Usklađenost s NIS2 i GDPR-om: što tvrtke u EU-u moraju učiniti u 2026.

Zašto je 2026. godina u kojoj usklađenost postaje stvarnost

Direktiva NIS2 premjestila je kibernetičku sigurnost s tehničkog pitanja na obvezu na razini uprave diljem Europske unije. Dok su izvorna pravila obuhvaćala uzak skup operatera, NIS2 sada doseže tisuće srednjih i velikih tvrtki u energetici, prometu, bankarstvu, zdravstvu, digitalnoj infrastrukturi, javnoj upravi, proizvodnji i drugdje. U kombinaciji s kontinuiranom provedbom Opće uredbe o zaštiti podataka, organizacije u Hrvatskoj i Nizozemskoj suočene su s jasnom porukom: sigurnost se sada mjeri, dokumentira i revidira.

Za mnoge tvrtke izazov nije nedostatak namjere. Riječ je o tome da se točno zna što regulatori očekuju i da se dokaže da kontrole doista funkcioniraju. Upravo u tom jazu između politike i prakse nastaju kazne i povrede podataka.

Tko je obuhvaćen NIS2 direktivom

NIS2 dijeli organizacije na ključne i važne subjekte. Obje kategorije nose obvezujuće obveze, a pragovi veličine znače da su mnoge tvrtke koje sebe nikada nisu smatrale kritičnima sada obuhvaćene. Ako vaša organizacija posluje u navedenom sektoru i zapošljava više od pedeset ljudi ili bilježi značajan godišnji promet, trebali biste pretpostaviti da ste obuhvaćeni dok se ne dokaže suprotno.

• Upravljanje: upravljačka tijela izravno su odgovorna za odobravanje i nadzor mjera kibernetičke sigurnosti.
• Upravljanje rizicima: politike se moraju temeljiti na pristupu koji obuhvaća sve opasnosti i koji se redovito preispituje.
• Prijava incidenata: značajni incidenti moraju se prijaviti nacionalnim tijelima u kratkim rokovima, počevši od ranog upozorenja.
• Sigurnost opskrbnog lanca: sigurnost dobavljača i pružatelja usluga sada je vaša odgovornost za procjenu.

Cijena pogreške

NIS2 dopušta administrativne kazne koje mogu doseći desetke milijuna eura ili postotak globalnog prometa te uvodi mogućnost osobne odgovornosti viših rukovoditelja. Kazne prema GDPR-u ostaju jednako ozbiljne, pri čemu najviša razina doseže dvadeset milijuna eura ili četiri posto godišnjeg svjetskog prometa. Osim novčanih kazni, javno objavljen proboj narušava povjerenje klijenata na način koji je spor i skup za popraviti.

Praktični popis za provjeru spremnosti

Usklađenost postaje ostvariva kada se razloži na konkretne korake umjesto da se tretira kao jedna revizija. Realističan put izgleda ovako:

• Mapirajte svoju imovinu i podatke. Ne možete zaštititi ono što niste popisali. Krenite od sustava koji obrađuju osobne ili operativne podatke.
• Provedite procjenu nedostataka. Usporedite trenutne kontrole s NIS2 i GDPR zahtjevima kako biste pronašli stvarne slabosti.
• Testirajte svoju obranu. Politika na papiru nije dokaz. Neovisno testiranje pokazuje izdržavaju li kontrole napad pravog napadača.
• Pripremite plan odgovora na incidente. Definirajte uloge, komunikacijske linije i vremenski okvir izvještavanja prije nego što vas incident prisili na improvizaciju.
• Osigurajte svoj opskrbni lanac. Ocijenite sigurnosno stanje dobavljača koji dolaze u dodir s vašim podacima ili sustavima.

Kako vam Obventum pomaže da budete spremni za reviziju

U Obventumu pretvaramo regulativu u konkretne radnje za tvrtke diljem Hrvatske i Nizozemske. Naš penetracijsko testiranje usluga proizvodi neovisne dokaze koje regulatori i klijenti sve češće traže, pokazujući točno gdje bi napadač mogao ući i kako zatvoriti taj propust. Za organizacije koje žele testirati svoje pune sposobnosti otkrivanja i odgovora, naša red teaming angažmani simuliraju odlučnog protivnika od početka do kraja.

Tehničko testiranje spajamo s jasnim izvještavanjem koje uprava može razumjeti i prema kojem može djelovati. To znači da ne dobivate samo popis nalaza, već i prioritizirani plan koji podupire vaše obveze upravljanja prema NIS2 te vaše načelo odgovornosti prema GDPR-u. Usklađenost prestaje biti jednogodišnja jurnjava i postaje ponovljiv, obranjiv proces.

Počnite s dokazima, a ne pretpostavkama

Tvrtke koje dobro upravljaju obvezama NIS2 i GDPR-a one su koje sigurnost tretiraju kao stalnu disciplinu, a ne kao stavku za odštrikavanje. Ako niste sigurni bi li vaše kontrole preživjele stvarnu procjenu, najbrži način da to doznate jest da ih testirate. Obratite se Obventumu za procjenu spremnosti i pretvorite pritisak usklađenosti u istinsku sigurnosnu prednost.