Slovenski IT ne potrebuje še enega seminarja o NIS2

Kaj mora biti čez 90 dni drugače kot danes. Šesti in zadnji del serije »Ko dobra koda ni več dovolj«.

Čez tri dni, 11. septembra 2026, začnejo veljati obveznosti poročanja po aktu o kibernetski odpornosti. Pri mnogih slovenskih IT-podjetjih se ta dan ne bo zgodilo nič vidnega. Prav zato je pravi trenutek za vprašanje, kaj bi se moralo zgoditi v naslednjih treh mesecih.

Serija »Ko dobra koda ni več dovolj«

• 01 Nemški naročnik ne kupuje več vaše kode. Kupuje odsotnost vašega tveganja. (4. 8. 2026)
• 02 O uredbi smo pisali. Smo komu povedali, kaj naj naredi v ponedeljek zjutraj? (11. 8. 2026)
• 03 Niste zavezanec po NIS2? Vaš naročnik ima morda drugačne načrte. (18. 8. 2026)
• 04 Clean code vas ne bo rešil. Tudi certifikat ne. (25. 8. 2026)
• 05 Nemški varnostni vprašalnik: trenutek, ko marketing sreča realnost (1. 9. 2026)
• 06 Slovenski IT ne potrebuje še enega seminarja o NIS2 (8. 9. 2026)

V tem članku: Kaj so seminarji naredili · Od poslušanja k delu · Štirje gradniki · Čez 90 dni · Kaj bi vprašal nemški naročnik? · Pripomoček: 90-dnevni načrt

Naslov tega članka ni posmeh seminarjem. Seminarji, predavanja in posveti o NIS2 in CRA so v zadnjih dveh letih naredili nekaj, kar je bilo nujno: vodstva slovenskih podjetij danes po našem vtisu vedo, da predpisa obstajata, in mnoga vedo, ali ju zadevata neposredno. Brez tega prvega koraka ne bi bilo nobenega drugega.

Toda seminar je dobro orodje za obveščenost in razumevanje, prvi dve ravni iz prvega dela. Za izvedbeno sposobnost in dokazljivost ni dovolj, ker se ti dve zgodita v repozitoriju, v cevovodu gradnje in v pogodbi, ne v predavalnici. Še en seminar bi znova dosegel ljudi, ki že vedo. Ne bi pa spremenil, kaj nastane ob naslednji izdaji.

Serija je šla po poti, ki jo mora prehoditi tudi podjetje:

1. sprememba trga: naročnik ne kupuje več samo kode, ampak obvladovanje tveganja;
2. vrzel v znanju: o predpisu vemo veliko, o ponedeljkovem delu malo;
3. odgovornost: obveznosti pridejo prek pogodbe, tudi če zakon ne velja neposredno;
4. inženirska praksa: dokaz nastane v cevovodu, ne naknadno;
5. dokazljivost: varnost mora biti prevedena v jezik naročnika, preden ta vpraša.

Zadnji korak je tisti, ki ga ne more narediti vsako podjetje samo: skupni program, ki prenaša znanje v obliki, ki jo je mogoče uporabiti.

Predlagamo program, ki ne bi bil še ena serija dogodkov, temveč vrsta delavnic z merljivim izidom. Nihče ga ne more ukazati; lahko pa ga skupaj sestavijo združenja, podjetja in tisti, ki imamo izkušnje z nemškimi naročniki.

• Delavnice na lastnem repozitoriju. Udeleženci ne pridejo poslušat, ampak z dostopom do svojega cevovoda gradnje. Ob koncu dneva ima vsak SBOM svoje zadnje izdaje in poročilo pregleda ranljivosti. Merilo: koliko podjetij je odšlo z delujočim korakom v cevovodu.
• Referenčni primeri. Anonimizirani, resnični odgovori na nemške vprašalnike, s komentarjem, kaj je naročnik sprejel in kaj vrnil. To je znanje, ki ga danes vsako podjetje pridobi samo, drago in prepozno.
• Skupni vzorci v slovenščini in nemščini. Politika, postopek upravljanja ranljivosti, načrt odziva, vzorčne pogodbene določbe. Dvojezično, ker se bodo dokumenti uporabljali v nemškem okolju.
• Most v DACH. Povezava z nemškimi naročniki in njihovimi združenji, na primer prek Slovensko-nemške gospodarske zbornice: naročniki povedo, kaj potrebujejo, dobavitelji pokažejo, kaj zmorejo, preden pride vprašalnik.

Merljivi izidi programa niso število udeležencev, ampak število podjetij, ki imajo:

• samodejno izdelan SBOM za vsako izdajo,
• preizkušen postopek upravljanja ranljivosti z zapisom vsaj enega primera,
• paket dokazil, s katerim na vprašalnik odgovorijo v nekaj dneh,
• imenovano odgovorno osebo za varnost z mandatom vodstva.

Program je predlog. Za vaše podjetje pa ni treba čakati nanj. Devetdeset dni je dovolj, da se iz »načeloma imamo« premaknete v »tu je dokaz«. Načrt v pripomočku spodaj je razdeljen na tri mesece in izhaja iz rezultatov samoocene iz prvega dela.

Po devetdesetih dneh naj bo drugače troje: vsaka nova izdaja pusti dokaze sama, ena oseba odgovarja za varnost in to ve, in na naslednji vprašalnik odgovorite v dneh, ne v tednih.

Vprašanje ni več samo, ali znamo razviti programsko opremo, ki deluje. Vprašanje je, ali znamo dokazati, da naš naročnik z njo ne kupuje neobvladljivega tveganja. Odgovor na to vprašanje je delo, ne predavanje.

„Welche Maßnahmen zur Verbesserung der Informationssicherheit Ihrer Lieferungen haben Sie in den letzten zwölf Monaten umgesetzt, und wie haben Sie deren Wirkung überprüft?“

Prevod: Katere ukrepe za izboljšanje informacijske varnosti vaših dobav ste uvedli v zadnjih dvanajstih mesecih in kako ste preverili njihov učinek?

Kaj v resnici želi vedeti? To vprašanje meri smer, ne stanje. Nemški naročnik ne pričakuje popolnega dobavitelja, pričakuje dobavitelja, ki se sistematično izboljšuje (kontinuierliche Verbesserung). Dober odgovor je kratek seznam z datumi: kaj ste uvedli, zakaj, kako ste preverili, da deluje. 90-dnevni načrt spodaj je prav tak seznam, če ga izvedete in zapišete.

Načrt za podjetje z eno do tremi razvojnimi ekipami. Vsak teden ima en izid, ki ga je mogoče preveriti. Izhodišče so vprašanja, ki ste jih v samooceni ocenili z 0 ali 1.

Dnevi 1–30: odgovornost in pregled

Dnevi 31–60: dokazi nastanejo sami

Dnevi 61–90: odziv in paket dokazil

Trinajsti teden ni konec. Je prvi zapis za odgovor na vprašanje zgoraj: kaj ste v zadnjih dvanajstih mesecih izboljšali in kako ste to preverili.

Serija »Ko dobra koda ni več dovolj« je s tem zaključena. Vseh šest delov s pripomočki najdete na enem mestu.

Če želite 90-dnevni načrt prilagoditi svojemu podjetju ali pripravljate program za več podjetij, nam pišite.