Evropska unija je izgradila jedan od najambicioznijih regulatornih sistema u oblasti informacijske i cyber sigurnosti na svijetu. Ovo nije jedan zakon — nego sistem koji integriše strategiju, regulativu, operativnu koordinaciju i institucionalnu arhitekturu.

Razlog za ovako ambiciozan pristup je jednostavan: digitalna infrastruktura danas je jednako kritična kao elektroenergetska mreža, bankarski sistem ili zdravstvena zaštita. Kada bolnica padne zbog ransomware napada ili kada je energetski operater kompromitovan, posljedice nisu samo tehničke — one su društvene, ekonomske i geopolitičke.

Zbog toga je EU odlučila da cyber sigurnost prestane biti isključivo tehničko pitanje i postane sastavni dio zakonodavnog, strateškog i upravljačkog okvira. Ova transformacija nije bila linearna niti brza — trajala je godinama i uključivala je konsultacije sa industrijskim sektorom, akademskom zajednicom i nacionalnim vladama.

---

Direktiva ili uredba: ključna pravna distinkcija

Prije pregleda pojedinih propisa, važno je razumjeti fundamentalnu razliku između dva tipa EU pravnih instrumenata koja se javljaju u ovom okviru.

---

Od političke vizije do konkretnih obaveza

Temelj današnjeg sistema je EU Cybersecurity Strategy for the Digital Decade (2020). Ova strategija definiše širi pravac: Evropa mora biti digitalno suverena, otpornija na napade i sposobna štititi svoje građane i ekonomiju u digitalnom prostoru.

Strategija sama po sebi ne propisuje kazne niti detaljne obaveze — ona postavlja politički okvir iz kojeg proizlaze konkretni propisi. Upravo ti propisi čine danas EU cyber ekosistem.

---

NIS2: cyber sigurnost kao upravljačka odgovornost

Direktiva NIS2 (Directive (EU) 2022/2555) je centralni horizontalni instrument EU cyber regulacije. Donesena je kao odgovor na slabosti prethodne NIS direktive iz 2016. godine, koja je bila ograničenog obuhvata i nejednako implementirana u državama članicama.

Prošireni obuhvat sektora

NIS2 uvodi podjelu na esencijalne entitete (viši rizik i strožiji nadzor) i važne entitete (niži prag, ali i dalje obveznici). Sektori obuhvaćeni direktivom uključuju:

• energetiku (elektrika, gas, nafta, vodik)
• transport (vazdušni, željeznički, vodeni, drumski)
• bankarstvo i finansijsku infrastrukturu tržišta kapitala
• zdravstvo, uključujući farmaceutiku i medicinsku opremu
• digitalnu infrastrukturu (IXP čvorišta, DNS servisi, TLD registri, cloud servisi, data centri)
• upravljanje ICT uslugama između poslovnih subjekata (MSP)
• javnu upravu na centralnom i regionalnom nivou
• svemirski sektor, upravljanje otpadom, hemijsku industriju, prehrambenu industriju i dr.

Obaveze upravljanja i tehničke mjere

NIS2 eksplicitno prebacuje odgovornost na vrh organizacijske hijerarhije. Menadžment mora odobriti mjere upravljanja cyber rizicima i nadzirati njihovu primjenu, proći obuku iz oblasti cyber sigurnosti, te lično odgovarati u slučaju ozbiljnih propusta. Tehničke i organizacione mjere definirane u članu 21 direktive uključuju:

• Politike analize rizika i sigurnosti informacionih sistema
• Upravljanje incidentima — prevencija, detekcija i odgovor
• Kontinuitet poslovanja — backup, oporavak od katastrofe, krizno upravljanje
• Sigurnost lanca snabdijevanja — procjena dobavljača i provajdera usluga
• Sigurnost u nabavci hardvera, softvera i akvizicijama
• Upravljanje ranjivostima, kriptografija, autentifikacija i pristup

Rokovi prijave incidenata

NIS2 uvodi stroge rokove za prijavu incidenata nadležnim tijelima: 24 sata za rano upozorenje, 72 sata za detaljnu notifikaciju s procjenom, i 1 mjesec za završni izvještaj s potpunom analizom.

Finansijske sankcije

Kazne za esencijalne entitete mogu dostići 10 miliona eura ili 2% ukupnog globalnog godišnjeg prihoda, ovisno o tome koja je cifra veća. Za važne entitete: 7 miliona eura ili 1,4% prihoda.

