Novi Zakon o informacionoj bezbednosti: šta znači za firme i hosting

Praktičan vodič za firme u Srbiji koje održavaju sajt, internet prodavnicu ili SaaS aplikaciju na hostingu ili VPS-u i žele da razumeju šta zakon traži, a šta ostaje na njima. Stanje na dan 30.09.2026.

Kratak odgovor

1. 1Zakon o informacionoj bezbednosti objavljen je u „Službenom glasniku RS“, br. 91/2025. Prema tekstu na paragraf.rs deli operatore IKT sistema na prioritetne (član 5) i važne (član 6) i uvodi obaveze zaštite, procene rizika i prijave incidenata.
2. 2Značajan incident se prijavljuje bez odlaganja, a najkasnije u roku od 24 sata od saznanja za incident (član 13). Obaveza je na operatoru, a ne na firmi koja mu iznajmljuje server.
3. 3Da li je vaša firma operator prioritetnog ili važnog IKT sistema određuju sektor i tekst zakona, a ne to što koristite hosting. To je pravna procena koju treba dokumentovati, po potrebi uz advokata.
4. 4Hosting provajder je deo vašeg lanca snabdevanja, ali ne preuzima vaše obaveze. Stanje na dan 30.09.2026.

Šta zakon uređuje

Prema tekstu zakona na paragraf.rs, obaveze operatora obuhvataju upis u evidenciju, primenu mera zaštite, procenu rizika, donošenje akta o bezbednosti IKT sistema, proveru usklađenosti i izveštavanje o incidentima (član 7). Nadzor nad radom Kancelarije za informacionu bezbednost sprovodi nadležno ministarstvo (član 29).

Pravne kancelarije, među njima Kinstellar, opisuju zakon kao usklađen sa NIS2 direktivom EU (2022/2555). To je njihovo tumačenje; za konkretnu obavezu uvek se oslonite na tekst zakona i nadležne organe.

Stupanje na snagu i rokovi

Vest na paragraf.rs navodi da je zakon stupio na snagu 31.10.2025. Taj datum nismo proverili na slglasnik.rs, pa ga navodimo kao navod iz sekundarnog izvora. Pravni pregledi navode i kasnije rokove (npr. rok za upis u evidenciju nakon donošenja podzakonskih akata), koje takođe nismo potvrdili u samom tekstu, zato ih ovde ne prenosimo.

Praktičan zaključak: ne oslanjajte se na datum iz članka, već proverite važeći tekst i podzakonske akte u „Službenom glasniku RS“ pre nego što odredite rokove za svoju firmu.

Šta se menja ako je vaš server na hostingu ili VPS-u

Postoje dve različite uloge. Ako ste klijent, hosting je u vašoj dokumentaciji dobavljač: ugovor, kontakt za incidente, opis rezervnih kopija, lokacija podataka. Ako sami pružate usluge koje spadaju u sektore iz zakona, možete biti operator.

4hosting nema data centar u Srbiji: serveri su u EU, u Frankfurtu. To ne menja vaše obaveze po srpskom zakonu, ali treba da bude zapisano u dokumentaciji o dobavljačima, zajedno sa ugovorom o obradi podataka (DPA, član 28 GDPR).

Tri konkretna primera

Najčešće greške

• Misliti da je „server u EU, dakle smo pokriveni“. Obaveze ostaju na operatoru, a ne na provajderu infrastrukture.
• Nikada ne proveriti da li firma spada u prioritetne ili važne operatore.
• Nemati pisanu proceduru za prijavu incidenata: sa rokom od 24 sata ne može se početi od nule.
• Ne dokumentovati hosting provajdera kao deo lanca snabdevanja (ugovor, DPA, rezervne kopije, kontakti).

Kako pomaže 4hosting

• Infrastruktura u EU, u Frankfurtu, ne u Srbiji, sa uključenom DDoS zaštitom L3/L4 do 1,5 Tbps.
• Ugovor o obradi podataka (DPA) prema članu 28 GDPR, standardne ugovorne klauzule za prenos podataka i usklađivanje sa ISO 27001. To nije ISO 27001 sertifikat.
• DevOps i CyberSecurity usluge u satima uključenim u plan: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring. Sati se traže iz klijentskog panela; iznad kvote naplaćuju se posebno.
• 4hosting nema NIS2, ISO ni SOC 2 sertifikate, ne potvrđuje usklađenost klijenta i ne potpisuje pravnu usklađenost umesto klijenta. Ovde ne određujemo da li sam 4hosting spada u domen zakona.

Česta pitanja

Pogledajte i

• Privatnost i obrada podataka
• VPS serveri: NVMe, root pristup i Docker
• Mailu i SMTP relay: SPF, DKIM i DMARC