Ocena skladnosti po Zakonu o informacijski varnosti (ZInfV-1)

Datum objave: 07. 07. 2026

Šifra: POV26-022
Rok za oddajo: 28. 07. 2026
Izbrani ponudnik: CEPRIS, d.o.o., Maribor (v vrednosti 10.000,00 EUR)

Povabilo.

Vprašanja in odgovori;

• Ali je predmet ocene skladnosti celoten informacijski sistem organizacije ali le informacijski sistem, ki podpira izvajanje bistvenih/pomembnih storitev po ZInfV-1?
  • Omejitev na izvajanje bistvenih storitev.
• Ali se pri izvedbi ocene skladnosti upoštevajo ugotovitve inšpekcijskega nadzora iz leta 2026 oziroma se lahko izvajalec nanje sklicuje kot na vhodni podatek ocene skladnosti?
  • Izvajalec lahko ugotovitve inšpekcijskega nadzora upošteva zgolj kot vhodne informacije.
• Ali naročnik pričakuje zgolj pregled dokumentacije in razgovore z odgovornimi osebami ali tudi neodvisno preverjanje implementacije ukrepov na vzorcu informacijskih sistemov in konfiguracij (vzorčenje poteka po metodologiji NR naročnika ali izvajalca)?
  • Oboje (vzorčenje poteka v sodelovanju zunanjega izvajalca z naročnikom).
• Ali so v obseg pregleda vključeni tudi operativni sistemi (OT), sistemi vodenja in nadzora ter komunikacijska infrastruktura, ki podpira izvajanje distribucijske dejavnosti?
  • Ne.
• Ali pregled zajema izključno družbo naročnika ali tudi odvisne oziroma povezane družbe ter skupne informacijske storitve?
  • Družbo.
• V povpraševanju, med drugim, navajate, da se bo ocena izvajala v obliki so-izvajanja storitev notranje revizije družbe. Imate slučajno že pripravljeno kakšno delitev dela oz. področja, ki jih boste ocenjevali sami, da bomo lahko čim bolj natančno določili predvideni obseg dela?
  • S soizvajanjem notranje revizije je v tem primeru mišljeno, da notranja revizija družbe spremlja izvedbo posla ter nudi podporo pri organizaciji izvedbe in drugih povezanih nalogah. Zunanji izvajalec določi in izvede postopke, potrebne za podajo ocene skladnosti.

• Ali je predmet ocene skladnosti celoten informacijski sistem organizacije ali le informacijski sistem, ki podpira izvajanje bistvenih/pomembnih storitev po ZInfV-1? --> Omejitev na izvajanje bistvenih storitev. bi vas želeli opozoriti, da pojma bistvena/pomembna storitev ZInfV-1 ne uporablja (uporabljal se je v okviru starega ZInfV), opredeljuje le bistvene in pomembne subjekte glede na njihov pomen za delovanje družbe, ki pa morajo zagotoviti »obvladovanje tveganj za varnost omrežnih in informacijskih sistemov, ki jih uporabljajo za svoje delovanje ali opravljanje storitev ter za preprečevanje ali zmanjšanje vpliva incidentov na prejemnike svojih storitev in druge storitve« (22. člen ZInfV-1).

  • Del IS, ki neposredno podpira temeljno dejavnost.

• Ali ste predvideli, da se v obseg ocene skladnosti vključi samo del informacijskega sistema, ki neposredno podpira temeljno dejavnost podjetja ali vse dele informacijskega sistema, ki podpirajo tako temeljno kot podporne dejavnosti podjetja (npr. kadrovska funkcija, računovodstvo, materialno poslovanje, sistem obračunavanja porabe el. energije itd.)? Iz drugega odgovora, ki navaja, da predmet ocene ni OT, sklepamo, da so v zahtevan obseg vključeni vsi deli informacijskega sistema glede na pomembnost za delovanje podjetja v skladu z analizo tveganj.

  • Da.