt o bezbednosti i prateća dokumentacija uvek bili usklađeni sa važećim propisima.

Zaštita podataka i GDPR — gde se preklapaju sa informacionom bezbednošću

Zaštita podataka o ličnosti je u Srbiji uređena posebnim zakonom, koji je u velikoj meri usklađen sa evropskom GDPR regulativom, dok Zakon o informacionoj bezbednosti reguliše bezbednost IKT sistema u širem smislu. Iako su reč o dva različita pravna okvira, mere koje se primenjuju — kontrola pristupa, enkripcija, upravljanje incidentima, obuka zaposlenih — u praksi se u velikoj meri preklapaju. Zato analizu rizika i Akt o bezbednosti IKT sistema po pravilu radimo tako da uzmu u obzir i zahteve zaštite podataka o ličnosti (GDPR), kako biste jednim procesom pokrili oba pravna okvira.