Niste KRITIS-zavezanec. Ali ste zato zunaj problema?

Izdaja 03 serije »Postkvantna varnost v slovensko-nemški dobavni verigi«. Za slovenska proizvodna in storitvena podjetja, ki delajo za nemške naročnike iz energetike, oskrbe, zdravstva, prometa ali za njihove dobavitelje.

Nemški naročnik vam pošlje dodatek k pogodbi z naslovom Informationssicherheit. Na prvi strani piše KRITIS, na drugi NIS 2. Vaš prvi odziv je razumljiv: »To ni za nas. Mi nismo kritična infrastruktura.« Imate prav. In vseeno ste v problemu, samo po drugi poti.

V tem članku: Tri različne stvari · Kaj velja za vas in kaj za naročnika · Zakaj vas vseeno zadeva · Primer · Kaj morate urediti · Kaj pa, če ste zavezanec · Zemljevid odvisnosti · Vprašanje za nemškega naročnika · Priloga: predloga

Nemški KRITIS in nemški zakon o izvajanju NIS 2 urejata nemška podjetja. Slovenskega podjetja ne zavezujeta, ker je to v pristojnosti Slovenije. V Sloveniji od 19. junija 2025 velja Zakon o informacijski varnosti (ZInfV-1), ki prenaša direktivo NIS 2. Ali ste po njem zavezanec, je odvisno od vaše dejavnosti in velikosti. Mnogo manjših dobaviteljev ni.

Toda prva vrstica tabele je samo ena od treh.

Direktiva NIS 2 od zavezancev zahteva ukrepe za obvladovanje tveganj, med njimi izrecno varnost dobavne verige, vključno z odnosi z neposrednimi dobavitelji in ponudniki storitev, in politike za uporabo kriptografije. Zavezanec mora pri tem upoštevati ranljivosti posameznega dobavitelja, kakovost njegovih izdelkov in njegove prakse kibernetske varnosti.

To je obveznost naročnika, ne vaša. Naročnik mora oceniti tveganja, ki prihajajo od vas. Zakon vas s tem ne naredi za zavezanca. Naredi pa vas za predmet naročnikove ocene. In naročnik ima samo eno orodje, s katerim lahko svojo obveznost prenese na vas: pogodbo.

Tu nastane druga vrstica. Ko naročnik v pogodbo zapiše, da morate »upoštevati stanje tehnike pri kriptografiji« ali »sodelovati pri prehodu na postkvantne postopke«, je to vaša obveznost. Ne zakonska, ampak pogodbena, in prav tako zavezujoča.

Tretja vrstica ne vpraša po statusu. Če se vaš tehnik prek VPN povezuje v naročnikov nadzorni sistem, je vaš usmerjevalnik del naročnikove napadalne površine. Če podpisujete vdelano programsko opremo, ki teče v njegovih napravah, je vaš podpisni ključ del njegove varnosti.

Evropski načrt za prehod na postkvantno kriptografijo iz junija 2025 med prvimi koraki navaja prav to: popisati odvisnosti, tudi tiste od tretjih oseb, in vključiti dobavno verigo. Za primere uporabe z visokim tveganjem naj bo prehod končan do konca leta 2030. Povezava, ki se konča pri vas, bo prešla šele, ko bosta prešla oba konca.

»Nismo zavezanec« je pravilen odgovor, a na vprašanje, ki ga tretja vrstica ne postavlja.

Predstavljajte si inženirski biro z dvanajstimi zaposlenimi. Pred leti je sodeloval pri vzpostavitvi nadzornega sistema za bavarsko vodovodno podjetje. Danes prek daljinskega dostopa vzdržuje dva modula in za eno merilno postajo dobavlja lastno vdelano programsko opremo.

Biro po lastni oceni ni zavezanec po ZInfV-1. V Nemčiji ni upravljavec kritične infrastrukture. Vodovodno podjetje pa je. Ko je začelo popisovati odvisnosti, je biro prejel tri vprašanja:

1. S katerimi postopki je zaščiten daljinski dostop in kdo jih lahko spremeni?
2. S katerim ključem in postopkom podpisujete vdelano programsko opremo merilne postaje in kako dolgo bo ta ključ v uporabi?
3. Kje hranite projektno dokumentacijo z načrti omrežja?

Biro je ugotovil, da na prvo vprašanje ne zna odgovoriti: VPN-usmerjevalnik je nastavil zunanji serviser, ki ga ni več (serviserja, ne usmerjevalnika; ta še kar dela). Na drugo vprašanje je odgovor »RSA, ključ iz leta 2019, brez načrta zamenjave«. Na tretje »na prenosniku vodje projekta«.

Nobeden od teh odgovorov ni kršitev zakona. Vsak je razlog, da naročnik ob naslednjem podaljšanju pogodbe zahteva več, kot bi sicer.

