Samoprocena obaveza
prema ZIB 2025 (NIS2)
Proverite da li vaša organizacija podleže novom Zakonu o informacionoj bezbednosti, koja ste kategorija i šta treba da preduzmete.
Novi Zakon o informacionoj bezbednosti (ZIB 2025) stupio je na snagu 31. oktobra 2025. godine
Ovaj alat pomaže da utvrdite:
• Da li vaša organizacija podleže zakonu
• Koju kategoriju imate (Priority ili Important)
• Koje su vaše obaveze i rokovi
Traje oko 3 minuta. Bez registracije.
Zakon i podzakonska akta
- ZIB 2025 — pun tekst zakona ↗ pravno-informacioni-sistem.rs
- RATEL — podzakonski akti ↗ ratel.rs
- Pravilnik o metodologiji procene rizika (jul 2026) ↗ ratel.rs — PDF
- Model akta bezbednosti ICT sistema ↗ ratel.rs — DOCX
Registracija operatora
- MIT — portal za registraciju operatora ↗ mit.gov.rs
- MIT — kontrolne liste i izveštaji ↗ mit.gov.rs
- MIT — Plan inspekcijskog nadzora 2026 (ZIB) ↗ mit.gov.rs (PDF)
- MIT — Izmenjen plan inspekcijskog nadzora 2026 (30.07.2026) ↗ mit.gov.rs (PDF)
- MIT — Godišnji izveštaj Inspekcije 2025 ↗ mit.gov.rs (PDF)
- MIT — Kontrolna lista 01 (ZIB, samoprocena) ↗ mit.gov.rs (DOCX)
Mere bezbednosti
- RATEL — smernice za IKT bezbednost ↗ ratel.rs
- 28 mera zaštite — Uredba o merama zaštite IKT sistema ↗ ratel.rs — Sl. glasnik RS 94/19 (PDF, 4.7 MB)
- RATEL — smernice za zaštitu korisnika od bezbednosnih rizika ↗ ratel.rs — PDF, 244 KB
Gde hostovati podatke u Srbiji — data centri
Ako obrađujete podatke u cloud-u ili kolokaciji, proverite gde se podaci fizički nalaze. Za državne organe Zakon o elektronskoj upravi (član 10) zahteva da registri i skladišta budu u Srbiji. Pregled javno dostupnih kapaciteta (stanje 28.09.2026):
| Objekat | Operator / vlasnik | Lokacija | Kapacitet / standard | Kontakt / sajt |
|---|
⚠️ U Srbiji još nema Uptime Institute sertifikata — navedeni „Tier“ nivoi su izjave operatora o usklađenosti, ne sertifikati. Broj štandova mnogi operatori ne objavljuju. Pre potpisivanja proverite: lokaciju podataka, rezervno napajanje i DR lokaciju, podatke o vlasništvu i ugovorne klauzule o lokaciji podataka.
