NIS2 direktiva: da li se tiče firmi u Srbiji

NIS2 je direktiva Evropske unije (2022/2555) i ne primenjuje se direktno na firme u Srbiji, jer Srbija nije članica EU. Ipak vas se tiče na dva načina: Srbija ima novi Zakon o informacionoj bezbednosti (Službeni glasnik RS, br. 91/2025) koji prati NIS2, a firme koje rade za klijente iz EU dobijaju bezbednosne zahteve kroz ugovore.

NIS2 je usvojena 14. decembra 2022, a države članice su imale rok do 17. oktobra 2024. da je prenesu u svoje zakone. Obaveze po pravilu imaju srednje i velike firme iz sektora navedenih u direktivi, koje posluju u EU.

Srpski zakon je stupio na snagu 31. oktobra 2025. Deo obaveza zavisi od podzakonskih akata, pa mnoge firme još ne znaju da li su obuhvaćene. U nastavku je šta piše u zakonu, šta još čeka i šta firma može da uradi već sada.

Ovo nije pravni savet. Da li je vaša firma operator IKT sistema od posebnog značaja procenite sa pravnikom. Mi pomažemo u tehničkom delu: popisu sistema, merama zaštite i dokumentaciji.

UslugaIT podrška za firme

NIS2 i srpski zakon ukratko

01NIS2

Direktiva EU 2022/2555. Odnosi se na srednje i velike firme iz sektora u njenim aneksima koje pružaju usluge ili posluju u EU.

02Srpski zakon

Zakon o informacionoj bezbednosti, Službeni glasnik RS, br. 91/2025. Deli IKT sisteme od posebnog značaja na prioritetne i važne.

03Lanac snabdevanja

I NIS2 i srpski zakon traže da firma uredi bezbednost sa onima kojima poverava poslove vezane za svoje IKT sisteme.

Ko je obuhvaćen novim Zakonom o informacionoj bezbednosti

Zakon razlikuje operatore prioritetnih i operatore važnih IKT sistema (članovi 5 i 6). Prioritetni su, između ostalih, firme iz energetike i rudarstva, saobraćaja, bankarstva i finansijskih tržišta, zdravstva, snabdevanja vodom, digitalne infrastrukture i elektronskih komunikacija, kao i pružaoci upravljanih IT usluga tim operatorima.

Među važnim operatorima su poštanske usluge, upravljanje otpadom, hemikalije, proizvodnja i prerada hrane u veleprodaji i industriji, proizvodnja računara, elektronike, električne opreme, mašina, vozila i medicinskih uređaja, naučnoistraživačke institucije i usluge informacionog društva u smislu zakona o elektronskoj trgovini.

Spisak delatnosti nije cela priča. Uslove i kriterijume za određivanje operatora, uključujući veličinu firme, propisuje Vlada podzakonskim aktom (član 6). Prema pregledu advokatske kancelarije BDB od 20. septembra 2026, taj akt do tada nije bio objavljen, pa proverite Službeni glasnik pre nego što zaključite da vas se ne tiče.

Kada akt o evidenciji bude donet, obuhvaćene firme imaju 90 dana da podnesu podatke za upis u evidenciju (član 9). Akt o proceni rizika i akt o bezbednosti IKT sistema treba da donesu u roku od 18 meseci od stupanja zakona na snagu (član 55), dakle do kraja aprila 2027.

KontaktPitajte nas za tehnički deo

VodičIT podrška za firme

Zašto se NIS2 tiče firmi koje rade za klijente iz EU

NIS2 obavezuje firme u EU da u mere zaštite uključe bezbednost lanca snabdevanja, uključujući odnose sa direktnim dobavljačima i pružaocima usluga (član 21, stav 2, tačka d).

Stav 3 istog člana ide dalje: firma u EU treba da uzme u obzir ranjivosti svakog direktnog dobavljača, kvalitet njegovih proizvoda i njegovu bezbednosnu praksu, uključujući procedure bezbednog razvoja softvera.

Ako vaša firma iz Srbije razvija softver, održava IT sisteme, čuva podatke ili isporučuje delove klijentu iz EU koji je obuhvaćen NIS2, vi ste taj direktni dobavljač. Direktiva ne obavezuje vas, ali vaš klijent mora da pokaže da je proverio vas.

To može da stigne kao upitnik o bezbednosti, nova klauzula u ugovoru ili zahtev za dokaz: kako se upravlja lozinkama, da li postoji prijava u dva koraka, kako se prave rezervne kopije i za koliko vremena ćete klijenta obavestiti o incidentu.

