Webshop danas rijetko funkcionira kao samostalan sustav. U pozadini se na njega vežu upravljanje zalihama, fakturiranje, online plaćanje, veze s kurirskim službama, ERP sustav, vanjski API-ji i različita korisnička prava pristupa. Ono što kupcu izgleda kao jednostavan webshop zapravo je dio znatno složenijeg informatičkog okruženja.
Kako e-trgovinska tvrtka raste, sve je teže oštro razdvojiti webshop i infrastrukturu koja radi iza njega. Zato se sigurnosni problem ne mora nužno pojaviti kroz samu webtrgovinu: može krenuti i iz kompromitiranog korisničkog računa, pogrešnog upravljanja pravima pristupa ili ranjive vanjske integracije. Regulativa kibernetičke sigurnosti zato poslovanje tvrtke promatra znatno šire.
Kod NIS2 zato nije najbolje prvo pitanje „ispunjava li moj webshop zahtjeve NIS2?” Najprije treba razjasniti potpada li tvrtka koja vodi webtrgovinu uopće pod tu regulativu. Ako da, zasebno treba ispitati i koje se obveze na nju odnose te nalazi li se među njima i obvezni audit kibernetičke sigurnosti. Potpadanje pod NIS2 i obveza audita, naime, nisu isto.
Nije svaki webshop obveznik NIS2
NIS2 je znatno proširio regulativu kibernetičke sigurnosti Europske unije. Regulativa krug obuhvaćenih određuje prema sektorima i tipovima organizacija. Prilozi 2. i 3. zakona imenuju, među ostalim, energetske, prometne, zdravstvene, poštanske i prehrambene tvrtke, tvrtke koje se bave digitalnom infrastrukturom, kemijsku industriju i pojedine proizvođače, a među digitalnim pružateljima usluga pojavljuju se i online tržnice. To, međutim, ne znači da je svaka tvrtka koja prodaje na internetu automatski obveznik NIS2. Trgovac koji vlastite proizvode prodaje u vlastitom webshopu sam po sebi još se ne smatra online tržnicom.
Online tržnica je platforma koja i drugim trgovcima ili korisnicima omogućuje da preko nje sklapaju ugovore na daljinu. Tipično se, dakle, na istoj platformi pojavljuje ponuda više prodavača, što se bitno razlikuje od rada vlastite webtrgovine jednog trgovca. To je jedna od najvažnijih razlika koju operater webshopa mora jasno vidjeti.
Kada je webtrgovina obuhvaćena?
Ne treba prvenstveno ispitivati postoje li na stranici košarica i online plaćanje, nego to kakvu gospodarsku djelatnost obavlja tvrtka koja stoji iza webtrgovine.
Može se, primjerice, dogoditi da tvrtka online prodaje proizvode vlastite proizvodnje, dok sama proizvodna djelatnost spada u neki od obuhvaćenih sektora Zakona o kibernetičkoj sigurnosti. Druga tvrtka vodi online tržnicu ili pruža digitalnu uslugu koju propis zasebno imenuje.
U 3. prilogu zakona navedeno je više područja relevantnih i iz perspektive e-trgovine. Tu mogu spadati pojedine prehrambene tvrtke, proizvođači i distributeri kemijskih tvari, proizvođači medicinskih proizvoda, pojedini industrijski proizvođači, poštanski pružatelji usluga i online tržnice. Obuhvaćenost, međutim, uvijek treba procjenjivati na temelju stvarne djelatnosti tvrtke.
Webshop koji prodaje tehničku robu, dakle, ne postaje automatski obuhvaćen samo zato što prodaje proizvode čija je proizvodnja navedena u zakonu. Trgovačka i proizvodna djelatnost iz te perspektive nisu isto.
I veličina je bitna
Sektorska klasifikacija sama po sebi ne određuje obvezu u svakom slučaju. Sadašnja mađarska regulativa u pravilu obuhvaća one organizacije iz priloga 2. i 3. koje dosežu veličinu poduzeća određenu zakonom ili ispunjavaju druge uvjete veličine.