Zaštita podataka o ličnosti / GDPR
- Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti ↗ poverenik.rs
- Zakon o zaštiti podataka o ličnosti (ZS1/2018) ↗ paragraf.rs — Sl. glasnik RS 87/2018
- ATS — Akreditaciono telo Srbije (ISO 27001 sertifikacija) ↗ ats.rs
Sektorski propisi — klasifikacija po ZIB 2025
ZIB 2025 (član 5) deli operatore na PRIORITETNE i VAŽNE u zavisnosti od sektora. Ispod su nadležni organi i postojeći propisi po sektorima:
ZIB 2025 pokriva iste sektore kao EU NIS2 direktiva (Aneks I i II), uz prilagođenu podelu na PRIORITETNE (Essential) i VAŽNE (Important):
🔴 PRIORITETNI = NIS2 Essential: energetika, saobraćaj, bankarstvo, finansijske infrastrukture, zdravstvo, voda, digitalna infrastruktura, ICT usluge, državna uprava, svemir
🟠 VAŽNI = NIS2 Important: pošta, upravljanje otpadom, hemikalije, hrana, proizvodnja, digitalni provajderi (pretraživači, društvene mreže, marketplace)
📜 Opšti podzakonski akti (primenjuju se na sve sektore)
• Uredba o Listi delatnosti — SG 94/2019
• Uredba o bližem sadržaju akta o bezbednosti IKT sistema — SG 94/2016
• Uredba o bližem uređenju mera zaštite IKT sistema — SG 94/2016
• Uredba o postupku obaveštavanja o incidentima — SG 11/2020
• Uredba o bezbednosti dece pri korišćenju IKT — SG 13/2020
Pravilnici:
• Pravilnik o evidenciji operatora IKT sistema — SG 9/2020
• Pravilnik o statističkim podacima o incidentima — SG 76/2020
• Pravilnik o evidenciji posebnih centara (CERT) — SG 37/2020
Drugo:
• Odluka o obrazovanju Tela za koordinaciju IB — SG 8/2020
🔴 PRIORITETNI IKT sistemi (essential)
- Bankarstvo / Finansije — NBS propisi (obavezuju sve finansijske institucije: banke, osiguranje, penzijske fondove, lizing, platne institucije): Minimalni standardi upravljanja IKT sistemom (SG 23/2013–88/2019, novi 2026), Odluka o minimalnim standardima upravljanja IKT sistemom (SG 102/2024, novo izdanje NBS 2026), Poveravanje aktivnosti trećim licima, Tehnički standardi autentifikacije, IKT standardi za virtuelne valute, Standardi za video identifikaciju nbs.rs — direktni PDF linkovi
- Energetika (nafta, gas, elektro, toplane, vodonik) — AERS (regulator), MEM — Ministarstvo energetike, Zakon o energetici, Uredba o spremnosti na rizike u elektroenergetici, Energy Community — cybersecurity framework aers.rs · mre.gov.rs
- Saobraćaj (železnički, vazdušni, vodni, drumski) — MGSI, Direkcija za železnice, CAD — Direktorat civilnog vazduhoplovstva, Uprava carina mgsi.gov.rs · raildir.gov.rs · cad.gov.rs · carina.rs · Lista delatnosti SG 94/2019
- Zdravstvo — Ministarstvo zdravlja, RFZO zdravlje.gov.rs · rfzo.rs
- Vodosnabdevanje / Otpadne vode — Ministarstvo poljoprivrede, Srbijavode minpolj.gov.rs · srbijavode.rs
- Digitalna infrastruktura / IXP — RATEL — podzakonski akti, MIT ratel.rs · mit.gov.rs
- Elektronske komunikacije — Lista delatnosti — Uredba, RATEL — IB propisi ratel.rs
- Državna uprava — Kancelarija za IT i eUpravu, MIT ite.gov.rs · mit.gov.rs
- IKT usluge (cloud, data centri, hosting) — MIT mit.gov.rs
🟠 VAŽNI IKT sistemi (important)
- Poštanske usluge — RATEL ratel.rs
- Proizvodnja hrane — Ministarstvo poljoprivrede minpolj.gov.rs
- Hemijska industrija — Ministarstvo zaštite životne sredine ekologija.gov.rs
- Farmaceutika / Medicinska sredstva — ALIMS, Min. zdravlja alims.gov.rs · zdravlje.gov.rs
- Proizvodnja (elektronika, računari, vozila) — Ministarstvo privrede privreda.gov.rs
- Digitalni provajderi (pretraživači, društvene mreže, online marketplace) — MIT — NIS2 Aneks II — pod nadzorom MIT mit.gov.rs
- Upravljanje otpadom — Ministarstvo zaštite životne sredine ekologija.gov.rs
📌 Napomena: Novi podzakonski akti po ZIB 2025 još nisu doneti — do tada važe postojeći (član 57 ZIB). NBS već ima sopstvene propise o IS standardima za finansijske institucije (5 odluka sa direktnim PDF linkovima iznad). Za ostale sektore specifični zahtevi tek slede — krovni opšti propisi (Lista delatnosti, mere zaštite, incident procedure) važe dok se ne zamene.
