Početna / Vodič kroz zakon
Zakon o informacionoj bezbednosti 2025: šta firme moraju da urade do 30. aprila 2027.
Novi Zakon o informacionoj bezbednosti deli firme i ustanove na operatore prioritetnih i važnih IKT sistema. Obaveze su iste za obe grupe: procena rizika, akt o bezbednosti, godišnja provera, obaveštavanje o incidentima i godišnja statistika. Razlikuju se kazne i nadzor.
Šta je novo u zakonu
Zakon o informacionoj bezbednosti objavljen je u „Službenom glasniku RS“, br. 91/2025, i stupio je na snagu osmog dana od objavljivanja (čl. 58), odnosno 31. oktobra 2025. Zamenjuje zakon iz 2016. i prati pristup evropske direktive NIS2: umesto jedne grupe „IKT sistema od posebnog značaja“, operatori se dele na prioritetne i važne.
Operatori koji su bili obveznici po starom zakonu postupali su po starim obavezama do 31. decembra 2025 (čl. 55). Akt o proceni rizika i akt o bezbednosti po novim pravilima treba doneti u roku od 18 meseci od stupanja zakona na snagu, odnosno do 30. aprila 2027.
Ko je obveznik
Prioritetni IKT sistemi (čl. 5)
- energetika i rudarstvo (struja, nafta i gas, vodonik, metali)
- saobraćaj (vazdušni, železnički, vodni, drumski i inteligentni transport)
- bankarstvo i finansijska tržišta
- zdravstvo (zdravstvena zaštita, referentne laboratorije, lekovi i medicinski proizvodi)
- snabdevanje vodom za piće, sakupljanje i prečišćavanje otpadnih voda
- digitalna infrastruktura (računarstvo u oblaku, data centri) i upravljane IKT usluge za prioritetne operatore
- organi vlasti i operatori kritične infrastrukture
Važni IKT sistemi (čl. 6)
- poštanske usluge, upravljanje otpadom i ambalažnim otpadom, hemikalije
- proizvodnja i distribucija hrane (veleprodaja i industrijska proizvodnja)
- proizvodnja računara i elektronike, električne opreme, mašina, motornih vozila i medicinskih sredstava
- usluge informacionog društva
- naoružanje i vojna oprema, svemirske usluge
- istraživačke organizacije
Lista oblasti nije kraj priče. Uslove i kriterijume za određivanje operatora, „uključujući i kriterijume u pogledu veličine privrednih subjekata“, propisuje Vlada uredbom (čl. 6). Do 9. 11. 2026 ta uredba nije objavljena, pa se još ne zna da li će, na primer, mala preduzeća iz navedenih oblasti biti obuhvaćena. Proverite svoju delatnost u upitniku →
Obaveze i rokovi
| Obaveza | Član | Rok ili učestalost |
|---|---|---|
| Upis u evidenciju operatora | 9 | 90 dana od usvajanja propisa o evidenciji; promene u roku od 15 dana |
| Mere zaštite IKT sistema | 10 | Stalno |
| Akt o proceni rizika | 11, 55 | Do 30. 4. 2027; revizija najmanje jednom godišnje |
| Akt o bezbednosti IKT sistema | 12, 55 | Do 30. 4. 2027 |
| Provera usklađenosti sa aktom, uz izveštaj | 12 | Najmanje jednom godišnje |
| Obaveštenje o incidentu | 13 | Najkasnije 24 sata od saznanja |
| Statistika incidenata, i izbegnutih | 25 | Do 28. februara tekuće godine |
Detaljnije: akt o bezbednosti i akt o proceni rizika i kalendar svih rokova.
Obaveštavanje o incidentima
Operator obaveštava o incidentu najkasnije 24 sata od kada je saznao za njega (čl. 13). Dok incident traje, izveštaj se šalje na svaka tri dana za incidente srednjeg nivoa, a na svaka 24 sata za incidente visokog i vrlo visokog nivoa. Završni izveštaj stiže u roku od 15 dana od prestanka incidenta (čl. 24). Ceo tok prijave incidenta →
Kazne i nadzor
| Prekršaj | Pravno lice | Odgovorno lice | Član |
|---|---|---|---|
| Operator prioritetnog sistema | 50.000–2.000.000 RSD | 5.000–50.000 RSD | 50 |
| Operator važnog sistema | 50.000–1.000.000 RSD | 5.000–50.000 RSD | 51 |
| Propusti u obaveštavanju o incidentima | 50.000–500.000 RSD | 5.000–50.000 RSD | 52, 53 |
Kancelarija za informacionu bezbednost počinje da radi 1. januara 2027 (čl. 56).
Podzakonski akti: šta je doneto
Zakon je ostavio 12 meseci za podzakonske akte (čl. 54), odnosno do 31. oktobra 2026. Najvažniji kasne:
Stanje prema pregledu Biroa za digitalnu bezbednost i Pravnog kutka (sekundarni izvori), provereno 9. 11. 2026. Ako znate za noviji propis, pišite nam na info@bedem.in.rs.
Šta da uradite sada
- Proverite da li je vaša delatnost na listama iz čl. 5 i 6.
- Popišite IKT sisteme i ko je za njih odgovoran: to vam treba za procenu rizika bez obzira na uredbe.
- Pročitajte metodologiju iz Pravilnika 63/2026 i odlučite ko radi procenu: vaš tim ili konsultant.
- Dogovorite ko u firmi prijavljuje incident u roku od 24 sata, i ko ga zamenjuje.
- Pratite objavu uredbi iz čl. 6 i 12. Javićemo vam kad izađu.
Izvori
- Primarni: Zakon o informacionoj bezbednosti, „Sl. glasnik RS“, br. 91/2025 (Paragraf, PDF)
- Primarni: Konačni tekst zakona, Narodna skupština (PDF)
- Sekundarni: TCLaw, stupanje zakona na snagu 31. 10. 2025
- Sekundarni: Biro za digitalnu bezbednost, pregled podzakonskih akata
- Sekundarni: Pravni kutak, konsultacije o uredbi o aktu o bezbednosti
Tekst je informativan i nije pravno mišljenje. Ažurirano 10. 11. 2026.