NIS2 na evoluciji: prijedlog izmjena iz januara 2026.

Dok su države još dovršavale transpoziciju, Komisija je 20. januara 2026. predložila ciljane izmjene NIS2 direktive kao dio šireg cyber paketa koji uključuje i reviziju Cybersecurity Act (CSA2). Ovo je važan signal: regulativa nije statična — EU aktivno unapređuje okvir na osnovu iskustava iz primjene. Ključne predložene izmjene:

• Izvještavanje o ransomware napadima: entiteti koji prijavljuju značajne incidente uzrokovane ransomwareom morat će dostavljati dodatne informacije — vektor napada, primijenjene mjere, a na zahtjev i podatke o isplaćenim otkupninama
• Post-kvantna kriptografija (PQC): države članice će biti obavezne planirati migraciju na PQC — do 2030. za kritične slučajeve, do 2035. za ostale
• Proširenje obuhvata: podmorska kabelska infrastruktura ulazi u obuhvat; operateri podmorskih kablova za prijenos podataka sada su eksplicitno obuhvaćeni
• Harmonizacija tehničkih mjera: jednom kada Komisija donese implementacioni akt za tehničke mjere po članu 21, države članice više ne mogu dodavati vlastite zahtjeve — cilj je smanjiti fragmentaciju
• Nova kategorija “small mid-cap”: smanjuje regulatorno opterećenje za manja srednja preduzeća

Prijedlog ide kroz trilogue pregovore s Parlamentom i Vijećem — politički sporazum se očekuje početkom 2027., a zatim slijedi 12-mjesečni rok za transpoziciju. Za sada je na snazi originalni tekst NIS2 direktive i važeće nacionalne implementacije.

Direktiva o otpornosti kritičnih entiteta (Directive (EU) 2022/2557 — CER) nadopunjuje NIS2 tako što se fokusira na fizičku, a ne digitalnu dimenziju sigurnosti. Logika je jasna: cyber napad može ugroziti fizičku infrastrukturu, ali i fizički napad (sabotaža, prirodna katastrofa, terorizam) može kompromitovati digitalnu otpornost.

CER obavezuje države članice da identificiraju kritične entitete u ključnim sektorima (energetika, transport, bankarstvo, zdravstvo, pitka voda, digitalna infrastruktura, svemirski sektor i dr.), da tim entitetima pomognu u jačanju otpornosti, te da uspostave mehanizme koordinacije između digitalnih i fizičkih sigurnosnih mjera.

Zajedno, NIS2 i CER formiraju cjelovit okvir koji pokriva oba aspekta sigurnosti kritične infrastrukture — digitalnu i fizičku — bez preklapanja i bez praznina. Što se tiče aktualnog statusa: do januara 2026. države članice su trebale završiti nacionalne procjene rizika, a do sredine 2026. počinju formalne designacije kritičnih entiteta, koji tada imaju devet mjeseci za implementaciju propisanih mjera otpornosti.

---

DORA: finansijski sektor pod posebnim režimom

Digital Operational Resilience Act (Regulation (EU) 2022/2554 — DORA) je uredba, što znači da se primjenjuje direktno u svim državama članicama bez potrebe za transpozicijom. To je važna distinkcija u odnosu na NIS2.

Ko je obuhvaćen DORA-om?

DORA pokriva gotovo cijeli finansijski sektor EU: kreditne institucije (banke), investicijska društva, društva za upravljanje fondovima, osiguravajuća i reosiguravajuća društva, pružatelje usluga plaćanja, mjenjačnice kriptoimovine, agencije za kreditni rejting i — što je posebno važno — treće pružatelje ICT usluga, posebno cloud provajdere.

Pet stubova DORA okvira

• ICT upravljanje rizicima: dokumentovan okvir za identifikaciju, zaštitu, detekciju, odgovor i oporavak od ICT prijetnji
• Upravljanje ICT incidentima: klasifikacija, prijava nadležnim tijelima i analiza korijenih uzroka
• Testiranje digitalne operativne otpornosti: od osnovnih testova do naprednijeg TLPT testiranja za sistemski važne institucije
• Upravljanje ICT rizicima od trećih strana: rigorozna procjena i kontinuirani monitoring cloud i outsourcing dobavljača, ugovorni standardi
• Razmjena informacija o cyber prijetnjama između finansijskih institucija unutar dobrovoljnih okvira

---

Cyber Resilience Act: sigurnost ugrađena u proizvod

Cyber Resilience Act (Regulation (EU) 2024/2847 — CRA) je jedna od najambicioznijih regulatornih inicijativa u historiji EU cyber politike. Po prvi put, zakon direktno reguliše sigurnost digitalnih proizvoda — ne samo njihove operatere, nego same proizvođače.

