# NIS2 i sigurnost web-poslužitelja

> NIS2 obveze za tvrtke općenito objašnjene: upravljanje rizicima, prijave, odgovornost uprave i što to znači za web-poslužitelje. Bez pravnog savjeta.

Izvor: https://phpsos.de/hr/compliance/nis2/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** EU direktiva NIS2 znatno veći broj tvrtki nego prije obvezuje na mjere upravljanja rizicima i na prijavu značajnih sigurnosnih incidenata. U Njemačkoj se provodi zakonom NIS2UmsuCG (njemački zakon o provedbi NIS2 i jačanju kibernetičke sigurnosti); nadležno tijelo je BSI (njemački Savezni ured za informacijsku sigurnost). Za web-poslužitelje to prije svega znači: ažuriranja, upravljanje ranjivostima i postupanje s incidentima moraju biti organizirani i dokazivi. Ova stranica je opća informacija, a ne pravni savjet.

> **Važno:**
> Nije pravni savjet: spada li Vaša tvrtka pod NIS2 i koje obveze pojedinačno vrijede, razjasnite na temelju podataka BSI-ja i uz pravno savjetovanje. Namjerno ne navodimo pragove ni rokove koji ovise o Vašem razvrstavanju.

## Što je NIS2

NIS2 je druga EU direktiva o sigurnosti mrežnih i informacijskih sustava. U odnosu na raniji propis znatno proširuje krug obveznika i razlikuje osobito važne i važne subjekte. Koje su djelatnosti i veličine obuhvaćene, određuje zakon.

U Njemačkoj NIS2UmsuCG provodi direktivu i u tu svrhu, među ostalim, iznova uređuje zakon o BSI-ju. BSI je kontakt za registraciju, prijave i nadzor te na svojoj web-stranici daje informacije i pomoć pri razvrstavanju. Pouzdane, aktualne podatke o rokovima i postupcima naći ćete tamo, a ne u općim sažecima.

## NIS2 obveze za tvrtke ukratko

Za obuhvaćene tvrtke obveze se okvirno mogu svesti na tri područja:

**Upravljanje rizicima.** Tvrtke moraju poduzeti prikladne i razmjerne tehničke i organizacijske mjere. Tu tipično spadaju koncepti analize rizika i informacijske sigurnosti, postupanje sa sigurnosnim incidentima, održavanje poslovanja sigurnosnim kopijama i upravljanjem krizama, sigurnost opskrbnog lanca, sigurnost pri nabavi, razvoju i održavanju uključujući postupanje s ranjivostima, kontrola pristupa i kriptografija.

**Prijave.** Značajni sigurnosni incidenti prijavljuju se BSI-ju. Direktiva za to predviđa postupak u više faza, od rane prve prijave do završnog izvješća. Točne rokove i putove prijave za Njemačku preuzmite iz podataka BSI-ja.

**Odgovornost uprave.** Poslovodstvo mora odobriti mjere, nadzirati njihovu provedbu i dati se educirati o pitanjima kibernetičke sigurnosti. Više o tome u članku [Odgovornost uprave](https://phpsos.de/hr/compliance/geschaeftsfuehrer-haftung/).

## Što to znači za web-poslužitelje

Web-poslužitelji su često najotvoreniji sustav tvrtke. PHP2Shell pokazuje kako brzo ranjivost u temeljnoj komponenti može pogoditi sve aplikacije koje na njoj rade. Dvije ranjivosti CVE-2026-109618 i CVE-2026-109619 omogućuju izvršavanje koda bez prijave; BSI je proglasio razinu upozorenja 3 (narančasta) i preporučio trenutačno ažuriranje.

Za tvrtku obveznika NIS2 iz toga proizlaze praktična pitanja: znamo li koji poslužitelji koriste PHP i u kojoj verziji? Tko prati sigurnosne obavijesti i odlučuje o hitnim ažuriranjima? Možemo li prepoznati napad i tko procjenjuje je li incident značajan i time podliježe prijavi? Je li uređeno što preuzimaju pružatelj hostinga i davatelji usluga?

Zakrpa ne uklanja zlonamjerni softver koji je ubačen prije i ne dokazuje da se ništa nije dogodilo. I to spada u procjenu incidenta.