Postupak prijave incidenta — korak po korak
ZIB 2025 obavezuje operatore da prijave značajan incident najkasnije 24h od saznanja. Ispod je praktična procedura zasnovana na zakonu i procedurama Nacionalnog CERT-a:
• Utvrdite da li je incident stvaran (ne lažni alarm)
• Procenite nivo opasnosti prema sledećim kriterijumima:
Nizak — incident bez uticaja na rad sistema, bez gubitka podataka (npr. phishing mejl koji nije aktiviran)
Srednji — incident sa ograničenim uticajem na rad ICT sistema, moguć gubitak manjeg obima podataka — obavezna prijava CERT-u
Visok — ozbiljan prekid rada sistema, gubitak značajnih podataka, potencijalni uticaj na korisnike — hitne mere + prijava
Veoma visok — potpuni prekid kritičnih sistema, ugrožena nacionalna bezbednost ili javno zdravlje — krizni menadžment + hitna prijava
• Zabeležite: vreme otkrivanja, vrsta incidenta, pogođeni ICT sistemi, obim štete, da li je posledica krivičnog dela
• Popunite formular na cert.rs → Prijavi incident
• Izaberite kategoriju: IKT sistem od posebnog značaja
• Obavezni podaci: opis incidenta, posledice, preduzete mere, procena nivoa opasnosti, podaci o prekograničnom dejstvu
• Ako su potrebni prilozi (logovi, uzorci) — pošaljite ih naknadno na [email protected] sa referentnim brojem prijave
• Telefonska prijava: 062/20-20-30 (Nacionalni CERT — 24h)
• Ukoliko incident ima elemente krivičnog dela — istovremeno prijavite:
→ Posebno tužilaštvo za visokotehnološki kriminal: [email protected] · beograd.vtk.jt.rs
→ MUP — Odeljenje za VTK: [email protected] · 011/274-39-28 · 011/357-33-67
• Zakon zahteva periodično izveštavanje tokom trajanja incidenta
• Ažurirajte prijavu kroz isti kanal: [email protected] (sa ID brojem prijave)
• Obavezna dopuna: promene u obimu, nove ugrožene komponente, nove preduzete mere
• Ako incident utiče na korisnike vaših usluga — obavestite i njih (sa merama za ublažavanje posledica)
• Podnesite završni izveštaj Nacionalnom CERT-u
• Sadrži: konačna analiza uzroka, preduzete korektivne mere, dokazi o otklanjanju ranjivosti
• Završni izveštaj služi i kao osnov za godišnju proveru usklađenosti
📞 Ključni kontakti
- Nacionalni CERT RS — Formular za prijavu · [email protected] · 062/20-20-30 Palmotićeva 2, 11103 Beograd · cert.rs — 24h/7
- PGP ključ — Preuzmi PGP ključ za šifrovanu komunikaciju cert.rs
- Registar posebnih CERT-ova — Pretraži registar cert.rs — interni SOC / MSSP CERT-ovi
- Posebno tužilaštvo za visokotehnološki kriminal — [email protected] · beograd.vtk.jt.rs VTK tužilaštvo — Više javno tužilaštvo u Beogradu
- MUP — Odeljenje za visokotehnološki kriminal — [email protected] · 011/274-39-28 · 011/357-33-67 mup.gov.rs — prijava krivičnih dela VTK
- MIT — Sektor za informacionu bezbednost — Plan inspekcijskog nadzora 2026 (PDF) · Izmenjen plan inspekcijskog nadzora 2026 (PDF) · Godišnji izveštaj Inspekcije 2025 (PDF) mit.gov.rs — direktne veze ka dokumentima
📋 Korisni dokumenti
- Nacionalni CERT — Uputstvo za prijavu incidenta ↗ cert.rs — objava iz 2020.
