Odločanje, odgovornost in organizacija
INCIDENT IMA VEČ ROKOV
Kaj se pri priglasitvi kibernetskega incidenta začne meriti ob zaznavi, kaj ob razvrstitvi in zakaj prvo obvestilo ni končna ugotovitev
Ob devetih zjutraj začne odpovedovati storitev, od katere je odvisen pomemben del poslovanja. Uporabniki prijavljajo nedosegljivost, nadzorni sistem beleži napake, skrbniki pa preverjajo, ali je težava nastala v omrežju, aplikaciji ali pri zunanjem ponudniku. Dve uri pozneje je tehnična slika nekoliko jasnejša, vendar vzrok še ni ugotovljen. Medtem vodja poslovnega procesa opozori, da storitve ni mogoče izvajati in da bodo posledice kmalu občutili tudi njeni uporabniki.
Kdaj je organizacija zaznala pomemben incident? Ob prvem opozorilu, ob potrditvi prekinitve storitve ali šele takrat, ko je odgovorna oseba sprejela odločitev o razvrstitvi?
Odgovor ni zgolj administrativna podrobnost. Od njega je lahko odvisno, ali je organizacija izpolnila zakonsko obveznost pravočasnega obveščanja. Evropska in slovenska ureditev ne uporabljata vedno istega začetnega trenutka, posamezne obveznosti pa se lahko začnejo in iztečejo po različnih pravilih.
Pomembnosti ne določa barva opozorila
Slovenski Zakon o informacijski varnosti (ZInfV-1) določa obveznost priglašanja pomembnih incidentov za bistvene in pomembne subjekte. Po 29. členu je pomemben incident tisti, ki je subjektu povzročil ali bi mu lahko povzročil resne operativne motnje pri opravljanju storitev ali finančne izgube oziroma je drugim fizičnim ali pravnim osebam povzročil ali bi jim lahko povzročil precejšnjo premoženjsko ali nepremoženjsko škodo. [1]
Za presojo zato ni treba čakati, da bi bile vse posledice že dokončno izmerjene. Pomemben je lahko tudi resen pričakovani vpliv, če ga je na podlagi razpoložljivih informacij mogoče utemeljiti. Po drugi strani visoka prioriteta v internem sistemu za obravnavo incidentov sama še ne pomeni, da so izpolnjena zakonska merila. Resnost tehničnega dogodka in njegova pravna pomembnost sta povezani, vendar ne istovetni oceni.
URSIV v napotkih iz junija 2026 pojasnjuje razvrščanje in priglašanje incidentov ter prikazuje stopnje resnosti. Takšna operativna ponazoritev ne nadomesti zakonskih meril iz ZInfV-1 ali posebnih evropskih predpisov. Organizacija mora pomembnost presojati glede na svoje storitve, njihov pomen, dejanske oziroma možne posledice in pravila, ki zanjo veljajo. [1][2]
Pri nekaterih digitalnih ponudnikih so ta pravila precej natančna. Izvedbena uredba Komisije (EU) 2024/2690 določa posebna merila za ponudnike storitev DNS, storitev računalništva v oblaku, podatkovnih centrov, upravljanih storitev in druge izrecno navedene kategorije subjektov. Takšnih sektorskih pragov ni pravilno uporabljati za vse zavezance po NIS2. [3][4]
Pomemben incident tudi ni nujno posledica napada. Prekinitev povezave, napaka pri nadgradnji ali požar lahko povzročijo primerljive posledice za razpoložljivost storitve. Za obveznost priglasitve je zato lahko odločilen vpliv incidenta, čeprav zlonamerni namen ni bil ugotovljen. [2]
ZInfV-1: rok začne teči ob zaznavi pomembnega incidenta
Trideseti člen ZInfV-1 določa več stopenj poročanja. Zgodnje sporočilo mora bistveni ali pomembni subjekt poslati pristojni skupini CSIRT nemudoma, najpozneje pa v 24 urah po zaznavi pomembnega incidenta. Priglasitev z začetno oceno resnosti in vpliva, dopolnjenimi informacijami ter razpoložljivimi kazalniki ogroženosti mora slediti nemudoma, najpozneje v 72 urah po zaznavi pomembnega incidenta. [1]
Za oba roka je izhodišče zaznava pomembnega incidenta. Dodatnih 72 ur se ne začne šteti šele po oddaji zgodnjega sporočila.
