Од 25 јуни 2026 година, Владата на Република Северна Македонија ги објави официјалните листи со областите, видовите субјекти и, за голем број случаи, конкретните компании и институции кои подлежат на примена на Законот за безбедност на мрежни и информациски системи („Законот“), со кој во домашното законодавство се транспонира Директивата (ЕУ) 2022/2555 (NIS2).

Доколку Вашата компанија работи во секторите енергетика, банкарство, здравство, транспорт, дигитална инфраструктура, производство на храна, производствена индустрија, телекомуникации или во некој од другите опфатени области, можно е согласно Законот да биде класифициран како суштински или важен субјект. Таквата класификација повлекува конкретни законски обврски во однос на сајбер безбедноста, пријавувањето на инциденти и корпоративното управување, кои веќе се применуваат.

Во овој водич се објаснува кои субјекти се опфатени со Законот, што практично се промени со листите објавени во јуни 2026 година и кои се првите чекори што компаниите треба да ги преземат. Текстот е подготвен како дел од нашата практика во областа на деловно право во Република Северна Македонија.

Што претставува Законот за безбедност на мрежни и информациски системи и зошто се значајни листите објавени во јуни 2026 година

Законот за безбедност на мрежни и информациски системи беше донесен од Собранието на 27.06.2025 година и објавен во „Службен весник на Република Северна Македонија“ бр. 135/2025 од 04.07.2025 година. Со Законот во националното законодавство се транспонира Директивата (ЕУ) 2022/2555 (NIS2). Законот стапи во сила осмиот ден од денот на неговото објавување, додека неговите одредби започнаа да се применуваат од 1 јануари 2026 година (член 62).

Согласно член 7 став (1) од Законот, Владата, по предлог на Министерството за дигитална трансформација, беше должна во рок од 12 месеци од влегувањето во сила на Законот да донесе пет детални листи, и тоа: листа на области со висока критичност и видови на субјекти, листа на подобласти во другите критични области и видови субјекти, листа на суштински субјекти, листа на важни субјекти и листа на определени други правни лица.

Овој рок истекуваше во јули 2026 година, а Владата ја исполни оваа законска обврска пред неговото истекување, со донесување на Одлука за утврдување на деталната листа на области и видови на субјекти од областите со висока критичност, деталната листа на подобласти и видови на субјекти во другите критични области, деталната листа на суштински субјекти, деталната листа на важни субјекти и деталната листа на правните лица, објавена во „Службен весник на Република Северна Македонија“ бр. 140 од 25.06.2026 година. Со оваа Одлука беа објавени сите пет детални листи предвидени со Законот, а токму овие измени се предмет на оваа анализа.

Шеснаесет области, две категории субјекти: Кој е опфатен со Законот?

Член 4 од Законот го утврдува опфатот на субјектите на кои се применува Законот преку три посебни категории.

Првата категорија ги опфаќа субјектите од јавниот сектор, односно Собранието, Владата, министерствата, органите на државната управа, судовите, општините и Градот Скопје.

Втората категорија ги опфаќа средните и големите субјекти од приватниот сектор кои вршат дејност во една од 16-те области утврдени со Законот.

Третата категорија опфаќа субјекти кои, независно од нивната големина, се опфатени со Законот поради природата на услугите што ги обезбедуваат.

Области со висока критичност (Прилог 1 од Одлуката од јуни 2026 година)

• Енергетика – оператори и субјекти во областа на електричната енергија, системите за централно греење и ладење, нафтата, природниот гас и водородот.
• Транспорт – воздушен, железнички, воден и патен транспорт, вклучително и оператори на интелигентни транспортни системи.
• Банкарство – кредитни институции.
• Инфраструктура на финансискиот пазар – организатори на пазари за тргување и централни договорни страни.
• Здравство – даватели на здравствени услуги, субјекти кои вршат истражување на медицински производи и производители на критични лекови и медицински помагала.
• Вода за пиење.
• Отпадни води.
• Дигитална инфраструктура – интернет-разменски точки (IXP), даватели на DNS-услуги, регистри на домени од највисоко ниво (TLD), даватели на cloud услуги, центри за податоци, даватели на CDN-услуги, даватели на доверливи услуги и даватели на јавни електронски комуникациски мрежи и услуги.
• Управување со ИКТ-услуги (B2B) – даватели на управувани ИКТ-услуги (Managed Service Providers) и даватели на управувани безбедносни услуги (Managed Security Service Providers).
• Јавна администрација – органи на централната и регионалната власт.

