Podliježe li samo poduzeće NIS2 direktivi ili nacionalnoj provedbi iste?

Sektor i veličina zajedno određuju ishod

Jesu li tvrtka podložna Zakonu o kibernetskoj sigurnosti ovisi o dvjema stvarima: sektoru u kojem je aktivna i njezinoj veličini. Zakon koristi popis sektora — uključujući energiju, prijevoz, pijaću vodu, digitalnu infrastrukturu, zdravstvenu zaštitu i broj industrijskih i digitalnih usluga — te u okviru tih sektora postoji podjela prema veličini: srednje velika ili veća, po pravilu se broji, s brojem zaposlenih i godišnjom zaradom ili ukupnom bilancom kao mjerilom. Ako tvrtka pada izvan određenih sektora, Zakon o kibernetskoj sigurnosti obično se ne primjenjuje, neovisno o veličini.

Postoje dva aspekta koja se često brkaju. Prvi je: pada li tvrtka izravno pod njega, kao takozvana bitna ili važna subjekta. Drugi je: je li indirektno pogođena jer kupac koji sam pada pod zakon postavlja zahtjeve kroz lanac. Ovo potonje može vrijediti i za tvrtke koje su premale ili se nalaze u neodređenom sektoru. Ovo pitanje bavi se prvim aspektom — izravnom obvezom — a odgovor na njega još nije definitivan dok se nije provjerio tekst i popratna lista sektora prema nazivu i brojevima vlastite tvrtke. Tko je već sigurno odgovorio na to pitanje — sa ili bez izravne obveze — ipak će se često susresti s istim pitanjima kada kupac pita, na primjer je li politika za analizu rizika i sigurnost informatičkih sustava ili je li autentifikacija s više čimbenika uspostavljena.

Gdje se to vidi: kriteriji sektora i veličine

Ova podjela proizlazi iz Zakona o kibernetskoj sigurnosti, hrvatske provedbe NIS2, koji stupa na snagu 15. kolovoza 2026. Sám zakon, s prilozima u kojima se nalaze sektori i pragovi veličine, je propisana源 da se vlastita tvrtka usporedi; taj tekst nalazi se na wetten.overheid.nl.