Težavnejše od samega računanja je pogosto ugotavljanje začetka. Prvo tehnično opozorilo lahko kaže zgolj na odstopanje, iz katerega še ni mogoče sklepati na obstoj pomembnega incidenta. Poznejša interna potrditev razvrstitve pa prav tako ne dokazuje, da organizacija že prej ni razpolagala z informacijami, potrebnimi za takšno ugotovitev.
Če je poslovna služba ob desetih sporočila, da je kritična storitev nedosegljiva za velik del uporabnikov, varnostna ekipa pa je istočasno poznala obseg motnje, utegne biti čas poznejše formalne potrditve le eden izmed podatkov pri presoji pravočasnosti. Upoštevati je treba okoliščine konkretnega primera: kaj je bilo znano, komu, kako zanesljive so bile informacije in ali je bilo na njihovi podlagi že mogoče prepoznati pomemben incident.
Zakon ne določa, da mora organizacija pred zgodnjim sporočilom zaključiti tehnično preiskavo. Zahteva pa obveščanje, ko so za to izpolnjeni predpisani pogoji.
Nadaljnje obveznosti imajo druga izhodišča. Skupina CSIRT lahko zahteva vmesno poročilo o stanju, končno poročilo pa mora subjekt praviloma predložiti najpozneje v enem mesecu po priglasitvi incidenta iz 72-urne faze. Če incident takrat še traja, se predloži poročilo o napredku, končno poročilo pa najpozneje v enem mesecu po njegovi rešitvi. [1]
Tudi znotraj ZInfV-1 obstajajo posebnosti. Ponudniki storitev zaupanja morajo pomembne incidente, ki vplivajo na zagotavljanje njihovih storitev zaupanja, priglasiti nemudoma, najpozneje v 24 urah po zaznavi. Gre za posebno pravilo glede priglasitve, ki ga ni dopustno prezreti zaradi splošnega 72-urnega roka. [1]
Finančni sektor ima drugačno izhodišče
Uredba o digitalni operativni odpornosti finančnega sektorja (DORA) uporablja lastna pravila za razvrščanje in poročanje o večjih incidentih, povezanih z informacijsko-komunikacijsko tehnologijo.
Razvrstitev ni prepuščena poljubni notranji oceni. Delegirana uredba Komisije (EU) 2024/1772 v 8. členu določa, da mora incident vplivati na kritične storitve in doseči predpisane pragove pomembnosti. Upoštevajo se med drugim prizadeti uporabniki in transakcije, trajanje, nedosegljivost storitev, izguba podatkov, gospodarske posledice ter posebne okoliščine, povezane z nepooblaščenim dostopom. Uredba pod določenimi pogoji zahteva tudi skupno presojo ponavljajočih se incidentov, ki posamično ne dosegajo praga večjega incidenta. [5][6]
S takšno pravno razvrstitvijo postane razumljivo, zakaj DORA pri začetnem obvestilu uporablja dva različna časovna podatka.
Po 5. členu Delegirane uredbe (EU) 2025/301 mora finančni subjekt začetno obvestilo oddati čim prej, najpozneje v štirih urah po razvrstitvi incidenta kot večjega in ne pozneje kot v 24 urah od trenutka, ko se je z incidentom seznanil. Kadar incident kot večji razvrsti šele po preteku 24 ur od seznanitve, mora začetno obvestilo oddati v štirih urah po tej poznejši razvrstitvi. [7]
Če se finančni subjekt z incidentom seznani v ponedeljek ob devetih in ga ob trinajstih razvrsti kot večjega, se štiriurni rok izteče ob sedemnajstih istega dne. Ne more se sklicevati zgolj na to, da 24 ur od seznanitve še ni poteklo.
Poznejša razvrstitev ima drugačno ureditev, vendar tega ni mogoče razumeti kot dovoljenje za odlašanje z ocenjevanjem incidenta. Subjekt mora imeti vzpostavljen postopek razvrščanja po veljavnih merilih, morebitna zamuda pri ugotavljanju pomembnosti pa lahko odpre ločeno vprašanje ustreznosti tega postopka.