Други критични области (Прилог 2 од Одлуката од јуни 2026 година)

• Поштенски и курирски услуги.
• Управување со отпад.
• Изработка, производство и дистрибуција на хемикалии.
• Производство, преработка и дистрибуција на храна.
• Производство – медицински помагала, компјутери, електронска и оптичка опрема, електрична опрема, машини, моторни возила и друга транспортна опрема.
• Даватели на дигитални услуги – онлајн пазари, онлајн пребарувачи и платформи за социјално вмрежување.
• Истражувачки организации.

Покрај наведените категории, Законот опфаќа и одредени субјекти без оглед на нивната големина или секторот во кој работат. Согласно член 4 став (3), тоа се операторите на јавни електронски комуникациски мрежи и услуги, давателите на доверливи услуги, субјектот кој управува со регистарот на националните домени од највисоко ниво .mk и мкд, давателите на DNS-услуги, сопствениците или операторите на определена критична инфраструктура, како и секој друг субјект кој ќе биде утврден како суштински или важен врз основа на закон или спроведена проценка на ризик.

Суштински и важни субјекти – во што е разликата?

Член 8 од Законот ги класифицира субјектите во две категории – суштински субјекти и важни субјекти. Оваа класификација е од особено значење бидејќи од неа зависи интензитетот на надзорот, обемот на законските обврски, како и висината на санкциите во случај на непочитување на Законот.

Суштински субјекти

За суштински субјекти се сметаат:

• Големи субјекти (согласно критериумите за број на вработени, приход или вкупна актива утврдени во Законот за трговските друштва) кои вршат дејност во некоја од 16-те области опфатени со Законот;
• квалификувани даватели на доверливи услуги, операторот на регистарот на националните домени .mk и мкд, како и давателите на DNS-услуги, без оглед на нивната големина;
• средни и големи оператори на јавни електронски комуникациски мрежи и услуги;
• сите институции од јавниот сектор наведени во член 4 став (1) од Законот;
• сопственици или оператори на определена критична инфраструктура; и
• секој субјект кој ќе биде утврден како суштински со закон или врз основа на спроведена проценка на ризик.

Важни субјекти

За важни субјекти се сметаат:

• сите субјекти кои вршат дејност во областите со висока критичност, а кои не ги исполнуваат условите да бидат класифицирани како суштински субјекти; и
• секој субјект кој ќе биде утврден како важен со закон или врз основа на спроведена проценка на ризик.

Разликата помеѓу суштинските и важните субјекти не е само формална, туку има значајни практични последици. Имено, суштинските субјекти подлежат на проактивен надзор, што значи дека надлежниот орган може да врши инспекциски надзор и проверки во секое време. Од друга страна, важните субјекти подлежат на последователен (ex post) надзор, кој се спроведува само доколку постојат индиции за непочитување на законските обврски (членови 49–52). Покрај тоа, Законот предвидува и различен максимален износ на санкциите за суштинските и за важните субјекти, што дополнително ја нагласува важноста на нивната правилна класификација.

Што се промени со Одлуката од јуни 2026 година?

Со објавувањето на Прилог 3 и Прилог 4, Владата ја спроведе почетната постапка за идентификација и класификација на голем број субјекти согласно Законот.

Прилог 3 содржи детална листа на именувани суштински субјекти, како што се оператори на електронски комуникации, банки, здравствени установи, енергетски компании и други субјекти, при што за секој субјект се наведени основни идентификациски податоци, вклучувајќи матичен број, седиште, податоци за контакт, услугата што ја обезбедува и кога е применливо, IP-опсегот.

Прилог 4 ја содржи деталната листа на важни субјекти, прикажана во ист формат.