## Konkretne mjere za web-infrastrukturu

Sljedeće točke nisu konačan popis, ali pokrivaju najčešće praznine:

| Mjera | Odnos |
|---|---|
| Popis svih web-poslužitelja, PHP verzija i aplikacija | analiza rizika |
| Čvrst postupak za sigurnosna ažuriranja uključujući ponovno pokretanje i dokaz | upravljanje ranjivostima |
| Nadzor i čuvanje zapisnika | postupanje s incidentima |
| Testirane sigurnosne kopije i plan ponovne uspostave | kontinuitet poslovanja |
| Podjela zadaća s pružateljem hostinga i agencijama pisanim putem | opskrbni lanac |
| Višefaktorska prijava za administratorske pristupe | kontrola pristupa |
| Pripremljeni putovi prijave i odgovornosti | obveze prijave |

Kao metodološki okvir prikladan je IT-Grundschutz BSI-ja (njemački temeljni standard IT sigurnosti). [IT plan za hitne slučajeve za web-poslužitelje](https://phpsos.de/hr/compliance/notfallplan-erstellen/) povezuje tehniku, odgovornosti i putove prijave.

## Zajedno promatrajte NIS2 i zaštitu podataka

Napad na web-poslužitelj može istodobno biti NIS2 incident i povreda zaštite podataka. Tada se paralelno odvijaju dva postupka, s različitim tijelima i zahtjevima. Prijava nadzornom tijelu za zaštitu podataka prema čl. 33. GDPR-a opisana je u članku [Obveza prijave prema GDPR-u: 72 sata](https://phpsos.de/hr/compliance/dsgvo-meldepflicht-72-stunden/). Oba puta planirajte unaprijed kako u kriznom slučaju nitko ne bi morao improvizirati.

Još jedna točka tiče se pružatelja usluga. Mnoge tvrtke prepuštaju agencijama održavanje web-stranica, a pružateljima hostinga rad poslužitelja. Obveza uzimanja u obzir rizika opskrbnog lanca u praksi znači: ugovorom urediti tko instalira sigurnosna ažuriranja, koliko brzo se obrađuju kritične ranjivosti, kako ćete biti obaviješteni o incidentima i koje dokaze dobivate. Situacija oko PHP2Shella dobar je test postoje li već takve odredbe i jesu li u kriznom slučaju funkcionirale. Ako odgovor nedostaje, to je točka za Vaše upravljanje rizicima.

## Kako PHP SOS konkretno pomaže?

- Popisujemo Vašu web-infrastrukturu i procjenjujemo rizike i praznine u obliku koji možete koristiti za svoje upravljanje rizicima.
- Uspostavljamo dokaziv postupak za sigurnosna ažuriranja i na zahtjev ga preuzimamo putem [ugovora o sigurnosnom održavanju](https://phpsos.de/hr/leistungen/security-wartungsvertrag/).
- Uz [sigurnosni nadzor](https://phpsos.de/hr/leistungen/security-monitoring/) i čuvanje zapisnika stvaramo temelj za prepoznavanje i procjenu incidenata.
- U slučaju incidenta isporučujemo tehničke činjenice za Vašu prijavu BSI-ju; pravno razvrstavanje ostaje na Vama i Vašem pravnom savjetniku.


## Česta pitanja

**Pogađa li NIS2 moju tvrtku?**  
To ovisi, među ostalim, o djelatnosti i veličini tvrtke. Točni kriteriji proizlaze iz njemačkog provedbenog zakona. BSI (njemački Savezni ured za informacijsku sigurnost) na svojoj web-stranici daje informacije o obuhvaćenosti; u slučaju sumnje pitanje razjasnite pravnim savjetovanjem.

**Što NIS2 znači za web-stranicu tvrtke?**  
Web-poslužitelji, portali za klijente i shopovi spadaju u sustave čijim rizicima obuhvaćena tvrtka mora upravljati. Tu spadaju ažuriranja, upravljanje ranjivostima, kontrola pristupa i sposobnost prepoznavanja i prijave incidenata.

**Koji rokovi prijave vrijede prema NIS2?**  
Direktiva predviđa postupak prijave u više faza za značajne sigurnosne incidente. Obvezujuće rokove, putove i obrasce za Njemačku preuzmite iz podataka BSI-ja i teksta zakona. Rokove ovdje namjerno ne navodimo bez veze s Vašom situacijom.

**Vrijedi li NIS2 i za dobavljače?**  
NIS2 od obuhvaćenih subjekata zahtijeva da uzmu u obzir i sigurnost svog opskrbnog lanca. Zato mnogi klijenti pitaju svoje pružatelje usluga i dobavljače za sigurnosne mjere, čak i ako oni sami ne spadaju izravno pod zakon.

## Izvori

- [BSI](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [GDPR čl. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)