Zakon o kibernetičkoj sigurnosti (NIS2) i webshop — kad se stvarno odnosi na vas

Prodajete li tuđu robu na svojoj platformi?

Zakon o kibernetičkoj sigurnosti, hrvatska provedba EU direktive poznate kao NIS2, na snazi je od 15. veljače 2024. (NN 14/2024). Upozorenja da „NIS2 pogađa sve online trgovce” oslanjaju se na to što zakon među obveznicima doista navodi pružatelje internetskih tržišta. Ta je definicija uža nego što zvuči, kako pokazuje njezin tekst ispod.

Obveza ipak može doći iz drugog smjera. Ako je tvrtka koja vodi webshop srednji ili veliki subjekt u sektoru iz Priloga I. ili II. zakona, primjerice u proizvodnji elektroničkih proizvoda ili hrane, zahtjevi zakona vrijede za sve njezine sustave, pa i za webshop. Ovaj članak razdvaja ta dva puta.

Što zakon stvarno definira kao „internetsko tržište”

Čl. 4. st. 1. t. 13. Zakona o kibernetičkoj sigurnosti definira internetsko tržište kao „digitalnu uslugu kojom se upotrebom softvera, uključujući mrežne stranice, dio mrežnih stranica ili aplikacija kojima upravlja trgovac ili kojima se upravlja u njegovo ime potrošačima omogućuje sklapanje ugovora na daljinu s drugim trgovcima ili potrošačima” (NN 14/2024). Ključna riječ je „drugim”: platforma mora posredovati u ugovorima trećih strana, a ne samo prodavati robu koju sama nabavlja i prodaje pod svojim imenom.

Praktičan test glasi: s kim kupac sklapa ugovor i tko je na računu prodavatelj? Klasičan hrvatski webshop koji prodaje vlastiti tekstil, kozmetiku ili elektroniku pod svojim imenom nije internetsko tržište u smislu zakona. Po istoj logici ni dropshipping u kojem robu prodajete u svoje ime, iako je dobavljač šalje izravno. Na takvu trgovinu na daljinu primjenjuju se Zakon o zaštiti potrošača i ostali propisi obrađeni u prethodnim člancima. Definicija cilja platformu na kojoj više neovisnih prodavača nudi robu pod svojim imenom, a kupac s njima sklapa ugovor preko te platforme.

Ako ste stvarno tržište: prag veličine koji odlučuje

Pružatelji internetskih tržišta spadaju u Prilog II. zakona (drugi kritični sektori), zajedno s internetskim tražilicama i platformama društvenih mreža. Subjekt iz Priloga II. postaje obveznik kao važan subjekt kad je srednji subjekt maloga gospodarstva ili veći (čl. 10.). Zakon pritom upućuje na hrvatski zakon o poticanju razvoja malog gospodarstva, koji koristi iste granice kao Preporuka Europske komisije 2003/361/EZ: mali subjekt ima manje od 50 zaposlenih te godišnji prihod ili ukupnu aktivu do 10 milijuna eura. Tko ima 50 ili više zaposlenih, ili mu i prihod i aktiva prelaze 10 milijuna eura, više nije mali.

Dva detalja iz čl. 15. često se previde. Prvo, veličina se računa za cijeli subjekt, neovisno o tome obavlja li i djelatnosti koje nisu u Prilogu I. i II. Primjer: trgovački lanac sa 150 zaposlenih u poslovnicama koji otvori marketplace za partnerske brendove prelazi prag odmah, iako na samom marketplaceu radi pet ljudi. Drugo, pri kategorizaciji se uzimaju u obzir smjernice Europske komisije o kriterijima veličine, pa povezana i partnerska poduzeća mogu promijeniti rezultat. Ako ste blizu granice, izračun prepustite računovođi.

Za vlasnika webshopa to znači dvostruku provjeru prije zaključka „to se odnosi na mene”: je li poslovni model stvarno internetsko tržište po definiciji iz čl. 4., i je li tvrtka u cjelini prešla granicu malog subjekta. Mali webshop koji prodaje vlastitu robu ne prolazi ni prvu provjeru.

Webshop može biti obveznik zbog djelatnosti, ne zbog webshopa

Ovo u raspravama o NIS2 i webshopovima gotovo uvijek nedostaje. Prilog II. osim digitalnih pružatelja obuhvaća i sektore kao što su proizvodnja, prerada i distribucija hrane te proizvodnja računala, elektroničkih i optičkih proizvoda, električne opreme, strojeva i motornih vozila. Točan opseg svakog sektora određen je u samom Prilogu. Srednji ili veliki subjekt iz tih sektora može biti važan subjekt, a čl. 25. st. 2. kaže da se zahtjevi kibernetičke sigurnosti odnose na sve mrežne i informacijske sustave kojima se subjekt služi u poslovanju. Webshop takve tvrtke tada je dio sustava na koji se primjenjuju mjere upravljanja rizicima i obveza prijave značajnih incidenata, iako sam po sebi nije internetsko tržište.

Hrvatski zakon izričito navodi i informacijske posrednike u razmjeni elektroničkih računa među poduzetnicima: razvrstavaju se kao ključni subjekti neovisno o veličini (čl. 9.). Obveznik je posrednik, a ne webshop koji preko njega šalje eRačune. Posrednik je ipak karika u lancu na koji se oslanja integracija s Fiskalizacijom 2.0, pa je razumno pri odabiru pitati kako ispunjava te zahtjeve. Više o samoj obvezi u članku o eRačunu za B2B.

