5 stvari koje svaki poslodavac treba da zna o novom Zakonu o informacionoj bezbednosti

24.06.2026.

Sajber napadi, ransomware incidenti, curenje podataka i prevare putem elektronske pošte više nisu problemi rezervisani samo za velike korporacije. Sve veća digitalizacija poslovanja dovela je do toga da informaciona bezbednost postane jedno od ključnih pitanja upravljanja rizicima u svakoj organizaciji.

Upravo zbog toga donet je novi Zakon o informacionoj bezbednosti, koji značajno proširuje obaveze kompanija i približava domaći regulatorni okvir evropskim standardima, a pre svega sa evropskom NIS2 Direktivom, koja postavlja viši nivo obaveza u oblasti sajber bezbednosti.

U nastavku izdvajamo pet najvažnijih stvari koje bi svaki poslodavac trebalo da zna.

1. Informaciona bezbednost više nije samo IT pitanje

Jedna od najznačajnijih promena jeste činjenica da odgovornost za informacionu bezbednost više nije isključivo na IT sektoru.

Novi pristup podrazumeva aktivno uključivanje rukovodstva u upravljanje sajber rizicima, donošenje bezbednosnih politika i obezbeđivanje adekvatnih resursa za zaštitu informacionih sistema. Drugim rečima, informaciona bezbednost postaje deo korporativnog upravljanja.

2. Veći broj kompanija potpada pod zakonske obaveze

Novi zakon proširuje krug subjekata koji imaju obavezu primene mera informacione bezbednosti.

Pored tradicionalnih operatora kritične infrastrukture, obaveze mogu obuhvatiti i privredna društva koja posluju u oblastima od posebnog značaja za privredu i društvo, uključujući digitalne usluge, proizvodnju, logistiku, zdravstveni sektor i druge delatnosti.

Zbog toga je važno da svaka kompanija proceni da li potpada pod režim novih zakonskih obaveza.

3. Upravljanje sajber rizicima postaje zakonska obaveza

Organizacije će morati da identifikuju potencijalne pretnje, procene rizike i uspostave odgovarajuće tehničke i organizacione mere zaštite.

To podrazumeva:

• interne politike i procedure;
• kontrolu pristupa informacionim sistemima;
• planove za reagovanje u slučaju incidenta;
• redovne procene rizika;
• mere zaštite podataka i poslovnih procesa.

Cilj nije samo formalno ispunjavanje zakonskih zahteva, već povećanje otpornosti organizacije na bezbednosne incidente.

4. Incidenti će morati da se prijavljuju

U slučaju ozbiljnog sajber incidenta, kompanije će imati obavezu da o tome obaveste nadležne organe u zakonom propisanim rokovima. Pravovremeno prijavljivanje omogućava bržu reakciju, smanjenje posledica i efikasniju koordinaciju između institucija i privrednih subjekata.

Neprijavljivanje incidenata može predstavljati osnov za prekršajnu odgovornost.

5. Zaposleni postaju ključni deo sistema zaštite

Bez obzira na nivo tehničke zaštite, ljudska greška i dalje predstavlja jedan od najčešćih uzroka bezbednosnih incidenata. Zbog toga će kompanije morati da posvete veću pažnju edukaciji zaposlenih, podizanju svesti o sajber rizicima i uspostavljanju jasnih pravila za korišćenje informacionih sistema.

Obuke iz oblasti informacione bezbednosti postaju važan deo ukupnog compliance sistema svake organizacije.

Šta poslodavci mogu da urade već danas?

Kako bi se na vreme pripremili za nove obaveze, poslodavci bi trebalo da:

• analiziraju da li njihova organizacija potpada pod primenu zakona;
• izvrše procenu postojećih bezbednosnih procedura;
• usvoje ili ažuriraju interne akte iz oblasti informacione bezbednosti;
• definišu odgovornosti zaposlenih i rukovodilaca;
• organizuju redovne obuke i podizanje svesti zaposlenih.

Zakon uvodi kratak rok za dostavljanje obaveštenja o incidentima, pa operatori moraju da dostave obaveštenje o incidentu koji može imati značajan uticaj na narušavanje informacione bezbednosti bez odlaganja, a najkasnije u roku od 24 sata od kada su saznali za incident.

Za donošenje akta o proceni rizika i akta o bezbednosti IKT sistema od posebnog značaja predviđen je rok od 18 meseci od dana stupanja na snagu novog Zakona.

Zaključak

Zakon predviđa efikasnije mehanizme nadzora, kao i prekršajne sankcije za subjekte koji ne sprovode propisane mere ili ne ispunjavaju svoje zakonske obaveze.

Kompanije koje blagovremeno uspostave odgovarajuće procedure i razviju kulturu informacione bezbednosti biće u značajno boljoj poziciji da odgovore na izazove modernog poslovanja.

Odricanje od odgovornosti: Tekst je informativnog karaktera i ne predstavlja pravni savet.