Online prodavnica danas retko radi kao samostalan sistem. U pozadini se na nju vezuju upravljanje zalihama, fakturisanje, online plaćanje, veze sa kurirskim službama, ERP sistem, spoljni API-ji i različita korisnička ovlašćenja. Ono što kupcu izgleda kao jednostavan web shop, zapravo je deo znatno složenijeg informatičkog okruženja.
Kako e-trgovinsko preduzeće raste, sve je teže oštro razdvojiti web shop i infrastrukturu koja radi iza njega. Zato se bezbednosni problem ne pojavljuje nužno kroz samu online prodavnicu: može poteći i iz kompromitovanog korisničkog naloga, pogrešnog upravljanja ovlašćenjima ili ranjive spoljne integracije. Regulativa sajber-bezbednosti zato posmatra rad preduzeća znatno šire.
Kod NIS2 zato nije najbolje prvo pitanje „da li moj web shop ispunjava zahteve NIS2?" Prvo treba razjasniti da li preduzeće koje vodi online prodavnicu uopšte potpada pod ovu regulativu. Ako da, posebno treba ispitati i to koje se obaveze na njega odnose i da li se među njima nalazi obavezan audit sajber-bezbednosti. Potpadanje pod NIS2 i obaveza audita, naime, nisu isto.
Nije svaki web shop obveznik NIS2
NIS2 je značajno proširila regulativu Evropske unije u oblasti sajber-bezbednosti. Regulativa određuje krug obuhvaćenih na osnovu sektora i tipova organizacija. Prilozi 2 i 3 zakona imenuju, između ostalog, preduzeća iz energetike, saobraćaja, zdravstva, digitalne infrastrukture, poštanskih usluga, prehrambene i hemijske industrije, kao i pojedine proizvođače, a među digitalnim provajderima pojavljuju se i online tržnice. To, međutim, ne znači da je svako preduzeće koje prodaje na internetu automatski obveznik NIS2. Trgovac koji sopstvene proizvode prodaje u sopstvenom web shopu sam po sebi se još ne smatra online tržnicom.
Online tržnica je platforma koja i drugim trgovcima ili korisnicima omogućava da preko nje sklapaju ugovore na daljinu. Tipično se, dakle, na istoj platformi pojavljuje ponuda više prodavaca, što se bitno razlikuje od rada sopstvene online prodavnice jednog jedinog trgovca. To je jedna od najvažnijih razlika koju operater web shopa mora jasno da vidi.
Kada je online prodavnica obuhvaćena?
Ne treba prvenstveno ispitivati da li na sajtu postoje korpa i online plaćanje, već to kakvu privrednu delatnost obavlja preduzeće koje stoji iza online prodavnice.
Može se, na primer, desiti da firma online prodaje proizvode sopstvene proizvodnje, dok sama proizvodna delatnost spada u neki od obuhvaćenih sektora Zakona o sajber-bezbednosti. Drugo preduzeće vodi online tržnicu, ili pruža digitalnu uslugu koju propis posebno imenuje.
U prilogu 3 zakona nalazi se više oblasti relevantnih i iz ugla e-trgovine. Tu mogu spadati određena preduzeća prehrambene industrije, proizvođači i distributeri hemijskih materija, proizvođači medicinskih sredstava, pojedini industrijski proizvođači, poštanski operateri i online tržnice. Obuhvaćenost se, međutim, uvek mora procenjivati na osnovu stvarne delatnosti preduzeća.
Web shop koji prodaje tehničke proizvode, dakle, ne postaje automatski obuhvaćen samo zato što prodaje proizvode čija je proizvodnja navedena u zakonu. Trgovinska i proizvodna delatnost iz ovog ugla nisu isto.
I veličina se računa
Sektorska klasifikacija sama po sebi ne određuje obavezu u svakom slučaju. Važeća mađarska regulativa po osnovnom pravilu obuhvata one organizacije iz priloga 2 i 3 koje dostižu veličinu kompanije određenu zakonom ili druge uslove veličine.