Kako se u Hrvatskoj postaje obveznik: kategorizacija

Hrvatski model ne počiva na samoprocjeni. Nadležna tijela provode kategorizaciju, vode popise ključnih i važnih subjekata i provjeravaju ih najmanje jednom u dvije godine (čl. 17.). O razvrstavanju i obvezama obavještavaju subjekt u roku od 30 dana (čl. 19.). Subjekti iz Priloga I. i II. dužni su na zahtjev dostaviti podatke potrebne za kategorizaciju u roku koji ne može biti kraći od 15 ni duži od 45 dana, a o promjenama tih podataka obavijestiti u roku od dva tjedna (čl. 20.). Pružatelji internetskih tržišta upisuju se i u poseban registar koji vodi Sigurnosno-obavještajna agencija kao središnje državno tijelo za kibernetičku sigurnost (čl. 22. i 23.).

Ne brkati s Cyber Resilience Actom ni s GPSR-om

Dio zabune oko NIS2 dolazi iz toga što se u istom razgovoru spominju tri EU režima koji svi imaju „kibernetičko” ili „sigurnosno” u nazivu, a pokrivaju različite stvari. Zakon o kibernetičkoj sigurnosti (NIS2) propisuje organizacijske obveze upravljanja rizikom, od politika i procjena rizika do prijave incidenata, za ključne i važne subjekte. Cyber Resilience Act propisuje tehničke sigurnosne zahtjeve za same proizvode s digitalnim elementima, primjerice pametne uređaje koje webshop stavlja na tržište pod svojim brendom. GPSR pokriva opću sigurnost svih potrošačkih proizvoda. Webshop koji prodaje pametne utičnice pod vlastitim imenom može biti obveznik CRA-e i GPSR-a, a pritom ostati izvan NIS2, jer NIS2 gleda poslovni model, sektor i veličinu subjekta, a ne vrstu proizvoda koji se prodaje.

Ako planirate marketplace: NIS2 nije jedini režim

Prelazak s webshopa na marketplace s vanjskim prodavačima mijenja više od poslovnog modela. Akt o digitalnim uslugama (DSA) traži da marketplace provjeri i prikaže podatke za kontakt prodavača (Europska komisija, pregled DSA-a), a nova pravila o odgovornosti za neispravne proizvode izravno obuhvaćaju i online tržišta. NIS2 se tome pridružuje kad tvrtka prijeđe prag veličine. Sve su to zahtjevi prema podacima i procesima: onboarding prodavača s provjerom podataka, evidencija prodavatelja na svakoj narudžbi, zapisnik incidenata. Marketplace arhitekturu jednostavnije je projektirati s tim zahtjevima prije lansiranja nego je dograđivati poslije.

Kazne ako ste stvarno obveznik

Za važne subjekte, kategoriju u koju spadaju internetska tržišta iznad praga veličine, čl. 102. propisuje novčanu kaznu od 5.000 do 7.000.000 eura, ili od 0,2 % do 1,4 % ukupnog godišnjeg prometa na svjetskoj razini u prethodnoj financijskoj godini, ovisno o tome koji je iznos veći. Osobama odgovornima za upravljanje mjerama prijeti od 500 do 3.000 eura. Za ključne subjekte čl. 101. propisuje od 10.000 do 10.000.000 eura ili od 0,5 % do 2 % prometa, a odgovornim osobama od 1.000 do 6.000 eura (NN 14/2024). To su zakonski rasponi, ne prognoza kazne za konkretan slučaj. Ali pokazuju da pitanje „jesam li obveznik” nije akademsko ako platforma stvarno jest internetsko tržište iznad praga.

Vrijedi li ovo za vaš webshop: provjera u četiri koraka

Za mali webshop koji prodaje vlastitu robu provjera završava već na prvom i četvrtom pitanju. To ne znači da je sigurnost webshopa nevažna, samo da izvor obveze nije Zakon o kibernetičkoj sigurnosti. Obveze zaštite podataka kupaca dolaze iz GDPR-a, a dobra praksa, poput redovitih sigurnosnih ažuriranja platforme, vrijedi neovisno o tome je li tvrtka formalno obveznik bilo kojeg posebnog zakona. Što se događa kad platforma ostane bez zakrpa, opisali smo u članku o kraju sigurnosnih zakrpa za Magento.

Zaključak

„NIS2 se odnosi na sve online trgovce” pretjerivanje je koje kruži bez pozivanja na tekst zakona. Definicija iz čl. 4. st. 1. t. 13. cilja platforme koje posreduju u ugovorima drugih strana, a i za njih prag malog subjekta isključuje velik dio manjih igrača. Stvarni rizik za webshop drugdje je: ako je tvrtka srednji ili veliki subjekt u sektoru iz Priloga II., zakon obuhvaća i njezin webshop. Ako vaš webshop tijekom 2026. prelazi na marketplace s vanjskim prodavačima, ovo je zakon koji vrijedi provjeriti prije lansiranja, ne poslije. Ostale rokove pratimo u kalendaru zakonskih rokova za webshop 2026.

Ovaj članak nije pravni savjet. Za status vlastite tvrtke obratite se nadležnom tijelu ili pravniku. Stanje svog webshopa provjerite checklistom webshopa sa 60 provjera. Ako planirate marketplace s vanjskim prodavačima, zatražite ponudu: prodavače, podatke o njima i zapisnike postavljamo u arhitekturu prije prve narudžbe, a razgovarate izravno s inženjerom koji je gradi.