Propis, među ostalim, računa s brojem zaposlenih od 50 osoba, odnosno u pojedinim slučajevima s pragom prihoda i bilančne svote u protuvrijednosti od 10 milijuna eura. To je red veličine koji već može biti relevantan i za brojne e-trgovinske tvrtke s većim prometom.
Klasifikacija se, međutim, ne može uvijek riješiti provjerom broja zaposlenih i godišnjeg prihoda dotičnog d.o.o.-a. Kod grupa poduzeća te povezanih i partnerskih poduzeća utvrđivanje statusa MSP-a može zahtijevati zasebnu analizu. Kod webshopa koji posluje u više zemalja, ima vlastitu proizvodnju ili se vodi preko više pravnih osoba zato se ne smije polaziti isključivo od vlastitog prometa webtrgovine.
Postoji i nekoliko kategorija neovisnih o veličini
Kod određenih organizacija regulativa ne polazi od klasične veličine poduzeća. Takvi mogu biti, primjerice, pružatelj elektroničkih komunikacijskih usluga, pružatelj usluga povjerenja ili DNS usluga, registar vršnih domenskih imena te pružatelj usluga registracije domenskih imena, na koje se mogu odnositi posebna pravila.
Zato često spominjana „NIS2 granica od 50 zaposlenih” lako zavarava. Nije točno pojednostavljenje da ispod pedeset zaposlenih sigurno nema obveza, a iznad pedeset sigurno ima. Sektor, veličinu tvrtke, njezinu stvarnu djelatnost i eventualni posebni pravni status treba ispitati zajedno.
A kome je obvezan sam audit?
To je još jedna važna razdjelnica. Prema mađarskom Zakonu o kibernetičkoj sigurnosti organizacije obveznice audita moraju redovito, uz uključivanje neovisnog auditora, dokazivati da ispunjavaju propisane zahtjeve kibernetičke sigurnosti.
Opće pravilo propisuje audit kibernetičke sigurnosti svake dvije godine. Novoregistrirane organizacije moraju u roku od 120 dana sklopiti ugovor s auditorom iz odgovarajućeg registra, a prvi audit u pravilu moraju obaviti u roku od dvije godine od registracije.
Prema priopćenju SZTFH-a od 10. srpnja 2026., od 2520 registriranih organizacija obveznica audita njih 2132 ispunilo je tu obvezu u roku.
Audit nije obična provjera sigurnosti web-stranice
U webshop okruženju audit kibernetičke sigurnosti lako je zamisliti tako da stručnjak pregleda webtrgovinu, pokrene nekoliko provjera ranjivosti i zatim izda potvrdu. Stvarnost je znatno složenija.
NIS2 se ne koncentrira na zaštitu jedne jedine web-stranice, nego ispituje rizike cjeline mrežnih i informacijskih sustava koji se koriste za rad organizacije. Tu spadaju, među ostalim, analiza rizika, upravljanje incidentima, kontinuitet poslovanja, sigurnosne kopije i oporavak, sigurnost opskrbnog lanca, upravljanje pristupima, kriptografija, edukacija zaposlenika te, u opravdanim slučajevima, i višefaktorska autentifikacija.
Kod webtrgovine zato u ispitani krug ne mora ući samo sam webshop, nego i ERP, skladišni i poslovni sustav, korporativni e-mail, uređaji zaposlenika, administratorski pristupi, API-ji i integracije povezane s vanjskim uslugama. To je već znatno više od provjere postoji li na stranici SSL certifikat.
