Zakon o kibernetičkoj sigurnosti (NIS2) i webshop — kad se stvarno odnosi na vas

Prvo pitanje koje treba postaviti: prodajete li tuđu robu na svojoj platformi?

Zakon o kibernetičkoj sigurnosti — hrvatska transpozicija EU direktive poznate kao NIS2 — u prometu je od 15. veljače 2024. (NN 14/2024), ali unatrag nekoliko mjeseci naziv se sve češće pojavljuje u poduzetničkim grupama i na LinkedInu, obično bez konteksta — samo upozorenje da "nova pravila o kibernetičkoj sigurnosti" pogađaju i internetsku trgovinu. To je djelomično točno: zakon doista spominje "internetska tržišta" kao jednu od kategorija obveznika. Ono što nedostaje iz gotovo svake takve objave jest što zakon stvarno misli pod tim pojmom — a definicija je uža nego što naslov sugerira.

Ovaj članak razjašnjava tu definiciju za webshop vlasnike koji su naziv "NIS2" negdje čuli i žele znati vrijedi li stvarno za njih, bez čitanja cijelog zakona.

Što zakon stvarno definira kao "internetsko tržište"

Čl. 3. t. 13. Zakona o kibernetičkoj sigurnosti definira internetsko tržište kao "digitalnu uslugu kojom se upotrebom softvera, uključujući mrežne stranice, dio mrežnih stranica ili aplikacija kojima upravlja trgovac ili kojima se upravlja u njegovo ime, potrošačima omogućuje sklapanje ugovora na daljinu s drugim trgovcima ili potrošačima" (NN 14/2024). Ključna riječ je "drugim" — platforma mora posredovati u ugovorima između trećih strana, ne samo prodavati robu koju sama nabavlja i stavlja na tržište pod svojim imenom.

Praktična razlika: klasičan hrvatski webshop koji prodaje vlastiti tekstil, kozmetiku ili elektroniku pod svojim brendom nije "internetsko tržište" u smislu zakona — riječ je o običnoj trgovini na daljinu, koju uređuju Zakon o zaštiti potrošača i ostali propisi obrađeni u prethodnim člancima, ne Zakon o kibernetičkoj sigurnosti. Platforma poput Njuškala ili slična koja hostira ponude mnogih neovisnih prodavača i posreduje u njihovim ugovorima s kupcima jest ono na što definicija cilja.

Ako ste stvarno tržište: prag veličine koji odlučuje

I kad platforma po modelu jest internetsko tržište, zakon ne obuhvaća svaku takvu platformu neovisno o veličini. Prilog II zakona, u koji spadaju pružatelji internetskih tržišta, internetskih tražilica i platformi za društvene mreže, obveznici postaju kad dosegnu prag srednjeg subjekta malog gospodarstva — a taj prag, prema Preporuci Europske komisije 2003/361/EZ koju hrvatsko zakonodavstvo preuzima, znači 50 ili više zaposlenih ILI godišnji promet iznad 10 milijuna eura (ili bilanca iznad 10 milijuna eura). Ispod tog pariteta — mikro i mala poduzeća — platforma ostaje izvan obveza zakona.

Za webshop vlasnika ovo znači dvostruku provjeru prije zaključka "to se odnosi na mene": prvo, je li poslovni model stvarno internetsko tržište po definiciji iz čl. 3., a drugo, dosegnete li prag od 50 zaposlenih ili 10 milijuna eura prometa. Većina hrvatskih webshopova ne prolazi ni prvu provjeru, a kamoli drugu.

Ne brkati s Cyber Resilience Actom ni s GPSR-om

Dio zabune oko NIS2 dolazi iz toga što se u istom razgovoru spominju tri različita EU režima koja svi imaju "kibernetičko" ili "sigurnosno" u nazivu, a pokrivaju potpuno različite stvari. Zakon o kibernetičkoj sigurnosti (NIS2) propisuje organizacijske obveze upravljanja rizikom — politike, procjene rizika, prijavu incidenata — za operatore ključnih i važnih usluga, uključujući internetska tržišta pod uvjetima objašnjenim gore. Cyber Resilience Act propisuje tehničke sigurnosne zahtjeve za same proizvode s digitalnim elementima — pametne uređaje koje webshop stavlja na tržište pod svojim brendom, neovisno o tome je li obveznik NIS2. GPSR pokriva opću fizičku sigurnost svih proizvoda, digitalnih i nedigitalnih. Webshop koji prodaje pametne utičnice pod vlastitim imenom može biti obveznik CRA-e i GPSR-a a pritom ostati potpuno izvan NIS2, jer NIS2 gleda poslovni model platforme (posreduje li u tuđim ugovorima), ne vrstu proizvoda koji se prodaje.

Kazne ako ste stvarno obveznik

Za "važne subjekte" — kategorija u koju bi, ako dosegnu prag veličine, spadala i internetska tržišta — zakon propisuje novčanu kaznu od 5.000 do 7.000.000 eura, ili 0,2% do 1,4% ukupnog godišnjeg prometa na svjetskoj razini, ovisno o tome koji je iznos veći (NN 14/2024). Za "ključne subjekte" — teža kategorija, uglavnom kritična infrastruktura iz Priloga I — gornja granica je 10.000.000 eura ili 2% prometa. Ovo su gornje granice propisane zakonom, ne prognoza kazne za konkretan slučaj; ali brojka postoji upravo da naglasi da provjera "jesam li obveznik" nije akademsko pitanje ako platforma stvarno jest internetsko tržište iznad praga veličine.

Vrijedi li ovo za vaš webshop — provjera u tri koraka

Za ogromnu većinu hrvatskih webshopova provjera se zaustavlja na prvom pitanju. To ne znači da je kibernetička sigurnost webshopa nevažna tema — samo da izvor obveze za manji, klasični webshop nije Zakon o kibernetičkoj sigurnosti, nego uobičajene obveze zaštite podataka kupaca iz GDPR-a i dobre prakse poput redovitih sigurnosnih ažuriranja platforme, koje vrijede neovisno o tome je li tvrtka formalno "obveznik" bilo kojeg posebnog zakona.

Zaključak

"NIS2 se odnosi na sve online trgovce" je pretjerivanje koje kruži bez pozivanja na stvarni tekst zakona. Definicija u čl. 3. t. 13. namjerno cilja platforme koje posreduju u ugovorima drugih strana, ne trgovce koji prodaju svoju robu — a i za te platforme, prag od 50 zaposlenih ili 10 milijuna eura prometa isključuje veliku većinu manjih igrača. Ako pak vaš webshop tijekom 2026. mijenja model prema marketplaceu s vanjskim prodavačima, ovo je zakon koji vrijedi provjeriti prije lansiranja, ne poslije. Pregled svih ostalih zakonskih rokova koji su hrvatske webshopove pogodili ove godine nalazi se u kalendaru zakonskih rokova za webshop 2026.

U FIN STUDIU pri izradi webshopova i platformi pomažemo razjasniti pod koje regulatorne režime poslovni model stvarno spada, prije nego se donese odluka o arhitekturi. Javite nam se ako niste sigurni odnosi li se NIS2, CRA ili GPSR na vaš slučaj.