Дополнително, Прилог 5 содржи листа на определени правни лица кои, согласно Законот, се опфатени со регулативата независно од секторот во кој работат, меѓу кои се домашните даватели на доверливи услуги, одредени оператори на електронски комуникации и субјектот кој управува со регистарот на националните домени од највисоко ниво.

Доколку одреден субјект е наведен во Прилог 3 или Прилог 4, неговата класификација како суштински, односно важен субјект е веќе утврдена и за него непосредно се применуваат обврските предвидени со Законот.

Од друга страна, доколку субјектот не е опфатен со овие листи, но ги исполнува критериумите утврдени во член 8 од Законот за суштински или важен субјект, истиот нема право да чека да биде вклучен во некое наредно ажурирање на листите. Имено, согласно член 8 став (5) од Законот, таквиот субјект е должен да го извести надлежниот орган дека ги исполнува условите за идентификација како суштински, односно важен субјект.

Постапката за идентификација и класификација на субјектите е дополнително разработена со Уредба за начинот на идентификација на областите и подобластите и видовите субјекти заради утврдување на деталната листа на области и видови на субјекти од областите со висока критичност и деталната листа на подобласти и видови на субјекти во другите критични области, начинот на класификација на деталната листа на суштински субјекти и деталната листа на важни субјекти, форматa и содржината на деталната листа на области и видови на субјекти од областите со висока критичност, деталната листа на подобласти и видови на субјекти во другите критични области, деталната листа на суштински субјекти и деталната листа на важни субјекти, како и форматa, содржината и начинот на водење на регистарот на области со висока критичност, регистарот на други критични области, регистарот на суштински субјекти и регистарот на важни субјекти („Службен весник на РСМ“ бр. 133/2026 од 18.06.2026 година), Методологија за проценка на ризик заради утврдување на суштинските и важните субјекти кои врз основа на закон или направена проценка на ризик се утврдени како суштински субјекти („Службен весник на РСМ“ бр. 128/2026 од 12.06.2026 година) и Методологија за спроведување на анализа на ризик заради приоритизација на задачите на тимот за одговор на компјутерски инциденти за органите на извршната власт („Службен весник на РСМ“ бр. 139/2026 од 25.06.2026 година).

Четирифазен систем за пријавување на сајбер-инциденти

Член 33 од Законот воспоставува еден од построгите режими за пријавување на сајбер-инциденти во регионот. Суштинските и важните субјекти се должни без одлагање, а најдоцна во рок од три часа од моментот кога ќе дознаат за сајбер-инцидент или сајбер-закана, да го известат ЦИРТ. Овој рок е построг од минималниот рок предвиден со Директивата NIS2, која предвидува доставување на првично предупредување во рок од 24 часа.

Постапката за пријавување се состои од четири последователни фази:

• Прва фаза – Првично известување: во рок од 3 часа од моментот на дознавање за инцидентот или заканата. Во оваа фаза се доставува информација дека настанал значителен сајбер-инцидент или значајна сајбер-закана.
• Втора фаза – Рано предупредување: во рок од 24 часа, при што се наведува дали постои сомневање дека инцидентот е резултат на незаконско или злонамерно дејствување, како и дали постои можност за прекугранично влијание.
• Трета фаза – Известување за инцидент: во рок од 72 часа, со доставување на првична проценка на сериозноста и влијанието на инцидентот, како и индикатори за компромитација (Indicators of Compromise – IoCs), доколку се достапни.
• Четврта фаза – Конечен извештај: во рок од еден месец од доставувањето на известувањето за инцидентот, односно од неговото разрешување доколку инцидентот сè уште трае, кој треба да содржи детален опис на инцидентот, анализа на причините за неговото настанување, преземените мерки за ублажување на последиците и евентуалното прекугранично влијание.

Известувањата се доставуваат до надлежниот ЦИРТ, и тоа:

• МКД-ГОВ-ЦИРТ, кој функционира во рамките на Министерството за дигитална трансформација, за субјектите од централниот јавен сектор; или
• МКД-ЦИРТ, кој функционира во рамките на Агенцијата за електронски комуникации, за субјектите од 16-те области од приватниот сектор и субјектите опфатени со член 4 став (3) од Законот.