Obaveze proizvođača

• Security by design: sigurnost mora biti ugrađena od prve faze razvoja, ne dodana naknadno
• Bez poznatih ranjivosti pri isporuci: proizvod ne smije biti plasiran na tržište s poznatim neispravnostima
• Sigurnosne zakrpe tokom cijelog podržanog životnog ciklusa (minimalno 5 godina)
• Transparentna dokumentacija o sigurnosnim karakteristikama i podržanim komponentama
• Prijava aktivno iskorištenih ranjivosti ENISA-i u roku od 24 sata

---

Cybersecurity Act i ENISA: certifikacija i koordinacija

Cybersecurity Act (Regulation (EU) 2019/881) ima dvije ključne komponente: jačanje mandata ENISA-e kao permanentne agencije EU za cyber sigurnost, i uspostavljanje evropskog okvira za certifikaciju ICT proizvoda, usluga i procesa.

Certifikacioni okviri koje ENISA razvija (npr. EUCS za cloud usluge, EUCC za ICT proizvode) omogućavaju organizacijama i potrošačima da razlikuju proizvode koji ispunjavaju visoke sigurnosne standarde. Certifikacija nije uvijek obavezna, ali postaje faktički preduvjet za mnoge javne nabavke i sektore visokog rizika.

ENISA svake godine objavljuje ENISA Threat Landscape izvještaj — jednu od najreferentnijih analiza cyber prijetnji na globalnom nivou. Uz to, u junu 2025. ENISA je objavila opsežne smjernice za sigurnosne mjere pod NIS2 (gotovo 200 stranica), koje de facto postavljaju benchmark za usklađenost.

Važna novost: 20. januara 2026. Komisija je istovremeno s NIS2 izmjenama predložila i reviziju Cybersecurity Act (CSA2). Ključna promjena: certifikacija cyber sigurnosti se transformiše iz dobrovoljnog standarda kvalitete u obavezni compliance alat. Pod novim prijedlogom, EU certifikati moći će se koristiti za dokazivanje usklađenosti s NIS2 tehničkim mjerama. Prijedlog CSA2 je u trilogue pregovorima — usvajanje se očekuje početkom 2027.

---

GDPR: zaštita podataka kao temelj sigurnosnog okvira

General Data Protection Regulation (Regulation (EU) 2016/679 — GDPR) nije striktno “cyber sigurnosni” propis, ali je neraskidivo integrisan u EU cyber ekosistem. Zahtijeva primjenu tehničkih i organizacionih mjera zaštite, obavezu prijave povrede podataka nadležnom nadzornom tijelu u roku od 72 sata, te primjenu principa privacy by design i privacy by default.

GDPR funkcioniše kao temeljni sloj koji prožima cijeli okvir: svaka organizacija koja obrađuje lične podatke EU građana — bez obzira na to gdje se nalazi — mora voditi računa o sigurnosti sistema. Kazne mogu dostići 4% globalnog godišnjeg prihoda ili 20 miliona eura, ovisno o tome koja je cifra veća.

Za kompanije u BiH koje pružaju usluge EU tržištu: GDPR se već primjenjuje na vas, bez obzira na geografsku lokaciju. Europski odbor za zaštitu podataka (EDPB) redovno objavljuje smjernice koje preciziraju primjenu.

---

Novi propisi: AI Act i Digital Services Act

AI Act (2024)

Artificial Intelligence Act (Regulation (EU) 2024/1689) je prvi sveobuhvatni zakon o vještačkoj inteligenciji na svijetu. Uvodi pristup zasnovan na procjeni rizika: AI sistemi koji se koriste u “visokorisičnim” sektorima moraju ispuniti stroge zahtjeve transparentnosti, dokumentacije i ljudskog nadzora. Visokorizični sektori uključuju:

• kritičnu infrastrukturu (energetika, transport, voda)
• obrazovanje i upravljanje pristupom
• zapošljavanje i upravljanje radnicima
• pristup javnim uslugama i beneficijama
• organe za provođenje zakona
• migraciju, azil i kontrolu granica
• pravosuđe i demokratske procese