Propis, između ostalog, računa sa brojem zaposlenih koji dostiže 50 osoba, odnosno u pojedinim slučajevima sa granicom prihoda i bilansne sume u protivvrednosti od 10 miliona evra. To već može biti relevantan red veličine i za brojna e-trgovinska preduzeća sa većim prometom.
Klasifikacija se, međutim, ne može uvek rešiti proverom broja zaposlenih i godišnjeg prihoda datog d.o.o. Kod grupa kompanija, povezanih i partnerskih preduzeća, kvalifikacija MSP može zahtevati posebno ispitivanje. Kod web shopa koji radi u više zemalja, ima sopstvenu proizvodnju ili se vodi preko više pravnih lica zato se ne sme polaziti isključivo od sopstvenog prometa online prodavnice.
Postoji i nekoliko kategorija nezavisnih od veličine
Kod određenih organizacija regulativa ne polazi od klasične veličine kompanije. Takvi mogu biti, na primer, provajder elektronskih komunikacija, provajder usluga od poverenja ili DNS usluga, registar naziva domena najvišeg nivoa, odnosno provajder koji obavlja registraciju naziva domena, na koje se mogu odnositi specijalna pravila.
Zato često pominjana „NIS2 granica od 50 zaposlenih" lako može da zavara. Nije tačno pojednostavljenje da ispod pedeset zaposlenih sigurno nema obaveza, a iznad pedeset zaposlenih sigurno ima. Sektor, veličinu preduzeća, njegovu stvarnu delatnost i eventualni specijalni pravni status treba ispitivati zajedno.
A kome je obavezan sam audit?
Ovo je još jedna važna granica. Prema mađarskom Zakonu o sajber-bezbednosti, organizacije obveznici audita moraju redovno, uz uključivanje nezavisnog auditora, dokazivati da ispunjavaju propisane zahteve sajber-bezbednosti.
Osnovno pravilo propisuje audit sajber-bezbednosti svake dve godine. Novoregistrovane organizacije moraju u roku od 120 dana da sklope ugovor sa auditorom koji se nalazi u odgovarajućem registru, a prvi audit po osnovnom pravilu moraju da obave u roku od dve godine od upisa u registar.
Prema saopštenju SZTFH od 10. jula 2026. godine, od 2520 registrovanih organizacija obveznika audita njih 2132 ispunilo je ovu obavezu u roku.
Audit nije jednostavna bezbednosna provera sajta
U webshop okruženju lako je zamisliti audit sajber-bezbednosti tako da stručnjak pregleda online prodavnicu, pokrene nekoliko skeniranja ranjivosti, pa izda potvrdu. Stvarnost je znatno složenija od toga.
NIS2 se ne koncentriše na zaštitu jednog jedinog sajta, već ispituje rizike celine mrežnih i informacionih sistema koji se koriste za rad organizacije. Tu spadaju, između ostalog, analiza rizika, upravljanje incidentima, kontinuitet poslovanja, bezbednosne kopije i oporavak, bezbednost lanca snabdevanja, upravljanje pristupima, kriptografija, obuka zaposlenih, a u opravdanim slučajevima i višefaktorska autentifikacija.
Kod online prodavnice zato u ispitivani krug može ući ne samo sam web shop, već i ERP, sistem za magacin i poslovanje, korporativni e-mail, uređaji zaposlenih, administratorski pristupi, API-ji i integracije vezane za spoljne usluge. To je već znatno više od provere da li sajt ima SSL sertifikat.
Ni iznajmljeni web shop ne „skida" NIS2 sa trgovčevih ramena
Ovde je važno razdvojiti odgovornost webshop platforme i preduzeća koje je koristi. Savremen SaaS sistem preuzima mnoge tehničke zadatke od trgovca: on ne mora da održava sopstveni veb server, da instalira bezbednosna ažuriranja niti da nadzire kompletan kod aplikacije. To je ozbiljna prednost, ali ne znači da preduzeće koje potpada pod NIS2 automatski ispunjava zahteve samo zato što koristi bezbedan iznajmljeni webshop sistem. Usklađenost se, naime, odnosi na organizaciju u celini.