Po oddaji začetnega obvestila se začne rok za vmesno poročilo. To mora biti predloženo najpozneje v 72 urah od dejanske oddaje začetnega obvestila, tudi če se stanje incidenta ni spremenilo. Posodobljeno vmesno poročilo je treba poslati brez nepotrebnega odlašanja, tudi ob ponovni vzpostavitvi rednega delovanja. Končno poročilo je treba predložiti najpozneje v enem mesecu po vmesnem oziroma zadnjem posodobljenem vmesnem poročilu. [7]
Uredba 2025/301 vsebuje tudi posebno ureditev rokov, ki se iztečejo ob koncu tedna ali na bančni praznik. Nekaterim finančnim subjektom je dovoljeno poročilo oddati do poldneva naslednjega delovnega dne. Vendar ta možnost pri začetnih in vmesnih poročilih ne velja za kreditne institucije, centralne nasprotne stranke, upravljavce mest trgovanja in druge finančne subjekte, ki imajo status bistvenega ali pomembnega subjekta po 3. členu NIS2. Pristojni organ lahko izjemo dodatno omeji za nekatere druge pomembne ali sistemsko pomembne finančne subjekte. [7]
Enotno navodilo »prijavi v 24 urah« je zato v finančnem sektorju lahko napačno že zaradi vrste subjekta, kaj šele zaradi neupoštevanja časa razvrstitve.
Obveznosti se ne seštevajo avtomatično
DORA in NIS2 urejata deloma prekrivajoča se področja, vendar njunega razmerja ni pravilno razlagati kot obveznost vsake finančne organizacije, da isti incident vedno dvakrat prijavi po dveh neodvisnih pravnih režimih.
Četrti člen direktive NIS2 ureja razmerje do sektorskih pravnih aktov Unije, kadar ti določajo vsaj enakovredne zahteve glede obvladovanja tveganj ali poročanja. Evropska komisija je uporabo te določbe pojasnila v posebnih smernicah, DORA pa za finančne subjekte iz svojega področja uporabe predstavlja takšen sektorski okvir. [3][5][10]
Toda izključitev podvajanja primerljivih obveznosti po NIS2 ne pomeni, da poročanje finančnega subjekta vedno poteka samo na en naslov.
Slovenska Uredba o izvajanju uredbe (EU) o digitalni operativni odpornosti za finančni sektor v 4. členu določa, da finančni subjekti, zajeti v navedeni določbi, o večjih incidentih, povezanih z IKT, poročajo pristojnim nadzornim organom in skupinam CSIRT. Gre za pomembno nacionalno ureditev poročevalske poti, ki jo je treba upoštevati skupaj z evropskimi pravili. [9]
Tudi obveznosti po drugih predpisih ostajajo samostojno vprašanje. Če incident vključuje kršitev varnosti osebnih podatkov, je treba posebej presoditi obveznosti po zakonodaji o varstvu osebnih podatkov. Enaka dejanska okoliščina ima lahko različne pravne posledice, vendar njihovega obstoja, naslovnikov in rokov ni dovoljeno ugibati na podlagi splošnega pravila o kibernetskih incidentih.
Odločitev, za katero nihče nima pooblastila
Najzahtevnejši del prijavljanja se pogosto ne zgodi med pripravo obrazca, temveč med tehnično ugotovitvijo in poslovno presojo njenega vpliva.
Skrbnik lahko potrdi, da je sistem nedosegljiv. Varnostna ekipa ugotovi, ali gre za varnostni incident in kakšen je njegov tehnični obseg. Vodja poslovnega procesa pa mora pojasniti, kaj prekinitev pomeni za izvajanje storitve in uporabnike. Nobeden od teh podatkov sam zase ni nujno zadosten za končno presojo pomembnosti.
Organizacija zato potrebuje vnaprej določeno pristojnost za povezovanje teh ugotovitev, sprejemanje odločitve in izvedbo priglasitve. Nejasnost glede tega, kdo lahko ukrepa, postane posebej problematična zunaj rednega delovnega časa ali ob odsotnosti odgovorne osebe.
ZInfV-1 v 20. členu določa odgovornost predstojnikov subjektov javne uprave in odgovornih oseb bistvenih oziroma pomembnih pravnih oseb za izvajanje ukrepov obvladovanja tveganj iz 21. in 22. člena. DORA organom upravljanja finančnih subjektov nalaga jasno razmejitev vlog in odgovornosti pri upravljanju tveganj IKT. [1][5]
Iz teh določb ni mogoče izpeljati splošnega pravila, da mora direktor osebno odobriti vsako posamezno priglasitev. Pomembno je, da ima organizacija zakonit in operativno izvedljiv postopek, v katerem so pristojnosti jasno dodeljene.