Sa cyber sigurnosnog aspekta, AI Act je relevantan jer mnogi sigurnosni alati — sistemi za detekciju prijetnji, automatizovane reakcije na incidente, biometrijska identifikacija — potpadaju pod definiciju visokorisičnog AI. Pregled AI Act-a na portalu Europskog parlamenta →

Digital Services Act (DSA)

Digital Services Act (Regulation (EU) 2022/2065) reguliše odgovornost online platformi. Iako se primarno bavi moderacijom sadržaja i zaštitom korisnika od nezakonitog sadržaja, DSA ima implikacije na tehničku otpornost: od velikih platformi s više od 45 miliona korisnika u EU zahtijeva se godišnja revizija sistemskih rizika, transparentno izvještavanje i koordinacija s nacionalnim tijelima.

---

eIDAS 2.0: digitalni identiteti kao sigurnosna infrastruktura

Regulation (EU) 2024/1183 (eIDAS 2.0) uvodi European Digital Identity Wallet (EDIW) — standardizovani digitalni identitet kojim EU građani mogu dokazati identitet u online servisima diljem EU. Uvođenje walleta je obaveza za sve države članice, a veliki online provajderi moraju prihvatiti EDIW kao sredstvo autentifikacije.

• autentifikaciju i kriptografsku zaštitu digitalnih identiteta
• upravljanje kvalificiranim certifikatima i digitalnim potpisima
• sigurnost Trusted Service Providers (TSP) koji izdaju certifikate
• minimizaciju podataka i kontrolu korisnika nad vlastitim atributima

eIDAS 2.0 je posebno relevantan za e-upravu i finansijske servise obuhvaćene NIS2 i DORA okvirom.

---

Sigurnost lanca snabdijevanja: podcijenjeni rizik

Jedan od najvećih propusta u ranijim pristupima cyber regulaciji bio je zanemarivanje rizika koji dolaze kroz lanac snabdijevanja. Incidenti poput kompromitacije SolarWinds platforme (2020) i Log4Shell ranjivosti (2021) dramatično su pokazali da organizacija može biti potpuno izložena kroz softver trećih strana koji koristi.

• NIS2 eksplicitno zahtijeva sigurnost lanca snabdijevanja kao jednu od obaveznih mjera (član 21, tačka d)
• DORA ima posebno poglavlje (Poglavlje V) o upravljanju ICT rizicima trećih strana s detaljnim ugovornim zahtjevima
• CRA reguliše same proizvode, uključujući open source komponente koje ulaze u lance snabdijevanja
• ENISA razvija smjernice za procjenu rizika dobavljača i godišnje prati prijetnje u lancima snabdijevanja

Za organizacije to praktično znači da više nije dovoljno osigurati vlastite sisteme — moraju procjenjivati i sigurnosnu zrelost svakog dobavljača koji ima pristup njihovim sistemima ili podacima.

---

Institucionalna arhitektura: ENISA i mreža CSIRT timova

Regulatorni okvir ne funkcioniše sam od sebe — potrebna je institucionalna podrška. Europska agencija za cyber sigurnost (ENISA) ima ključnu operativnu ulogu:

• razvija tehničke smjernice i standarde koji de facto postaju obavezujući referenti za primjenu propisa
• upravlja certifikacijskim okvirom (EUCC, EUCS, EU5G)
• organizuje panevropske vježbe CyberEurope (svake dvije godine)
• koordinira odgovor na incidente koji prelaze granice jedne države
• prikuplja i analizira podatke o prijetnjama za godišnji ENISA Threat Landscape izvještaj

Pored ENISA-e, postoji pan-EU mreža CSIRT timova (CSIRTs Network) koja uključuje nacionalne timove za odgovor na računalne incidente. Ova mreža omogućava razmjenu tehničkih informacija o prijetnjama u realnom vremenu i koordiniranu reakciju na veće incidente. Svaka država članica mora imati funkcionalan CSIRT — ovo je i zahtjev koji BiH mora ispuniti na putu ka EU.