- Uredba o postupku obaveštavanja o incidentima ↗ ratel.rs — Sl. glasnik RS (PDF)
- Nacionalni CERT — Često postavljana pitanja ↗ cert.rs — FAQ
- RATEL — Model akta bezbednosti ICT sistema ↗ ratel.rs
⚠️ Ova procedura je zasnovana na ZIB 2025 i procedurama Nacionalnog CERT-a. Prvi podzakonski akt usvojen (jul 2026), ostali se očekuju. Za pravnu sigurnost konsultujte advokata.
Kazne i rokovi
PRIORITY operatori: do 2,000,000 RSD (~€17,000) za pravna lica. IMPORTANT operatori: do 1,000,000 RSD (~€8,500). Odgovorna lica: do 50,000 RSD (~€425) + zabrana obavljanja funkcije.
Registracija: 90 dana nakon usvajanja podzakonskih akata. Akt bezbednosti: do aprila 2027. Godišnja provera usklađenosti.
Zakon o informacionoj bezbednosti (ZIB 2025) je srpski zakon koji transponuje EU NIS2 direktivu. Stupio je na snagu 31. oktobra 2025. Uvodi obaveze za operatore ICT sistema u ključnim sektorima — energetika, saobraćaj, bankarstvo, zdravstvo, ICT i drugi.
Priority operatori su iz sektora energetike, saobraćaja, bankarstva, zdravstva, vodosnabdevanja, državne uprave, ICT usluga i digitalne identifikacije. Important operatori su iz poštanskih usluga, proizvodnje, prehrambene industrije, hemijske industrije, farmacije i upravljanja otpadom. Priority imaju strože zahteve i veće kazne.
Za PRIORITY operatore: kazne do 2,000,000 RSD (~€17,000) za pravna lica i do 50,000 RSD (~€425) za odgovorna lica, uz mogućnost privremene zabrane obavljanja funkcije. Za IMPORTANT operatore: do 1,000,000 RSD (~€8,500). Takođe, inspekcijski nadzor sprovodi MIT / Office for Information Security.
Zakon zahteva uspostavljanje sistema za monitoring i reagovanje na incidente. To može biti interni SOC (Security Operations Center) ili eksterni MSSP (Managed Security Service Provider). Izbor zavisi od veličine i složenosti vaše organizacije.
ZIB 2025 propisuje 28 mera zaštite koje pokrivaju: upravljanje rizicima, politike bezbednosti, kontrolu pristupa, kriptografiju, sigurnost mreže, upravljanje ranjivostima, bezbednost ljudskih resursa, fizičku bezbednost, upravljanje incidentima, kontinuitet poslovanja i bezbednost lanca snabdevanja.
Registracija se vrši preko portala Ministarstva informisanja i telekomunikacija (MIT) u roku od 90 dana od usvajanja podzakonskih akata. Potrebno je dostaviti podatke o organizaciji, ICT sistemima i kategoriji (Priority ili Important).
Zakon je stupio na snagu 31.10.2025. Podzakonski akti se očekuju u roku od 12 meseci. Nakon njihovog usvajanja: 90 dana za registraciju, april 2027. za Akt bezbednosti ICT sistema, i godišnje provere usklađenosti.
Srbija je od 2012. godine kandidat za članstvo u Evropskoj uniji i obavezna je da usklađuje svoje zakonodavstvo sa EU pravnim tekovinama (acquis communautaire). Pored toga, Srbija je članica Energetske zajednice (Energy Community) i drugih međunarodnih tela koja zahtevaju usklađivanje sa EU regulativom. NIS2 direktiva (EU 2022/2555) zamenjuje raniju NIS direktivu iz 2016. godine i uvodi strože zahteve: prošireni krug sektora, obavezno upravljanje rizicima, obavezu prijave incidenata (24h), i veće kazne. ZIB 2025 je srpski ekvivalent ove direktive — stupio je na snagu 31. oktobra 2025. i primenjuje se od 1. januara 2027. godine.