Varnostna ekipa ne sme ostati brez poslovnih informacij, poslovodstvo pa ne brez tehničnih ugotovitev. Oseba, ki je pooblaščena za prijavo, mora vedeti, na podlagi katerih meril odloča, kateri organ je treba obvestiti in kako ukrepati, kadar odločitev ni povsem očitna. Če je treba za vsako sporočilo šele poiskati podpisnika, je lahko notranje odobravanje počasnejše od zakonskega roka.
To je organizacijsko tveganje, ki ga ni mogoče odpraviti zgolj z boljšim nadzornim sistemom.
Kaj je bilo znano ob odločitvi?
Pri poznejšem preverjanju pravočasnosti je lahko bistvena razlika med trenutkom, ko se je neka informacija pojavila v sistemu, in trenutkom, ko je bila dovolj razumljiva za presojo pomembnosti incidenta.
Časovni žig v dnevniku pokaže, kdaj je sistem ustvaril ali zabeležil določen podatek. Ne pove pa vedno, kdo ga je takrat videl, kaj je iz njega lahko sklepal in katere dodatne informacije so bile že na voljo. Enako velja za čas odprtja internega zahtevka ali poznejšega potrjevanja kategorije incidenta.
Za preverljivo odločanje je zato koristno ohraniti podatek o prvem obvestilu, ugotovitvah o vplivu na storitve, uporabljeni pravni klasifikaciji, osebi, ki je presojo opravila, in dejanski oddaji prijave. Kadar se presoja pozneje spremeni, mora biti razvidno, katera nova dejstva so spremembo povzročila.
To ni samostojen zakonski rok in tudi ne zahteva izdelave obsežnega zapisnika pred pošiljanjem obvestila. Gre za dokazno podlago, ki omogoča pojasniti, zakaj je organizacija ravnala tako, kot je, in ali je ob razpoložljivih informacijah ravnala pravočasno.
Razlika je pomembna zlasti v primerih, ko je do formalne razvrstitve prišlo precej pozneje od prvih zanesljivih informacij o posledicah incidenta. Naknadno vpisan čas razvrstitve sam po sebi ne pojasni te vrzeli.
Prvo obvestilo sme ostati nepopolno
V prvih urah incidenta tehnični vzrok pogosto še ni znan. Kljub temu se lahko organizacija že sooča z obveznostjo obveščanja.
ZInfV-1 zato predvideva zgodnje sporočilo, ki vsebuje takrat razpoložljive informacije, zlasti tudi podatek o morebitnem zlonamernem ali nezakonitem dejanju in čezmejnem vplivu, kadar je to mogoče ugotoviti. Naslednja priglasitev podatke dopolni z začetno oceno resnosti, vpliva in razpoložljivimi kazalniki ogroženosti. Podrobnejša pojasnila o vzroku, poteku in ukrepih sodijo v nadaljnja poročila. [1]
Podoben pristop uporablja DORA. Delegirana uredba 2025/301 določa različno vsebino začetnega, vmesnega in končnega poročila, Izvedbena uredba (EU) 2025/302 pa standardne obrazce in postopke poročanja. V začetnem obvestilu se lahko zato pojavijo podatki, ki jih bo subjekt med nadaljnjo obravnavo dopolnil ali popravil. [7][8]
Negotovosti ni treba prikriti. Če vzrok ni ugotovljen, je to ustrezen podatek o trenutnem stanju preiskave. Če je obseg prizadetih storitev še predmet preverjanja, mora biti tudi takšna omejitev jasno razvidna. Pomembno je razlikovati potrjena dejstva od začetnih ocen in predpostavk.
Priglasitev ni zaključek odzivanja na incident. Medtem ko pooblaščene osebe pripravljajo in pošiljajo predpisana obvestila, mora tehnična ekipa nadaljevati omejevanje posledic, obnovo storitev in ugotavljanje vzroka.
