Niste zavezanec po NIS2? Vaš naročnik ima morda drugačne načrte.

Kaj vam nalaga zakon, kaj CRA in kaj podpišete s pogodbo. Tretji del serije »Ko dobra koda ni več dovolj«.

»Nas NIS2 ne zadeva, premajhni smo.« Ta stavek je pogosto pravno povsem pravilen. In vseeno lahko podjetje, ki ga izreče, čez pol leta izpolnjuje skoraj vse, kar NIS2 zahteva od zavezancev. Ne zaradi zakona, ampak zaradi pogodbe.

Serija »Ko dobra koda ni več dovolj«

• 01 Nemški naročnik ne kupuje več vaše kode. Kupuje odsotnost vašega tveganja. (4. 8. 2026)
• 02 O uredbi smo pisali. Smo komu povedali, kaj naj naredi v ponedeljek zjutraj? (11. 8. 2026)
• 03 Niste zavezanec po NIS2? Vaš naročnik ima morda drugačne načrte. (18. 8. 2026)
• 04 Clean code vas ne bo rešil. Tudi certifikat ne. (25. 8. 2026)
• 05 Nemški varnostni vprašalnik: trenutek, ko marketing sreča realnost (1. 9. 2026)
• 06 Slovenski IT ne potrebuje še enega seminarja o NIS2 (8. 9. 2026)

V tem članku: »Premajhni smo« · Tri vrste odgovornosti · Kako obveznost potuje navzdol · Kaj podpišete s pogodbo · Kaj bi vprašal nemški naročnik? · Pripomoček: matrika odgovornosti

Začnimo s tem, kar je v tem stavku res. NIS2 zavezuje predvsem srednja in velika podjetja v sektorjih, ki jih našteva v prilogah, in nekatere subjekte ne glede na velikost. Mikro in malo podjetje, ki razvija programsko opremo po naročilu, v večini primerov ni neposredni zavezanec po ZInfV-1. Samoregistracija, nadzor Urada Vlade RS za informacijsko varnost (URSIV) in globe po tem zakonu ga ne zadevajo.

Kdor to ugotovi, je ravnal pravilno: preveril je, ali ga predpis zadeva, in ugotovil, da ne. Težava je v tem, da se tu vprašanje ne konča. Začne se drugo vprašanje: koga zadeva predpis, za katerega delate?

Dobavitelj programske opreme se lahko z zahtevami sreča na tri načine. Pomembno jih je ločiti, ker imajo različne posledice in različne nasprotne strani:

Prva vas morda ne zadeva. Druga vas zadeva, če izdelek z digitalnimi elementi pod svojim imenom dajete na trg EU. Tretja vas zadeva vedno, ko podpišete pogodbo, in je za mala podjetja v praksi najpomembnejša.

Kje CRA ni nedvoumen. Čista programska oprema kot storitev (SaaS), ki ni povezana z izdelkom, praviloma ni v obsegu CRA. Ali je programska oprema, razvita po naročilu za enega samega naročnika, »dana na trg«, pa iz besedila uredbe ni nedvoumno razvidno. To je vprašanje za pravnika, ki pozna vaše pogodbe, ne za splošen članek. Pomembno je le, da si ga zastavite, preden ga zastavi naročnik.

Nemški naročnik, ki je zavezanec po NIS2, mora po členu 21 med ukrepi za obvladovanje tveganj zagotoviti varnost dobavne verige. Direktiva v členu 21(3) izrecno zahteva, da pri tem upošteva ranljivosti posameznih dobaviteljev, kakovost njihovih izdelkov in njihovo prakso kibernetske varnosti, vključno z njihovimi postopki varnega razvoja. V Nemčiji je to preneseno v zakon BSIG; § 38 izvajanje teh ukrepov nalaga vodstvu, ki zanje odgovarja tudi z odškodnino.