NIS2 posebnu pažnju posvećuje rizicima koje nose lanac snabdevanja i spoljni provajderi. E-trgovinsko preduzeće obveznik audita zato mora znati i to na koje se spoljne sisteme oslanja, kojim podacima oni pristupaju i koliko su kritični iz ugla odvijanja poslovanja.
Šta ovo znači u slučaju korišćenja Sellvio online prodavnice?
Sellvio nudi više takvih tehničkih mogućnosti koje se dobro uklapaju u svestan pristup sajber-bezbednosti. Kod administratorskog interfejsa, na primer, može se uključiti dvofaktorska autentifikacija, pa pored lozinke za prijavu može biti potreban i jednokratni kod. To je posebno važno tamo gde se može pristupiti porudžbinama, podacima kupaca, cenama i podešavanjima koja utiču na rad web shopa.
Sistem obezbeđuje i detaljno upravljanje ovlašćenjima. Novi korisnici ne dobijaju automatski pun pristup, a administrator na nivou korisnika i grupa može da reguliše ko šta sme da vidi, menja ili briše. Tako, na primer, urednik sadržaja ne mora da ima pristup administraciji korisnika ili drugim modulima koji mu nisu potrebni.
To dobro prati osnovni princip da svaki korisnik pristupa samo onim sistemima i podacima koji su mu zaista potrebni za posao.
Kod API-ja je ovlašćenje posebno važno
Veći web shop retko radi izolovano. Podaci se stalno kreću između online prodavnice, ERP-a, sistema za upravljanje magacinom, programa za fakturisanje, logističkog sistema i drugih spoljnih aplikacija. Što se više ovakvih veza izgradi, to je važnije precizno regulisati kojim podacima pojedina integracija sme da pristupa.
Sellvio REST API koristi autentifikaciju zasnovanu na OAuth 2.0, a pristupi se mogu regulisati posebnim krugovima ovlašćenja, takozvanim scope-ovima. Tako integracija ne mora automatski da dobije pristup celokupnom skupu podataka web shopa, već samo onim podacima koji su joj zaista potrebni. Iz ugla sajber-bezbednosti to je bitna razlika. Što je pristup spoljnog sistema uži i preciznije određen, to je manji rizik u slučaju pogrešne konfiguracije ili kompromitovane integracije.
Četiri pitanja koja vredi da postavi svaki veći web shop
Da li se stvarna delatnost preduzeća nalazi među obuhvaćenim sektorima Zakona o sajber-bezbednosti? Ne računa se samo po sebi postojanje web shopa, već delatnost organizacije koja stoji iza njega.
Da li preduzeće dostiže odgovarajući prag veličine, ili spada u specijalnu kategoriju na koju važe drugačija pravila?
Od kojih elektronskih informacionih sistema zavisi rad posla? Pored web shopa tu mogu spadati i ERP, CRM, upravljanje magacinom, fakturisanje, e-mail i API integracije.
Može li se dokazati da bezbednosne mere ne postoje samo na papiru, već da zaista i funkcionišu? Tokom audita to je osnovno pitanje.
Ako se već na prva dva pitanja ne može dati jednoznačan odgovor, vredi uz uključivanje stručnjaka razjasniti klasifikaciju preduzeća prema NIS2.
Pravna napomena: članak je opšta stručna informacija i ne predstavlja pravno ili zvanično mišljenje. Oblast primene NIS2 i Zakona o sajber-bezbednosti u svakom slučaju treba procenjivati na osnovu delatnosti, veličine, položaja unutar grupe kompanija i drugih pravnih okolnosti datog preduzeća.