Za organizacije, ki incidente prijavljajo po ZInfV-1, URSIV določa operativne napotke za komunikacijo s pristojnima skupinama SIGOV-CERT in SI-CERT. Do vzpostavitve namenske platforme se po napotkih iz junija 2026 prijave posredujejo po elektronski pošti. Takšen način zahteva tudi praktično pripravljenost: pravilen kontakt, razpoložljiv komunikacijski kanal in osebo, ki lahko prijavo izvede tudi ob motnji običajne infrastrukture. [2]
Ko je treba pojasniti, zakaj je rok začel teči pozneje
Ob koncu incidenta je običajno mogoče pripraviti precej popolnejšo rekonstrukcijo dogodkov. Znani so vzrok, prizadeti sistemi, poslovne posledice in ukrepi, s katerimi je bila storitev obnovljena. Toda poznejša popolnost poročila ne odpravi vprašanja, kaj je organizacija vedela v prvih urah.
Če je pomembnost incidenta ugotovila šele po dolgem usklajevanju, bo morala znati pojasniti, zakaj je bila takšna presoja takrat utemeljena. Če je obvestilo zamujalo zaradi odsotnosti podpisnika, to kaže na drugačno težavo kot zamuda, nastala zaradi objektivno nedostopnih informacij. In če je bilo poročilo pravočasno, vendar je vsebovalo neutemeljene zaključke, je treba presojati še zanesljivost njegove vsebine.
Priglašanje incidentov zato ni samo vprašanje hitrosti. Je preizkus, ali organizacija zna povezati tehnične ugotovitve, poslovne posledice, pravna merila in odgovornost za odločitev, še preden ima na voljo vse odgovore.
Zakonski rok se namreč ne prilagodi dolžini internega usklajevanja. Organizacija mora svoj postopek prilagoditi roku.
EVIDENCE PROFILE
Dokazni profil članka
Profil pokaže vrsto dokazne podlage in omejitve osrednjega argumenta.
Viri
- 01PRIMARY DOCUMENTATIONRepublika SlovenijaRepublika Slovenija, Zakon o informacijski varnosti (ZInfV-1), Uradni list RS, št. 40/2025, zlasti 20., 29. in 30. člen.Odpri vir ↗
- 02PRIMARY DOCUMENTATIONUrad Vlade Republike Slovenije za informacijsko varnostUrad Vlade Republike Slovenije za informacijsko varnost, Napotki za priglašanje incidentov informacijske varnosti, 5. junij 2026.Odpri vir ↗
- 03PRIMARY DOCUMENTATIONEvropski parlament in Svet EUEvropski parlament in Svet, Direktiva (EU) 2022/2555 (NIS2), zlasti 4., 20., 21. in 23. člen.Odpri vir ↗
- 04PRIMARY DOCUMENTATIONEvropska komisijaEvropska komisija, Izvedbena uredba (EU) 2024/2690, posebna merila pomembnih incidentov za izbrane kategorije subjektov.Odpri vir ↗
- 05PRIMARY DOCUMENTATIONEvropski parlament in Svet EUEvropski parlament in Svet, Uredba (EU) 2022/2554 (DORA), zlasti 5. in 17.–20. člen.Odpri vir ↗
- 06PRIMARY DOCUMENTATIONEvropska komisijaEvropska komisija, Delegirana uredba (EU) 2024/1772, zlasti 8. in 9. člen o razvrščanju večjih incidentov, povezanih z IKT.Odpri vir ↗
- 07PRIMARY DOCUMENTATIONEvropska komisijaEvropska komisija, Delegirana uredba (EU) 2025/301, zlasti 5. člen o rokih začetnega obvestila, vmesnega in končnega poročila.Odpri vir ↗
- 08PRIMARY DOCUMENTATIONEvropska komisijaEvropska komisija, Izvedbena uredba (EU) 2025/302, obrazci in postopki poročanja po DORA.Odpri vir ↗
- 09PRIMARY DOCUMENTATIONRepublika SlovenijaRepublika Slovenija, Uredba o izvajanju uredbe (EU) o digitalni operativni odpornosti za finančni sektor, Uradni list RS, št. 25/2025, zlasti 3. in 4. člen.Odpri vir ↗
- 10PRIMARY DOCUMENTATIONEvropska komisijaEvropska komisija, Smernice o uporabi prvega in drugega odstavka 4. člena direktive NIS2, 2023/C 328/02.Odpri vir ↗