За одредени сектори, покрај известувањето до надлежниот ЦИРТ, може да постои и обврска за известување до регулаторот на определена област. Така, на пример, Регулаторната комисија за енергетика во мај 2026 година донесе посебни правила за сајбер-безбедност во енергетскиот сектор, кои во голема мера го следат истиот четирифазен модел на известување, при што известувањата се доставуваат и до секторскиот регулатор и до МКД-ЦИРТ.

Офицер за сајбер-безбедност и обврски во однос на корпоративното управување

Согласно член 25 од Законот, суштинските субјекти се должни да назначат најмалку едно лице за сајбер-безбедност (Офицер за сајбер-безбедност), кое треба да поседува соодветни квалификации и искуство во областа на информатичко-комуникациските технологии, телекомуникациите, безбедноста или правото.

Оваа обврска е подетално разработена со Правилник за поблиските критериуми во однос на големината и обемот на работа за формирање на организациска единица, односно определувањето на офицер за сајбер безбедност, како и поблиските критериуми во однос на видот и бројот на мрежни и информациски системи и бројот на вработени кои се услов за утврдување на бројот на офицери за сајбер безбедност („Службен весник на РСМ“ бр. 128/2026 од 12.06.2026 година).

Со Правилникот се утврдуваат критериумите врз основа на кои субјектите се должни да назначат еден или повеќе офицери за сајбер-безбедност, зависно од големината на субјектот, обемот и сложеноста на мрежните и информациските системи, како и бројот на вработените. За институциите од јавниот сектор е предвидена обврска за назначување од еден до пет Офицери за сајбер-безбедност, во зависност од исполнетоста на овие критериуми.

Офицерот за сајбер-безбедност своите задачи ги извршува независно од раководните структури во однос на прашањата поврзани со сајбер-безбедноста и директно го известува раководното лице на субјектот.

Покрај обврската за назначување Офицер за сајбер-безбедност, Законот воспоставува и обврски за органите на управување на сите суштински и важни субјекти. Согласно член 31, органот на управување е должен најмалку еднаш годишно да направат проценка на ризик, да обезбедат ажурирање на мерките и да вршат надзор над нивното спроведување. 

Дополнително, согласно член 32, суштинските и важните субјекти се должни да донесат и применуваат соодветни мерки за управување со ризиците, кои најмалку треба да опфатат: анализа на ризиците и безбедноста на мрежните и информациските системи; постапки за управување со сајбер-инциденти; мерки за обезбедување на континуитет во работењето, вклучително и управување со резервни копии и обновување по инциденти; мерки за безбедност на синџирот на снабдување, вклучително и безбедносните практики на директните добавувачи; безбедно набавување, развој и одржување на мрежните и информациските системи; политики и постапки за оценување на ефективноста на безбедносните мерки; примена на основни практики за сајбер-хигиена и обуки на вработените; политики за употреба на криптографија и енкрипција; мерки за безбедност на човечките ресурси и контрола на пристапот; и примена на повеќефакторска автентикација или континуирана автентикација за далечински пристап и привилегирани кориснички сметки.

Санкции за непочитување на Законот

Законот предвидува значајни санкции за непочитување на законските обврски, при што висината на глобите зависи од тоа дали субјектот е класифициран како суштински или важен.

За суштинските субјекти може да се изрече глоба во износ до 2% од вкупниот годишен приход, додека за важните субјекти глобата може да достигне до 1,4% од вкупниот годишен приход (членови 54 и 55).

Покрај санкциите за правното лице, Законот предвидува и глоба за одговорното лице во правното лице, односно за раководителот на институција од јавниот сектор, во износ од 5.000 евра во денарска противвредност.

Дополнително, доколку суштински субјект не постапи по изречените корективни мерки, Законот предвидува можност за изрекување и на дополнителни мерки, вклучително и привремена забрана за вршење на определена дејност, како и забрана одговорното лице да врши професија, дејност или должност.

