O uredbi smo pisali. Smo komu povedali, kaj naj naredi v ponedeljek zjutraj?

O razliki med pravno informacijo in operativnim znanjem. Drugi del serije »Ko dobra koda ni več dovolj«.

Ta članek ni namenjen samo podjetjem. Namenjen je tudi nam, ki o kibernetski varnosti pišemo, predavamo in svetujemo. Vprašanje ni, ali smo o NIS2 in CRA obveščali. Vprašanje je, ali je bralec po naših besedilih znal narediti kaj drugače kot prej.

Serija »Ko dobra koda ni več dovolj«

• 01 Nemški naročnik ne kupuje več vaše kode. Kupuje odsotnost vašega tveganja. (4. 8. 2026)
• 02 O uredbi smo pisali. Smo komu povedali, kaj naj naredi v ponedeljek zjutraj? (11. 8. 2026)
• 03 Niste zavezanec po NIS2? Vaš naročnik ima morda drugačne načrte. (18. 8. 2026)
• 04 Clean code vas ne bo rešil. Tudi certifikat ne. (25. 8. 2026)
• 05 Nemški varnostni vprašalnik: trenutek, ko marketing sreča realnost (1. 9. 2026)
• 06 Slovenski IT ne potrebuje še enega seminarja o NIS2 (8. 9. 2026)

V tem članku: Ponedeljek, osem zjutraj · Kar je bilo narejeno dobro · Kje se veriga pretrga · Vsak poklic potrebuje drug odgovor · Kaj bi vprašal nemški naročnik? · Pripomoček: od zahteve do ukrepa

Vodja razvoja v podjetju s tridesetimi zaposlenimi je bil v petek na predavanju o CRA. Predavanje je bilo dobro: jasni datumi, pregledne prosojnice, pravilno navedeni členi. V ponedeljek sede k računalniku in odpre repozitorij.

Kaj zdaj?

Prosojnice so ostale na petkovem predavanju.

Ve, da potrebuje »seznam komponent«. Ne ve, v kakšnem zapisu, katero orodje ga izdela, kje se shrani in kdo ga pošlje naročniku. Ve, da mora »obravnavati ranljivosti«. Ne ve, kaj šteje kot dovolj hitro in kako to zapisati, da bo zdržalo pogled nemškega revizorja. Predavanje mu je povedalo, kaj zahteva predpis. Nihče mu ni povedal, kaj naj naredi danes.

To ni očitek predavatelju. Je opis vrzeli, ki je nastala, ker smo vsi skupaj, ki znanje prenašamo, govorili predvsem o predpisu in premalo o delu.

Najprej pošteno o tem, kar je bilo narejeno, in zakaj je bilo narejeno tako.

Urad Vlade RS za informacijsko varnost (URSIV) je po sprejemu ZInfV-1 pripravil obrazec in navodila za samoregistracijo zavezancev, zavezance večkrat pozval k registraciji ter februarja 2026 skupaj z agencijo ENISA izvedel delavnice o odpornosti in načrtovanju odziva na incidente; gradiva in posnetki so javno dostopni. Sekcija za kibernetsko varnost pri Združenju za informatiko in telekomunikacije GZS je pripombe k predlogu CRA oblikovala že leta 2023, med drugim predlog za daljše prehodno obdobje in jasnejšo opredelitev, kdaj je programska oprema izdelek.

To je naloga, ki jo imajo te institucije. Državni organ mora razložiti predpis in ga ne sme razlagati v korist enega ponudnika rešitev. Združenje mora zastopati interese članov pri nastajanju predpisa. Nobena od teh vlog ni »pokazati ekipi, kako v cevovod gradnje dodati SBOM«. Kdor to pričakuje od njih, pričakuje napačno stvar.

Prenos znanja ima štiri člene. Na vsakem se lahko pretrga:

Tretji člen je po naši oceni v slovenskem prostoru najšibkejši. Ne zato, ker ne bi bilo znanja, ampak ker ga nihče nima za svojo nalogo. Svetovalci ga ponujajo kot plačljivo storitev, kar je legitimno, a doseže le tiste, ki že vedo, da ga potrebujejo. Avtorji strokovnih člankov, tudi mi, pa smo pogosto ostali pri razlagi, ker je razlaga varna: člen je mogoče citirati, postopek pa je treba prilagoditi vsakemu okolju posebej.

Posledica so lahko dobro obveščene vodstvene ekipe in razvojne ekipe, ki niso dobile nobenega novega orodja.

Isto besedilo o CRA bere pet ljudi in vsak potrebuje nekaj drugega:

Za vsako vrstico velja preizkus: kaj zna bralec po prebranem narediti drugače? Če odgovor ni konkreten, je besedilo opravilo informativno nalogo, ne pa izobraževalne.

Od tega članka naprej si ta preizkus postavljamo tudi sami. Zato ima vsak del serije na koncu pripomoček, ki ga je mogoče uporabiti brez nas.

„Wer ist in Ihrem Unternehmen für die Informationssicherheit verantwortlich, und wie ist diese Verantwortung organisatorisch verankert?“

Prevod: Kdo je v vašem podjetju odgovoren za informacijsko varnost in kako je ta odgovornost organizacijsko umeščena?

Kaj v resnici želi vedeti? Ne sprašuje po imenu, ampak po treh stvareh, ki jih nemški pojem Zuständigkeit vedno vsebuje: kdo je pristojen, s kakšnim pooblastilom (ali lahko na primer ustavi izdajo) in kdo ga nadomešča, ko ga ni. Odgovor »za to skrbi ves razvojni tim« bo naročnik prebral kot »nihče«. Dober odgovor navede osebo, njeno vlogo v organizaciji, poročevalsko pot do vodstva in namestnika.

Matrika povezuje zahteve iz predpisov s posledico za vaše poslovanje in s tehničnim ukrepom, ki to posledico obvlada. Vrstice, ki vas zadevajo, prenesite v svoj načrt dela; stolpec »Ukrep« je tisto, kar lahko ekipa začne delati v ponedeljek.

Matrika ni pravni nasvet. Pove, kje začeti; ali vas posamezna zahteva zadeva neposredno ali prek naročnika, obravnava naslednji del.

Naslednji del (18. 8. 2026): Niste zavezanec po NIS2? Vaš naročnik ima morda drugačne načrte.

Če pišete ali predavate o teh temah in bi radi preizkus »kaj bralec zna narediti drugače« uporabili skupaj z nami, nam pišite.