Ni iznajmljeni webshop ne „skida” NIS2 s trgovčevih ramena
Ovdje je važno razdvojiti odgovornost platforme za webtrgovinu i tvrtke koja je koristi. Suvremeni SaaS sustav preuzima od trgovca brojne tehničke zadaće: ne mora sam voditi web-poslužitelj, instalirati sigurnosna ažuriranja ni nadzirati cjelokupni kod aplikacije. To je ozbiljna prednost, ali ne znači da tvrtka koja potpada pod NIS2 automatski ispunjava zahtjeve samo zato što koristi siguran iznajmljeni webshop sustav. Usklađenost se, naime, odnosi na organizaciju u cjelini.
NIS2 posebnu pozornost posvećuje rizicima opskrbnog lanca i vanjskih pružatelja usluga. E-trgovinska tvrtka obveznica audita zato mora znati i na koje se vanjske sustave oslanja, kojim podacima oni pristupaju i koliko su kritični za kontinuitet poslovanja.
Što to znači u slučaju korištenja Sellvio webtrgovine?
Sellvio nudi više tehničkih mogućnosti koje se dobro uklapaju u svjesno kibernetičko-sigurnosno poslovanje. Kod administracijskog sučelja, primjerice, može se uključiti dvofaktorska autentifikacija, pa za prijavu uz lozinku može biti potreban i jednokratni kod. To je osobito važno ondje gdje se može pristupiti narudžbama, podacima kupaca, cijenama i postavkama koje utječu na rad webshopa.
Sustav osigurava i detaljno upravljanje pravima pristupa. Novi korisnici ne dobivaju automatski puni pristup, a administrator na razini korisnika i grupa može regulirati tko što smije vidjeti, uređivati ili brisati. Tako, primjerice, urednik sadržaja ne mora imati pristup administraciji korisnika ili drugim modulima koji mu nisu potrebni.
To dobro slijedi načelo da svaki korisnik pristupa samo onim sustavima i podacima koji su mu doista potrebni za rad.
Kod API-ja su prava pristupa osobito važna
Veći webshop rijetko radi izolirano. Podaci se neprestano kreću između webtrgovine, ERP-a, sustava za upravljanje skladištem, programa za fakturiranje, logističkog sustava i drugih vanjskih aplikacija. Što se više takvih veza izgradi, to je važnije precizno regulirati kojim podacima pojedina integracija smije pristupati.
Sellviov REST API koristi autentifikaciju temeljenu na OAuth 2.0, a pristupi se mogu regulirati zasebnim opsezima prava, takozvanim scopeovima. Tako integracija ne mora automatski dobiti pristup cijelom skupu podataka webshopa, nego samo podacima koji su joj doista potrebni. S gledišta kibernetičke sigurnosti to je bitna razlika. Što je pristup vanjskog sustava uži i preciznije određen, to je manji rizik u slučaju pogrešne konfiguracije ili kompromitirane integracije.
Četiri pitanja koja si svaki veći webshop treba postaviti
Nalazi li se stvarna djelatnost tvrtke među obuhvaćenim sektorima Zakona o kibernetičkoj sigurnosti? Ne računa se samo postojanje webshopa, nego djelatnost organizacije koja stoji iza njega.
Doseže li tvrtka relevantni prag veličine ili spada u posebnu kategoriju na koju se primjenjuju drukčija pravila?
O kojim elektroničkim informacijskim sustavima ovisi rad poslovanja? Uz webshop tu mogu spadati i ERP, CRM, upravljanje skladištem, fakturiranje, e-mail i API integracije.
Može li se dokazati da sigurnosne mjere ne postoje samo na papiru, nego doista i funkcioniraju? Tijekom audita to je temeljno pitanje.
Ako se već na prva dva pitanja ne može dati jednoznačan odgovor, vrijedi uz uključivanje stručnjaka razjasniti klasifikaciju tvrtke prema NIS2.
Pravna napomena: članak je opća stručna informacija i ne predstavlja pravno ili službeno mišljenje. Primjenjivost NIS2 i Zakona o kibernetičkoj sigurnosti u svakom slučaju treba procijeniti na temelju djelatnosti, veličine, položaja unutar grupe poduzeća i drugih pravnih okolnosti dotične tvrtke.