• Poznajte svoj status. Ugotovite, ali vas zajema ZInfV-1. Zapišite odgovor in podlago. Ko vas bo naročnik vprašal, ne boste ugibali.
• Ločite, kaj podpisujete. Pri vsakem pogodbenem dodatku preverite, ali gre za zahtevo, ki jo lahko izpolnite, in ali je jasno, kaj točno pomeni. Pogodbam bomo posvetili izdajo februarja 2026.
• Poznajte svoje odvisnosti. Katere vaše naprave, dostopi in programi so del naročnikovih procesov? To je delo, ki ga ne more opraviti nihče razen vas.
• Ne obljubljajte statusa, ki ga nimate. »Izpolnjujemo vse zahteve NIS 2« zveni dobro in je nepreverljivo. »Za tri povezave z vami vemo, kdo jih upravlja in s katerimi postopki so zaščitene« je preverljivo.

Nekateri slovenski dobavitelji bodo ob preverjanju ugotovili, da jih ZInfV-1 zajema, na primer zaradi dejavnosti v energetiki, prometu ali digitalni infrastrukturi. Takrat se tabela iz uvoda ne poenostavi, ampak zgosti: vse tri ravni veljajo hkrati.

Zakon med ukrepi za obvladovanje tveganj navaja tudi uporabo kriptografije. To pomeni, da morate o svoji kriptografiji odločati sami, ne le na naročnikovo željo, in svoje odločitve znati utemeljiti pred slovenskim nadzornim organom. Naročnikove pogodbene zahteve pridejo zraven, ne namesto tega.

V praksi to ni slabost. Zavezanec, ki ima urejeno lastno politiko kriptografije in popis, naročniku na večino vprašanj odgovori z dokumenti, ki jih že ima. Težava nastane, ko se dve plasti zahtev razvijata ločeno: ena v pravni službi za slovenski zakon, druga v prodaji za nemške pogodbe. Imejte en popis in eno politiko, ki pokrijeta obe.

Naročnik bo prej ali slej izdelal zemljevid odvisnosti. Bolje je, da ga imate vi prej. Potrebujete eno vrstico za vsako povezavo z naročnikom: kaj, prek česa, s kakšno kriptografijo, kdo spremeni, kako dolgo bo v uporabi. Predloga je v prilogi.

Pri tem ne potrebujete orodij. Potrebujete enega človeka, ki pozna vaš IT, in enega, ki pozna vaše projekte. Če ima kakšna vrstica v stolpcu »kdo spremeni« vpisano »ne vemo«, ste našli prvo nalogo.

„Welche Anforderungen aus Ihrer eigenen Regulierung sollen vertraglich bei uns ankommen, und welche gelten nur für Sie?“

Prevod: Katere zahteve iz vaše lastne regulacije naj se pogodbeno prenesejo na nas in katere veljajo samo za vas?

Zakaj tako? Ker s tem vprašanjem ločite prvo in drugo raven. Naročniku pokažete, da razumete njegove obveznosti in da ne zavračate odgovornosti. Hkrati preprečite, da bi v pogodbo prepisal ves zakon, ki zanj velja, vi pa bi ga morali izpolnjevati brez potrebnih sredstev.

Nemška izdaja te teme se obrača na nemške službe za upravljanje dobaviteljev: „Ihr slowenischer Zulieferer ist kein KRITIS-Betreiber“ (v nemščini). Prejšnja izdaja: Kako dolgo morajo vaši podatki ostati skrivnost?

Ena vrstica za vsako odvisnost, ne za vsakega naročnika. V nemški izdaji je predloga vsebinsko enaka.

Kako brati: vrstice z »kdo spremeni: ne vemo« in visokim tveganjem so vaša prva naloga. Vrstice brez pogodbene ureditve in z dolgo življenjsko dobo so tema za naslednje pogajanje z naročnikom.

Meja predloge: stolpec o zakonski obveznosti beleži vašo oceno, ne pravnega mnenja. Zanj potrebujete svojega pravnika ali presojo pristojnega organa.

Vse objavljene izdaje serije: pregled »Postkvantna varnost v dobavni verigi«

Naslednja izdaja (6. 10. 2025): »Kriptografijo uporabljate vsak dan. Ali veste, kje vse?«

Viri (stanje 1. 9. 2025): Direktiva (EU) 2022/2555 (NIS 2), 21. člen; Zakon o informacijski varnosti (ZInfV-1), Uradni list RS, št. 40/2025; NIS Cooperation Group, »A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography«, različica 1.1 (junij 2025), poglavje 6.2.

Če vam je naročnik poslal dodatek, ki ga ne znate umestiti, ga lahko pregledamo skupaj.