Ako živite u EU, tri zakona oblikuju koliko brzo tvrtka mora priznati da je hakirana. Usporedba NIS2, DORA i GDPR-a iz 2026. promatra opseg, rokove od 24 i 72 sata za incidente, novčane kazne u rasponu od 10 do 20 milijuna eura te koje su države članice djelovale do studenog 2026. Ovaj post to prevodi na jednostavan jezik. Kratka verzija NIS2 DORA GDPR prijavljivanja povreda: rokovi su tijesni, kazne su velike, a pravila se ne primjenjuju jednako u svakoj zemlji.

Što zapravo znače rokovi za prijavljivanje povreda prema NIS2, DORA i GDPR-u

Dva broja koja se ističu u usporedbi jesu 24 sata i 72 sata. To su rokovi koji počinju teći kada organizacija postane svjesna ozbiljnog incidenta. Oni nisu obećanja da ćete vi biti obaviješteni u roku od jednog ili tri dana.

U praksi, ovi rokovi uglavnom se odnose na to da tvrtka izvijesti regulatora ili nadzorno tijelo. To rano izvješće omogućuje dužnosnicima da vide napada li napad istovremeno nekoliko organizacija. Kraći prvi rok (24 sata) općenito znači rano upozorenje, dok duži (72 sata) ostavlja vremena za potpuniju sliku onoga što se dogodilo. Izvorna usporedba ne razrađuje svaki detalj o tome kako svaki zakon dodjeljuje svoje rokove, stoga provjerite službeni tekst svakog propisa ili svoje nacionalno tijelo za točan tekst.

Tri zakona također pokrivaju različita područja:

  • GDPR odnosi se na osobne podatke i primjenjuje se na organizacije koje obrađuju podatke osoba u EU.
  • NIS2 odnosi se na sigurnost mrežnih i informacijskih sustava u sektorima koji se smatraju važnima za društvo.
  • DORA odnosi se na digitalnu operativnu otpornost u financijskom sektoru.

Zbog tog preklapanja, jedan incident može istovremeno aktivirati više od jednog zakona. Kibernetički napad na financijsku tvrtku koji otkrije podatke kupaca mogao bi pokrenuti pitanja prema sva tri zakona.

Kada tvrtka mora obavijestiti vas o povredi: što to znači za vas

Ovdje je potrebno prilagoditi očekivanja. Rok od 24 ili 72 sata ne znači da će vam se poštanski sandučić zasvijetliti sljedeći dan. Prvo izvješće obično ide tijelima, a obavještavanje pogođenih pojedinaca zaseban je korak s vlastitim uvjetima. Ti uvjeti ovise o zakonu koji je u pitanju i o tome koliko je rizik za vas ozbiljan.

Što razumno možete zaključiti iz ovog okvira:

  • Regulatori saznaju prvi. Očekujte da se formalni rok odnosi na izvješće tijelu, a ne na javnu objavu.
  • Rane obavijesti mogu biti nepotpune. Kratko prvo izvješće može izostaviti uzrok, razmjere ili podatak jesu li vaši podaci bili uključeni.
  • Vaša prava uglavnom proizlaze iz GDPR-a. To je zakon usredotočen na osobne podatke, pa ga treba gledati kada želite znati na što imate pravo biti obaviješteni.
  • Sektor je važan. Ako su pogođeni vaša banka, pružatelj platnih usluga ili bitna usluga, obveze iz NIS2 ili DORA-e mogu se primjenjivati uz GDPR.

Ništa od ovoga ne zamjenjuje vaš vlastiti oprez. Čak i dobro vođen sustav prijavljivanja ostavlja jaz između incidenta i vaše obavijesti, stoga pomaže promijeniti lozinke, omogućiti višefaktorsku autentifikaciju i pratiti svoje račune na neobične aktivnosti čim čujete za povredu.

Kako se uspoređuju kazne prema NIS2, DORA i GDPR-u

Usporedba prikazuje kazne kao raspon od 10 do 20 milijuna eura. Taj raspon pokazuje koliko ozbiljno zakonodavci shvaćaju propuštene rokove i slabu sigurnost. Neprijavljivanje na vrijeme samo je po sebi neusklađenost, odvojeno od povrede.

Jedna napomena o preciznosti. Izvorni sažetak daje ukupni raspon, ali ne i raščlambu po stavkama koja pokazuje koji zakon određuje koji iznos. Nećemo nagađati o iznosima po pojedinom zakonu jer strukture kazni mogu uključivati različite gornje granice, postotke prihoda i nacionalne provedbene odluke. Posebno za DORA-u, detalji mogu ovisiti o tome kako svaka država članica određuje svoje kazne. Ako trebate točne brojke za određeni zakon, pročitajte sam propis ili smjernice svog nacionalnog tijela.

Ono što vam raspon govori jest da regulatori imaju stvarnu polugu. Za tvrtke koje moraju ispunjavati nekoliko preklapajućih obveza, loše vođen incident može stvoriti više od jednog problema s usklađenošću istovremeno.

Kako provjeriti je li vaša zemlja EU-a donijela NIS2 i DORA-u

Usporedba također prati koje su države EU-a djelovale do studenog 2026., što je podsjetnik da pravila EU-a ne stupaju uvijek na snagu svugdje istovremeno. NIS2 je direktiva, pa je svaka država članica mora prenijeti u nacionalno pravo, a napredak se može razlikovati od zemlje do zemlje. Praktični načini da provjerite gdje je vaša zemlja:

  1. Pretražite tijelo za kibernetičku sigurnost svoje nacionalne vlade. Ono obično objavljuje status nacionalnog zakonodavstva o NIS2 i navodi tko se mora registrirati ili prijaviti.
  2. Pogledajte svoj financijski regulator. Za DORA-u je nacionalni financijski nadzornik najbolji izvor o tome kako se pravila primjenjuju na banke, osiguravatelje i platne tvrtke.
  3. Provjerite svoje tijelo za zaštitu podataka. Za GDPR objašnjava kako podnijeti pritužbu i koja prava na obavijest imate.
  4. Pročitajte službene tekstove EU-a. Propisi i direktive sami su konačna riječ o rokovima i opsegu.

Ako je vaša zemlja bila spora, to ne ukida GDPR. On se primjenjuje diljem EU-a godinama i ostaje vaš najizravniji alat kada su osobni podaci otkriveni.

Ključni zaključci

Razumijevanje NIS2 DORA GDPR prijavljivanja povreda svodi se na nekoliko točaka: rokovi od 24 i 72 sata uglavnom uređuju izvješća regulatorima, kazne su znatne, a nacionalno prenošenje varira. Odvojite nekoliko minuta ovaj tjedan da provjerite status NIS2 i DORA-e u svojoj zemlji te pregledajte svoja prava prema GDPR-u na obavijest i na pritužbu svom tijelu za zaštitu podataka.

Ako želite vidjeti kako se neki režim izvan EU-a nosi sa sličnim pitanjima, pročitajte naše izvještavanje o UK Cyber Security Resilience Bill, koji kritičnu infrastrukturu uvodi u formalni nacionalni okvir i bavi se vlastitim dužnostima prijavljivanja incidenata. Usporedba s pristupom EU-a pokazuje kako se različite vlade približavaju bržem i strukturiranijem otkrivanju povreda.