Spletna trgovina danes le redko deluje kot samostojen sistem. V ozadju so z njo povezani upravljanje zalog, izdajanje računov, spletno plačevanje, povezave s kurirskimi službami, sistem ERP, zunanji API-ji in različna uporabniška pooblastila. Kar je za kupca videti kot preprosta spletna trgovina, je v resnici del precej kompleksnejšega informacijskega okolja.
Ko e-trgovinsko podjetje raste, je vse težje ostro ločiti spletno trgovino od infrastrukture, ki deluje za njo. Zato se varnostna težava ne pokaže nujno prek same spletne trgovine: izvira lahko tudi iz kompromitiranega uporabniškega računa, napačnega upravljanja pooblastil ali ranljive zunanje integracije. Ureditev kibernetske varnosti zato delovanje podjetja proučuje precej širše.
Pri NIS2 zato najboljše prvo vprašanje ni, »ali moja spletna trgovina ustreza zahtevam NIS2«. Najprej je treba razjasniti, ali podjetje, ki upravlja spletno trgovino, sploh sodi na področje uporabe ureditve. Če da, je treba posebej proučiti tudi, katere obveznosti veljajo zanj in ali je med njimi obvezna revizija kibernetske varnosti. Sodenje pod NIS2 in obveznost revizije namreč nista isto.
Ni vsaka spletna trgovina zavezanka po NIS2
NIS2 je občutno razširila ureditev kibernetske varnosti Evropske unije. Ureditev krog zavezancev določa na podlagi sektorjev in vrst organizacij. Prilogi 2 in 3 zakona med drugim navajata energetska, prometna, zdravstvena, poštna, živilska in kemična podjetja, podjetja s področja digitalne infrastrukture ter nekatere proizvajalce, med digitalnimi ponudniki pa se pojavijo tudi spletne tržnice. To pa ne pomeni, da je vsako podjetje, ki prodaja prek interneta, samodejno zavezanec po NIS2. Trgovec, ki svoje izdelke prodaja v lastni spletni trgovini, sam po sebi še ne šteje za spletno tržnico.
Spletna tržnica je platforma, ki tudi drugim trgovcem ali uporabnikom omogoča, da prek nje sklepajo pogodbe na daljavo. Tipično se torej na isti platformi pojavlja ponudba več prodajalcev, kar se bistveno razlikuje od delovanja lastne spletne trgovine enega samega trgovca. To je ena najpomembnejših razlik, ki jo mora upravljavec spletne trgovine jasno videti.
Kdaj je spletna trgovina zajeta?
V prvi vrsti ni treba proučevati, ali sta na strani košarica in spletno plačevanje, temveč to, kakšno gospodarsko dejavnost opravlja podjetje, ki stoji za spletno trgovino.
Zgodi se lahko na primer, da podjetje prek spleta prodaja izdelke lastne proizvodnje, medtem ko sama proizvodna dejavnost sodi v enega od zadevnih sektorjev madžarskega Zakona o kibernetski varnosti. Drugo podjetje upravlja spletno tržnico ali zagotavlja digitalno storitev, ki jo predpis posebej navaja.
V prilogi 3 zakona je več področij, relevantnih tudi z vidika e-trgovine. Sem lahko sodijo nekatera živilska podjetja, proizvajalci in distributerji kemičnih snovi, proizvajalci medicinskih pripomočkov, nekateri industrijski proizvajalci, poštni ponudniki in spletne tržnice. Zajetost pa je treba vedno presojati na podlagi dejanske dejavnosti podjetja.
Spletna trgovina, ki prodaja tehnične izdelke, torej ne postane samodejno zajeta samo zato, ker prodaja izdelke, katerih proizvodnja je navedena v zakonu. Trgovinska in proizvodna dejavnost s tega vidika nista enaki.
Tudi velikost šteje
Sektorska uvrstitev sama po sebi ne določa obveznosti v vsakem primeru. Trenutna madžarska ureditev praviloma zadeva tiste organizacije iz prilog 2 in 3, ki dosegajo v zakonu določeno velikost podjetja ali druge velikostne pogoje.