---

Pregled EU cyber propisa

Propis	Vrsta	Status	Ključni zahtjevi
NIS2	Direktiva	✅ 22/27 zemalja implementirale; enforcement počeo	Upravljanje rizicima, prijava incidenata, lanac snabdijevanja, odgovornost uprave
CER	Direktiva	⚡ Designacija kritičnih entiteta u toku (mid-2026)	Fizička otpornost kritičnih entiteta, koordinacija s NIS2
DORA	Uredba	✅ Aktivna od jan. 2025., supervizija u toku	ICT rizici, testiranje otpornosti, cloud dobavljači, finansijski sektor
CRA	Uredba	⚡ Prva obaveza: sep. 2026. (za ~5 mj.)	Sigurnost digitalnih proizvoda po dizajnu, životni ciklus, zakrpe
Cybersecurity Act	Uredba	✅ Na snazi; CSA2 revizija predložena jan. 2026.	Certifikacija ICT proizvoda, mandat i jačanje ENISA
GDPR	Uredba	✅ Na snazi od 2018.; fokus 2026: transparentnost	Zaštita ličnih podataka, privacy by design, prijava povreda
AI Act	Uredba	🔵 Fazna primjena 2025–2027.	Procjena rizika AI sistema, visokorisični AI, transparentnost
DSA	Uredba	✅ Na snazi od 2024.	Odgovornost platformi, upravljanje sistemskim rizicima
eIDAS 2.0	Uredba	🔵 Primjena od 2026.; wallet implementacija teče	EU Digital Identity Wallet, digitalni potpisi, TSP sigurnost

---

Relevantnost za Bosnu i Hercegovinu i kandidate za EU

Za Bosnu i Hercegovinu, usklađivanje s EU cyber okvirom nije opcija — ono je preduvjet za napredak na putu europskih integracija. Ovo, međutim, nije jednostavan tehnički zadatak. Radi se o dubokoj institucionalnoj transformaciji.

Realnost kapaciteta i dostupna pomoć

Ključni izazov nije samo pravno usklađivanje — nego izgradnja ljudskih i institucionalnih kapaciteta. EU mehanizmi pretpristupne pomoći nude konkretnu podršku:

• IPA III fondovi — finansiranje za institucionalnu reformu i infrastrukturu
• TAIEX instrument — tehnička asistencija i razmjena stručnjaka
• ENISA programi izgradnje kapaciteta — otvoreni i za kandidate

Organizacije iz BiH mogu pratiti ENISA smjernice i primjenjivati ISO/IEC 27001 standard već sada, čime se stvara faktička pripremljenost za formalne obaveze koje slijede.

---

Zaključak: sistem, ne zbirka zakona

Europski okvir cyber sigurnosti nije jedan zakon — on je sistem koji integriše strategiju, regulativu, operativnu koordinaciju i institucionalnu arhitekturu. Njegova suštinska logika je da digitalno društvo može funkcionisati samo ako je sistemski zaštićeno na svakom sloju: od strategije na vrhu, kroz horizontalne direktive i sektorske uredbe, do sigurnosti samih digitalnih proizvoda i zaštite podataka.

Nekoliko je ključnih poruka ovog okvira za svaku organizaciju:

• Cyber sigurnost je upravljačka, ne samo tehnička odgovornost — menadžment ne može delegirati sve na IT odjel
• Sigurnost se mora graditi unaprijed — CRA i NIS2 zahtijevaju security by design, ne krpljenje naknadno
• Cijeli lanac snabdijevanja je vaša odgovornost — ranjivost dobavljača je vaša ranjivost
• Regulativa i tržište moraju biti usklađeni — sigurnost je preduvjet digitalnog povjerenja i ekonomskog rasta

U vremenu kada cyber prijetnje rastu brže nego ikada — a geopolitička dimenzija kiberprostora postaje sve izraženija — EU pokušava odgovoriti kombinacijom prava, tehnologije i institucionalne saradnje. Upravo u toj kombinaciji leži snaga njenog pristupa.

Reference i korisni resursi

• Direktiva (EU) 2022/2555 — NIS2
• Direktiva (EU) 2022/2557 — CER
• Uredba (EU) 2022/2554 — DORA
• Uredba (EU) 2024/2847 — Cyber Resilience Act
• Uredba (EU) 2019/881 — Cybersecurity Act
• Uredba (EU) 2016/679 — GDPR
• Uredba (EU) 2024/1689 — AI Act
• Uredba (EU) 2022/2065 — Digital Services Act
• Uredba (EU) 2024/1183 — eIDAS 2.0
• ENISA — European Union Agency for Cybersecurity
• EU Cybersecurity Strategy for the Digital Decade (2020)