Ali ZInfV-1 (NIS2) velja za ponudnike gostovanja in njihove stranke?

Praktičen vodnik za slovenska podjetja, ki gostujejo spletno stran, spletno trgovino ali aplikacijo SaaS in želijo vedeti, kaj določa zakon o informacijski varnosti in kaj ostane pri njih. Stanje na dan 30. 9. 2026.

Kratek odgovor

1ZInfV-1 (Uradni list RS, št. 40/2025) prenaša direktivo NIS2 v slovenski pravni red. Začel je veljati 19. 6. 2025 (čl. 70: petnajsti dan po objavi).
2Zakon ne velja za vsako spletno stran. Zavezanci so subjekti iz prilog 1 in 2 zakona (čl. 6), praviloma s vsaj 50 zaposlenimi in vsaj 10 milijoni evrov letnega prometa ali bilančne vsote, z izjemami. Med zavezanci so izrecno tudi ponudniki storitev računalništva v oblaku, podatkovnih centrov, omrežij za dostavo vsebine in upravljanih storitev.
3Če ste zavezanec, morate sprejeti tehnične, operativne in organizacijske ukrepe za obvladovanje tveganj (čl. 22) ter pomembne incidente javiti skupini CSIRT: zgodnje sporočilo v 24 urah in priglasitev v 72 urah po zaznavi (čl. 30).
4Ponudnik gostovanja je dobavitelj v vaši verigi, ne prevzame vaših obveznosti. Stanje na dan 30. 9. 2026; to ni pravni nasvet.

Kaj je ZInfV-1?

Zakon o informacijski varnosti (ZInfV-1) je bil objavljen v Uradnem listu RS, št. 40/2025, 4. junija 2025. V 2. členu je zapisano, da prenaša direktivo (EU) 2022/2555 (NIS2). Pristojni nacionalni organ je Urad Vlade Republike Slovenije za informacijsko varnost (čl. 10).

Zakon deli zavezance na bistvene in pomembne subjekte. Ali ste med njimi, določa vaš sektor (prilogi 1 in 2) in velikost (čl. 6). Zakon pozna tudi primere, ko zavezanost velja ne glede na velikost. Za natančno presojo preberite besedilo zakona ali se posvetujte s pravnikom.

Ponudniki gostovanja in oblaka kot zavezanci

Zakon ponudnike storitev računalništva v oblaku, ponudnike storitev podatkovnih centrov, ponudnike omrežij za dostavo vsebine in ponudnike upravljanih storitev navaja med subjekti, za katere veljajo posebna pravila, na primer pri uporabi izvedbenih aktov Evropske komisije za varnostne ukrepe (čl. 22) in pri priglasitvi pomembnih incidentov (čl. 29).

Če sami nudite gostovanje, oblak ali upravljane storitve drugim, preverite, ali spadate med zavezance. Če gostovanje le kupujete za spletno trgovino, aplikacijo ali interni sistem, vas zakon zadeva le, če ste sami zavezanec zaradi sektorja in velikosti.

Ukrepi, incidenti in dobavna veriga

Člen 22 zahteva ukrepe za obvladovanje tveganj, med drugim za varnost dobavne verige in politike uporabe oblačnih storitev. Člen 30 določa rok 24 ur za zgodnje sporočilo in 72 ur za priglasitev pomembnega incidenta, šteto od zaznave.

Zato mora zavezanec imeti pogodbo z ponudnikom gostovanja, opis varnostnih kopij in obnove, kontakt za incidente ter jasno vedeti, kje so podatki. Zavezanec javlja sam; ponudnik hostinga tega ne dela namesto njega.

Kaj to pomeni za vaše gostovanje?

Strežniki 4hosting niso v Sloveniji. Podatkovni center je v EU, v Frankfurtu. To ne spremeni vaših obveznosti, sodi pa v dokumentacijo dobavne verige skupaj z pogodbo o obdelavi podatkov (člen 28 GDPR).

Trije konkretni primeri

Spletna trgovina na VPS

Manjša slovenska spletna trgovina teče na VPS. Lastnik najprej preveri, ali sektor in velikost pomenita zavezanost po členu 6. Če ne, so preizkušene varnostne kopije, posodobitve in WAF še vedno smiselni.

SaaS podjetje s poslovnimi strankami

Če je podjetje zavezanec, ima načrt za obvladovanje tveganj in evidenco dobaviteljev. Ponudnik gostovanja je v njej s pogodbo, pogodbo o obdelavi podatkov, opisom varnostnih kopij in kontaktom za incidente.

Izsiljevalski virus na produkcijskem strežniku

Roka 24 in 72 ur tečeta za zavezanca. Vnaprej določite, kdo odloča, kdo pošlje zgodnje sporočilo, kje so dnevniki in iz katere varnostne kopije obnovite sistem.

Pogoste napake

Misel, da je zaradi strežnika v EU zakon že izpolnjen. Obveznosti so na zavezancu, ne na dobavitelju infrastrukture.
Nikoli preveriti, ali ste zavezanec po členu 6 in prilogah 1 in 2.
Nimati pisnega postopka za incident: brez njega je zgodnje sporočilo v 24 urah težko izvedljivo.
Ponudnika gostovanja ne vključiti v evidenco dobaviteljev (pogodba, pogodba o obdelavi podatkov, kopije, kontakt).

Kako pomaga 4hosting

Infrastruktura v EU, v Frankfurtu, ne v Sloveniji, z zaščito pred DDoS na ravneh L3/L4 do 1,5 Tbps.
Pogodba o obdelavi podatkov (DPA) po členu 28 GDPR, standardne pogodbene klavzule za prenose in uskladitev z ISO 27001. To ni certifikat ISO 27001.
Storitve DevOps in CyberSecurity v okviru ur, vključenih v paket: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring. Ure zahtevate v odjemalski plošči; ure čez kvoto se zaračunajo posebej.
4hosting nima certifikatov NIS2, ISO ali SOC 2, ne potrjuje skladnosti stranke in ne jamči pravne skladnosti. Ali je 4hosting sam v področju zakona, tu ne ocenjujemo.

Pogosta vprašanja

Ali ZInfV-1 velja za vsako slovensko spletno stran?

Ne samodejno. Zavezanci so subjekti iz prilog 1 in 2 zakona, praviloma glede na velikost (čl. 6). Preverite besedilo zakona ali se posvetujte s pravnikom.

Ali 4hosting potrjuje mojo skladnost z NIS2?

Ne. 4hosting nudi infrastrukturo, pogodbo o obdelavi podatkov ter storitve DevOps in CyberSecurity. Skladnost vaše organizacije ostaja vaša odgovornost.