Predpis med drugim računa s 50 ali več zaposlenimi oziroma v nekaterih primerih z mejo prihodkov in bilančne vsote v protivrednosti 10 milijonov evrov. To je lahko relevanten red velikosti že za številna e-trgovinska podjetja z večjim prometom.
Uvrstitve pa ni vedno mogoče opraviti zgolj s preverjanjem števila zaposlenih in letnih prihodkov dane družbe. Pri skupinah podjetij ter povezanih in partnerskih podjetjih lahko opredelitev MSP zahteva ločeno proučitev. Pri spletni trgovini, ki deluje v več državah, ima lastno proizvodnjo ali deluje prek več pravnih oseb, zato ne smemo izhajati izključno iz lastnega prometa spletne trgovine.
Obstaja tudi nekaj kategorij, neodvisnih od velikosti
Pri nekaterih organizacijah ureditev ne izhaja iz klasične velikosti podjetja. Takšni so lahko na primer ponudnik elektronskih komunikacij, ponudnik storitev zaupanja ali storitev DNS, register vrhnjih domenskih imen in ponudnik registracije domenskih imen, za katere lahko veljajo posebna pravila.
Zato je pogosto omenjana »meja 50 zaposlenih pri NIS2« zlahka zavajajoča. Ne drži poenostavitev, da pod petdesetimi zaposlenimi zagotovo ni nobene naloge, nad petdesetimi pa zagotovo je. Sektor, velikost podjetja, njegovo dejansko dejavnost in morebitni posebni pravni status je treba proučiti skupaj.
In za koga je obvezna sama revizija?
To je še ena pomembna ločnica. Po madžarskem Zakonu o kibernetski varnosti morajo organizacije, zavezane reviziji, redno in z vključitvijo neodvisnega revizorja dokazovati, da izpolnjujejo predpisane zahteve kibernetske varnosti.
Splošno pravilo predpisuje revizijo kibernetske varnosti vsaki dve leti. Na novo registrirane organizacije morajo v 120 dneh skleniti pogodbo z revizorjem iz ustreznega registra, prvo revizijo pa morajo praviloma opraviti v dveh letih od vpisa v register.
Po informaciji madžarskega urada SZTFH z dne 10. julija 2026 je od 2520 registriranih organizacij, zavezanih reviziji, 2132 to obveznost izpolnilo v roku.
Revizija ni preprost varnostni pregled spletne strani
V okolju spletnih trgovin si je revizijo kibernetske varnosti lahko predstavljati tako, da strokovnjak pregleda spletno trgovino, zažene nekaj pregledov ranljivosti in nato izda potrdilo. Resničnost je precej kompleksnejša.
NIS2 se ne osredotoča na zaščito ene same spletne strani, temveč proučuje tveganja celote omrežnih in informacijskih sistemov, ki jih organizacija uporablja za svoje delovanje. Sem med drugim sodijo analiza tveganj, obvladovanje incidentov, neprekinjeno poslovanje, varnostno kopiranje in obnovitev, varnost dobavne verige, upravljanje dostopov, kriptografija, usposabljanje zaposlenih ter v utemeljenih primerih tudi večfaktorska avtentikacija.
Pri spletni trgovini lahko zato v proučevani krog pride ne le sama spletna trgovina, temveč tudi ERP, skladiščni in poslovodni sistem, službena e-pošta, naprave zaposlenih, administratorski dostopi, API-ji in integracije, povezane z zunanjimi storitvami. To je že precej več kot preverjanje, ali je na strani certifikat SSL.
Tudi najemna spletna trgovina trgovcu ne »sname« NIS2 z ramen
Tu je pomembno ločiti odgovornost platforme za spletne trgovine in podjetja, ki jo uporablja. Sodoben sistem SaaS trgovcu prevzame številne tehnične naloge: ni mu treba upravljati lastnega spletnega strežnika, nameščati varnostnih posodobitev ali nadzirati celotne kode aplikacije. To je resna prednost, a ne pomeni, da podjetje, ki sodi pod NIS2, samodejno izpolnjuje zahteve samo zato, ker uporablja varen najemni sistem spletne trgovine. Skladnost se namreč nanaša na organizacijo kot celoto.