Kaj iz tega sledi za vas? Vodja nabave pri naročniku ne more več reči »dobavitelj je zanesljiv, poznamo ga petnajst let«. Mora imeti zapis, da je to preveril. Zato dobite vprašalnik. In zato se spremenijo pogodbe: obveznost, ki jo ima naročnik do države, prenese na vas v obliki, ki jo lahko uveljavlja sam.

Pri CRA je mehanizem podoben. Če naročnik izdelek, v katerega vgradi vašo komponento, daje na trg pod svojim imenom, je proizvajalec on. O aktivno izkoriščeni ranljivosti v vaši komponenti mora poročati v 24 urah od trenutka, ko zanjo izve. To lahko naredi samo, če mu vi poveste dovolj hitro.

Določbe, s katerimi naročniki te obveznosti prenašajo na dobavitelje, so si med seboj podobne. Preden jih podpišete, pri vsaki preverite tri stvari: ali jo zmorete izpolniti, kako boste to dokazali in koliko vas stane, če je ne izpolnite.

• Rok za obveščanje o varnostnih incidentih, pogosto »unverzüglich, spätestens innerhalb von 24 Stunden«. Kdo pri vas je dosegljiv ob nedeljah?
• Pravica do revizije (Auditrecht), tudi pri vaših podizvajalcih. Ali jo imate vi do njih?
• Prenos obveznosti na podizvajalce. Ali veste, katere zunanje storitve in knjižnice uporabljate in kdo jih vzdržuje?
• Seznam komponent in obveščanje o ranljivostih za vsako izdajo. Ali nastane samodejno?
• Obdobje podpore z varnostnimi posodobitvami. Ali je vračunano v ceno?
• Odgovornost in odškodnina, včasih brez zgornje meje. Ali jo krije vaše zavarovanje?

Nobena od teh določb ni nerazumna. Vsaka pa ima ceno, ki jo je bolje izračunati pred podpisom kot po prvem incidentu.

„Sind Sie bereit, sich vertraglich zu verpflichten, uns Sicherheitsvorfälle, die unsere Systeme oder Daten betreffen können, unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme zu melden?“

Prevod: Ali ste se pripravljeni pogodbeno zavezati, da nas boste o varnostnih incidentih, ki lahko prizadenejo naše sisteme ali podatke, obvestili nemudoma, najpozneje pa v 24 urah od trenutka, ko zanje izveste?

Kaj v resnici želi vedeti? Besedi unverzüglich in Kenntnisnahme sta natančna pravna pojma. Unverzüglich v nemškem pravu pomeni »brez krivdnega odlašanja«, torej prej kot v 24 urah, če je to mogoče. Kenntnisnahme je trenutek, ko za incident izveste, ne trenutek, ko ga potrdite. Naročnik sprašuje, ali imate postopek, ki zazna, presodi in sporoči v enem dnevu, tudi ob koncu tedna. Če ga nimate, odgovora »ja« ne podpišite, ampak predlagajte rok, ki ga zmorete, in načrt, kdaj boste zmogli 24 ur.

Matrika pokaže, kdo je za kaj odgovoren v značilni verigi: proizvajalec daje izdelek na trg pod svojim imenom, izvajalec zanj razvija programsko opremo po pogodbi, podizvajalec dela za izvajalca. Izpolnite jo za svojo največjo pogodbo. Prazna polja so pogajalska točka.

Kako uporabiti: za vsako vrstico preverite, ali je naloga v vaši pogodbi zapisana, s kakšnim rokom in kdo jo pri vas izvaja. Če naloga v pogodbi ni zapisana, jo bo naročnik prej ali slej zahteval. Če je zapisana, pri vas pa je nihče ne izvaja, je to odprto tveganje.

Matrika opisuje značilno razdelitev, ne pravne razlage vaše pogodbe. Za to potrebujete pravnika, ki pozna nemško in slovensko pogodbeno pravo.

Naslednji del (25. 8. 2026): Clean code vas ne bo rešil. Tudi certifikat ne.

Če pogodbo z nemškim naročnikom ravno pregledujete in želite drugo mnenje o tehničnih določbah, nam pišite.