Šta da pripremite pre nego što stigne upitnik

Upitnici se razlikuju od klijenta do klijenta, ali se oslanjaju na mere iz člana 21 direktive: analiza rizika, postupanje sa incidentima, kontinuitet poslovanja i rezervne kopije, bezbednost lanca snabdevanja, kontrola pristupa, šifrovanje, osnovna sajber higijena sa obukom zaposlenih i višefaktorska autentifikacija.

Ako to već imate zapisano, odgovor traje sat vremena. Ako nemate, upitnik je dobar povod da napravite osnovu: popis sistema i naloga, ko ima pristup čemu, kako se prave i proveravaju rezervne kopije i ko koga zove kada se nešto desi.

Ne prihvatajte u ugovoru rok za prijavu incidenta koji ne možete da ispunite. Ako klijent traži obaveštenje u roku od 24 sata, morate imati nekoga ko će incident primetiti i prijaviti i vikendom.

Isti posao pokriva i srpski zakon, ako vaša firma bude obuhvaćena: mere iz člana 10 zakona u velikoj meri se poklapaju sa onim što pitaju klijenti iz EU.

Rokovi za prijavu incidenta: NIS2 i Srbija

Rokovi se razlikuju, pa ih vredi znati ako radite i u Srbiji i za klijente iz EU:

NIS2, rano upozorenje: bez nepotrebnog odlaganja, a najkasnije 24 sata od saznanja za značajan incident (član 23).
NIS2, obaveštenje o incidentu: najkasnije 72 sata od saznanja, sa prvom procenom ozbiljnosti i uticaja.
NIS2, završni izveštaj: najkasnije mesec dana posle obaveštenja.
Srbija: obaveštenje o incidentu koji može značajno da naruši informacionu bezbednost bez odlaganja, a najkasnije 24 sata od saznanja (član 13 Zakona o informacionoj bezbednosti).
Srbija, podaci o ličnosti: obaveštenje Povereniku bez nepotrebnog odlaganja, gde je moguće u roku od 72 sata (član 52 Zakona o zaštiti podataka o ličnosti).

VodičRansomware: šta je i kako se zaštititi

Šta firma može da uradi već sada

Ne morate da čekate podzakonske akte da biste uradili ono što traže i zakon i klijenti. Napravite popis sistema, opreme i naloga, uključite prijavu u dva koraka na mejlu i udaljenom pristupu i proverite da li se podaci zaista vraćaju iz rezervne kopije.

Zapišite ko kome javlja incident i u kom roku, i probajte to jednom. Proverite ugovore sa onima koji vam održavaju sisteme: da li piše šta rade, kako vas obaveštavaju i šta dobijate ako prekinete saradnju.

Ako ste dobavljač firme iz EU, tražite od klijenta njegov upitnik ili listu zahteva unapred, da ne odgovarate pod pritiskom roka.

VodičBackup podataka i pravilo 3-2-1

PaketiPaketi IT podrške

Česta pitanja o NIS2 direktivi i Srbiji

Da li NIS2 važi u Srbiji?

Ne direktno. NIS2 obavezuje države članice EU i firme koje posluju u EU. Srbija ima svoj Zakon o informacionoj bezbednosti (Službeni glasnik RS, br. 91/2025), koji uvodi slične obaveze za operatore IKT sistema od posebnog značaja.

Kako da znam da li je moja firma obuhvaćena srpskim zakonom?

Pogledajte da li je vaša delatnost na spisku u članovima 5 i 6 zakona, a zatim kriterijume, uključujući veličinu firme, koje propisuje Vlada. Prema pregledu iz septembra 2026, taj akt još nije bio objavljen. Konačnu procenu uradite sa pravnikom.

Šta ako radim za klijenta iz EU?

Direktiva vas ne obavezuje, ali vaš klijent mora da proceni bezbednost svojih direktnih dobavljača (član 21 NIS2). Očekujte upitnike, ugovorne klauzule o merama zaštite i rokove za obaveštavanje o incidentu.

Kolike su kazne?

NIS2 traži da države propišu kazne od najmanje 10 miliona evra ili 2 odsto prometa za ključne subjekte i 7 miliona evra ili 1,4 odsto za važne. Srpski zakon za pravno lice propisuje prekršajne kazne do 2.000.000 dinara za operatora prioritetnog i do 1.000.000 dinara za operatora važnog IKT sistema.

Ko je Nacionalni CERT u Srbiji?

Do 1. januara 2027. poslove Nacionalnog CERT-a obavlja RATEL, a od tada Kancelarija za informacionu bezbednost (član 56 zakona). Incidenti se prijavljuju preko sajta cert.rs.

NIS2 direktiva: da li se tiče firmi u Srbiji