NIS2 posebno pozornost namenja tveganjem, ki jih predstavljajo dobavna veriga in zunanji ponudniki. E-trgovinsko podjetje, zavezano reviziji, mora zato poznati tudi, na katere zunanje sisteme se opira, do katerih podatkov ti dostopajo in kako kritični so z vidika poslovanja.
Kaj to pomeni pri uporabi spletne trgovine Sellvio?
Sellvio ponuja več tehničnih možnosti, ki se dobro prilegajo zavestnemu delovanju na področju kibernetske varnosti. Pri administracijskem vmesniku je na primer mogoče vklopiti dvofaktorsko avtentikacijo, tako da je za prijavo poleg gesla lahko potrebna tudi koda za enkratno uporabo. To je posebej pomembno tam, kjer je mogoče dostopati do naročil, podatkov strank, cen in nastavitev, ki vplivajo na delovanje spletne trgovine.
Sistem zagotavlja tudi podrobno upravljanje pooblastil. Novi uporabniki ne dobijo samodejno polnega dostopa, administrator pa lahko na ravni uporabnikov in skupin ureja, kdo lahko kaj vidi, ureja ali briše. Tako na primer uredniku vsebin ni treba dostopati do administracije uporabnikov ali drugih modulov, ki jih ne potrebuje.
To dobro sledi načelu, da naj vsak uporabnik dostopa le do tistih sistemov in podatkov, ki jih za svoje delo dejansko potrebuje.
Pri API-jih so pooblastila posebej pomembna
Večja spletna trgovina redko deluje izolirano. Podatki se nenehno premikajo med spletno trgovino, ERP, sistemom za vodenje skladišča, programom za izdajanje računov, logističnim sistemom in drugimi zunanjimi aplikacijami. Več ko se vzpostavi takih povezav, pomembneje je natančno urediti, do katerih podatkov lahko dostopa posamezna integracija.
Sellviov REST API uporablja avtentikacijo na osnovi OAuth 2.0, dostope pa je mogoče urejati z ločenimi krogi pooblastil, tako imenovanimi scope-i. Tako integraciji ni treba samodejno dobiti dostopa do celotnega nabora podatkov spletne trgovine, temveč le do tistih podatkov, ki jih dejansko potrebuje. Z vidika kibernetske varnosti je to bistvena razlika. Ožji in natančneje določen ko je dostop zunanjega sistema, manjše je tveganje ob napačni konfiguraciji ali kompromitirani integraciji.
Štiri vprašanja, ki si jih je vredno zastaviti pri vsaki večji spletni trgovini
Je dejanska dejavnost podjetja med zadevnimi sektorji Zakona o kibernetski varnosti? Ne šteje sam obstoj spletne trgovine, temveč dejavnost organizacije, ki stoji za njo.
Dosega podjetje ustrezni velikostni prag ali sodi v posebno kategorijo, za katero veljajo drugačna pravila?
Od katerih elektronskih informacijskih sistemov je odvisno delovanje posla? Poleg spletne trgovine lahko sem sodijo tudi ERP, CRM, upravljanje skladišča, izdajanje računov, e-pošta in integracije API.
Je mogoče dokazati, da varnostni ukrepi ne obstajajo le na papirju, temveč tudi dejansko delujejo? Med revizijo je to temeljno vprašanje.
Če že na prvi dve točki ni mogoče dati nedvoumnega odgovora, je vredno z vključitvijo strokovnjaka razjasniti uvrstitev podjetja po NIS2.
Pravna opomba: članek je splošna strokovna informacija in ne šteje za pravno ali uradno stališče. Področje uporabe NIS2 in Zakona o kibernetski varnosti je treba v vsakem primeru presojati na podlagi dejavnosti, velikosti, položaja znotraj skupine podjetij in drugih pravnih okoliščin danega podjetja.