Ta stran je namenjena vodilnim delavcem za informacijsko varnost, compliance in upravljanju tveganja v licenciranih bankah in hranilnicah v Sloveniji. Spoznajte konkretne zahteve Zakona o informacijski varnosti (ZInfV-1) in ključne roke za polno skladnost do 19. junija 2026 oziroma do 19. decembra 2026, odvisno od kategorije zavezanca.
Obveznost se ne nanaša na banke, hranilnice in kreditne institucije, ki delujejo v Sloveniji, saj so finančne institucije izvzete iz ZInfV-1 in namesto tega spadajo pod Uredbo DORA. URSIV-ov uradni FAQ potrjuje, da Banka Slovenije ni zavezanka po ZInfV-1, enako velja za druge finančne institucije, ki jih namesto tega ureja Zakon o digitalni operativni odpornosti (DORA).
Vaša institucija mora pripraviti in vzpostaviti celovito dokumentacijo ogrodja upravljanja tveganja informacijske in komunikacijske tehnologije (ICT). To vključuje политику za upravljanje tveganja, identificiranje kritičnih poslovnih funkcij in podatkov, ter opis tehnične in organizacijske varnostne kontrole. Do 19. junija 2026 oziroma do 19. decembra 2026, odvisno od kategorije zavezanca, mora biti ogrodje v celoti delujočo in testirano.
Najmanj enkrat letno morate izvesti neodvisno penetracijsko testiranje in oceno ranljivosti svojih sistemov in infrastrukture. Rezultati testiranj morajo biti dokumentirani, ocenjeni in ukrepljeni. Posebno pozornost namenite starajočim se sistemom jedra bančnega poslovanja, ki jih pogosto ne pokriva moderna skeniranja ranljivosti.
Ob odkritju huda varnostnega incidenta ali motnje storitve morate poslati zgodno opozorilo v roku 24 ur in polno prijavo v roku 72 ur. Nepravilna ali zamudna prijava je sankcionirana do 10 milijonov evrov ali 2% letnega prometa.
Vsi ponudniki zunanjih storitev ICT, vključno s fintech integracijami in zaključke podatkov, morajo biti podvrženi formalni oceni varnosti in imeti sklenjeno pogodbo z izrecnimi varnostnimi zahtevami. Preveriti morate njihove certifikate (ISO 27001, SOC 2 Type II), politike ločevanja podatkov in načrt odgovora na incidente. Odgovornost za skladnost ostane pri vaši instituciji, tudi če je storitev zunanja.
Institucija mora imeti jasno določeno osebo ali tim, odgovoren za nadzor skladnosti z zahtevami ZInfV-1. Ta oseba mora biti direktno dostopna vrhu management in imeti dovolj sredstev za izvajanje nalog. Priporočeno je letno usposabljanje kadra in testa za zavedanje o varnosti.
Za banke se zahteve NIS2 vključujejo v okvir DORA, kar pomeni, da je krovni predpis DORA, ki vključuje tudi NIS2 obveznosti. Ključna razlika je, da NIS2 zahteva tudi obvezne politike upravljanja tveganja in hiter sistem poročanja incidentov preko SI-CERT. DORA je bolj osredotočena na odpornost ICT in operativne neprekinjenosti. Dobra praksa je, da ima institucija en dokumentiran sistem, ki pokriva oba predpisa.
Zgodno opozorilo je osnovne informacije o hudi motnji (kaj se je zgodilo, katere sisteme je prizadelo, ali so podatki ogroženi). Polna prijava vsebuje detaljno analizo vzroka, časa resnosti, števila vpletenih uporabnikov in načrta sanacije. Če zamudite 24-urni rok za opozorilo ali 72-urni rok za prijavo, se штетьется kršitvi z visokimi kazni.
Za bistvene institucije (kot so banke) je največja globa 10 milijonov evrov ali 2% letnega prometa, kar je večje od drugih razredov. Specifične sankcije so predvidene tudi za nepravilne prijave incidentov, nezadostne ocene tretjih oseb in pomanjkljivo upravljanje tveganja. URSIV je avtoriteta za izrekanje kaznovanja.