Zakon o informacionoj bezbednosti — vodič kroz obaveze vaše firme

Zakon o informacionoj bezbednosti je osnovni pravni okvir u Republici Srbiji kojim se uređuju mere zaštite od bezbednosnih rizika u informaciono-komunikacionim sistemima (IKT sistemima), nadležnosti državnih organa u ovoj oblasti i obaveze operatora IKT sistema — uključujući privredna društva, javna preduzeća i druge subjekte koji u svom poslovanju koriste informacione tehnologije za obavljanje delatnosti od značaja za javni interes.

Cilj zakona je da se uspostavi jedinstven sistem zaštite podataka, mreža i sistema od sve učestalijih sajber napada, kroz obavezu procene rizika, primenu tehničkih i organizacionih mera i redovnu obuku zaposlenih.

Šta zakon konkretno traži od firmi?

U zavisnosti od delatnosti i veličine sistema koji se koristi, Zakon o informacionoj bezbednosti od operatora IKT sistema, po pravilu, traži da:

• sprovede analizu rizika za svoje informaciono-komunikacione sisteme;
• donese i redovno ažurira Akt o bezbednosti IKT sistema (internu politiku/proceduru bezbednosti);
• primeni odgovarajuće tehničke i organizacione mere zaštite;
• prijavljuje bezbednosne incidente nadležnom telu (Nacionalnom CERT-u, odnosno posebnom CERT-u kao što je BDB-CERT);
• obuči zaposlene iz oblasti informacione bezbednosti.

IKT sistemi od posebnog značaja i Akt o bezbednosti

Zakon posebno izdvaja kategoriju IKT sistema od posebnog značaja — sisteme čiji bi ispad ili kompromitovanje moglo ozbiljno da naruši poslovanje, bezbednost ili javni interes (npr. u finansijskom sektoru, zdravstvu, energetici, telekomunikacijama, javnoj upravi i sličnim delatnostima). Za operatore ovih sistema obaveze su strože, a jedna od ključnih je donošenje Akta o bezbednosti IKT sistema od posebnog značaja — dokumenta koji se u praksi naziva i Akt o bezbednosti informaciono-komunikacionog sistema, a kojim se detaljno propisuju mere zaštite, odgovornosti i procedure postupanja u slučaju incidenta.

BDB tim izrađuje predlog ovog akta na osnovu upitnika i analize vašeg poslovanja, tako da bude usklađen sa zakonom i praktično primenjiv u svakodnevnom radu. Dokumentaciju pripremamo u skladu sa svetski priznatim standardima i najboljom praksom — pre svega NIST okvirom (National Institute of Standards and Technology) i ISO 27000 familijom standarda za upravljanje bezbednošću informacija.

Redovna resertifikacija i popust za višegodišnju saradnju

Analiza rizika i Akt o bezbednosti IKT sistema nisu jednokratni dokumenti. Zakon nalaže njihovu redovnu reviziju — na svakih 6 ili 12 meseci, u zavisnosti od toga da li vaša firma pripada važnoj ili prioritetnoj infrastrukturi. Usklađenost je, drugim rečima, kontinuiran proces, a ne jednokratna obaveza koja se „skine s liste" i zaboravi.

Zato klijentima koji unapred definišu višegodišnju saradnju kroz ugovor o redovnoj resertifikaciji odobravamo popust na celu uslugu:

• 15% popusta za ugovor o saradnji na period od 3 godine;
• 25% popusta za ugovor o saradnji na period od 5 godina.

Na taj način obezbeđujete kontinuitet usklađenosti bez potrebe da svake godine iznova pregovarate o uslovima, a mi vam zauzvrat garantujemo povoljniju cenu na duži rok.

Analiza rizika i gep (GAP) analiza — prvi korak

Pre izrade Akta o bezbednosti, sprovodi se analiza rizika — procena verovatnoće i uticaja mogućih bezbednosnih incidenata na konkretne procese, sisteme i podatke vaše firme. Uz nju, po potrebi radimo i gep analizu (GAP analizu) — poređenje trenutnog stanja bezbednosti sa zahtevima zakona i dobre prakse, kako bismo precizno utvrdili koje mere nedostaju ("gap") pre nego što krenemo u izradu dokumentacije. Ova dva koraka zajedno daju jasnu sliku prioriteta i osnov su za sve dalje aktivnosti usklađivanja.

Izmene i dopune Zakona o informacionoj bezbednosti — šta donosi novi zakon od 2027.

Narodna skupština je u oktobru 2025. godine usvojila nov Zakon o informacionoj bezbednosti (neformalno nazivan i „srpski NIS2"), koji stupa na snagu 1. januara 2027. godine i tada zamenjuje sadašnji zakon. Do tada ostaju na snazi obaveze opisane na ovoj strani.

Novi zakon dodatno usklađuje Srbiju sa evropskom NIS2 direktivom i, prema dosad objavljenim informacijama, donosi nekoliko važnih promena:

• umesto jedinstvene kategorije „IKT sistem od posebnog značaja", uvodi se podela na prioritetne i važne operatore IKT sistema, sa različitim nivoom obaveza;
• proširuje se krug obveznika na nove sektore — uključujući zdravstvo, prehrambenu i automobilsku industriju, upravljanje otpadom i druge delatnosti koje ranije nisu bile obuhvaćene;
• pojačava se inspekcijski nadzor i odgovornost za nepoštovanje obaveza.

BDB prati ove izmene i na vreme priprema klijente na nove obaveze, kako bi prelazak na novi zakonski okvir prošao bez iznenađenja. Klijentima po potrebi nudimo i godišnje ažuriranje dokumentacije, kako bi Akt o bezbednosti i prateća dokumentacija uvek bili usklađeni sa važećim propisima — i danas i posle 2027. godine.

Zaštita podataka i GDPR — gde se preklapaju sa informacionom bezbednošću

Zaštita podataka o ličnosti je u Srbiji uređena posebnim zakonom, koji je u velikoj meri usklađen sa evropskom GDPR regulativom, dok Zakon o informacionoj bezbednosti reguliše bezbednost IKT sistema u širem smislu. Iako su reč o dva različita pravna okvira, mere koje se primenjuju — kontrola pristupa, enkripcija, upravljanje incidentima, obuka zaposlenih — u praksi se u velikoj meri preklapaju. Zato analizu rizika i Akt o bezbednosti IKT sistema po pravilu radimo tako da uzmu u obzir i zahteve zaštite podataka o ličnosti (GDPR), kako biste jednim procesom pokrili oba pravna okvira.