Практичен пример – дали вашата компанија е опфатена?

При проценката дали одредена компанија е опфатена со Законот, препорачливо е да се следат следните чекори:

1. Проверка на областа – утврдување дали субјектот врши дејност во некоја од областите опфатени со Законот (на пример, управување со ИКТ-услуги (B2B), кое претставува една од областите со висока критичност).
2. Проверка на големината на субјектот – утврдување дали субјектот, согласно Законот за трговските друштва, е класифициран како среден или голем трговец, бидејќи ова претставува еден од основните критериуми за неговата класификација.
3. Проверка на објавените листи – проверка дали субјектот е наведен во Прилог 3 (суштински субјекти) или Прилог 4 (важни субјекти) од Одлуката објавена во „Службен весник на РСМ“ бр. 140/2026.
4. Доколку субјектот е опфатен со листите – неговиот статус е веќе утврден и потребно е да пристапи кон исполнување на законските обврски, вклучително и спроведување проценка на ризик, назначување офицер за сајбер-безбедност (кога тоа е применливо) и воспоставување процедури за пријавување на инциденти.
5. Доколку субјектот не е опфатен со листите, но ги исполнува законските критериуми – согласно член 8 став (5) од Законот, должен е да го извести надлежниот орган (МКД-ЦИРТ преку Агенцијата за електронски комуникации) дека ги исполнува условите за идентификација како суштински или важен субјект, без да чека негово идно вклучување во листите.

Што треба да проверат субјектите?

Иако најголемиот дел од подзаконската рамка е веќе донесен, сеуште не е објавен подзаконскиот акт со кој подетално ќе се уредат мерките за управување со ризиците предвидени во член 32 од Законот.

Во меѓувреме, препорачливо е субјектите кои работат во областите опфатени со Законот да преземат најмалку следните активности:

• да проверат дали се опфатени во Прилог 3 или Прилог 4 од Одлуката („Службен весник на РСМ“ бр. 140/2026);
• доколку не се опфатени, а ги исполнуваат условите од член 8 од Законот, да проценат дали постои обврска за известување на надлежниот орган;
• да утврдат дали постои обврска за назначување Офицер за сајбер-безбедност согласно член 25 од Законот и релевантниот Правилник;
• да ги преиспитаат своите процедури за управување со сајбер-инциденти, со цел да обезбедат усогласеност со роковите за известување утврдени во член 33 од Законот; и
• доколку обезбедуваат ИКТ производи или услуги на субјекти кои се опфатени со Законот, да имаат предвид дека може да бидат предмет на дополнителни договорни барања за сајбер-безбедност, согласно правилата за безбедност на синџирот на снабдување утврдени во член 32.

Често поставувани прашања

Дали мојата компанија автоматски е опфатена со Законот доколку е наведена во листите објавени во јуни 2026 година?

Да. Доколку вашата компанија е наведена во Прилог 3 или Прилог 4 од Одлуката за утврдување на деталната листа на области и видови на субјекти од областите со висока критичност, деталната листа на подобласти и видови на субјекти во другите критични области, деталната листа на суштински субјекти, деталната листа на важни субјекти и деталната листа на правните лица („Службен весник на РСМ“ бр. 140/2026), Владата веќе ја утврдила нејзината класификација како суштински, односно важен субјект. Со тоа, за компанијата се применуваат обврските утврдени со Законот. Самото вклучување во листите не ја создава обврската, туку претставува потврда дека субјектот ги исполнува критериумите утврдени во член 8 од Законот.

Што доколку мојата компанија не е наведена во листите, но сметам дека ги исполнува законските услови?

Во таков случај, Законот предвидува обврска за постапување. Согласно член 8 став (5), субјектите кои ги исполнуваат критериумите за суштински или важен субјект, а не се опфатени со објавените листи, се должни самостојно да го известат надлежниот орган дека ги исполнуваат условите. Иако листите ќе се ажурираат периодично, оваа обврска не зависи од нивното идно ажурирање.

Во кој рок треба да се пријави сајбер-инцидент?

Во случај на значителен сајбер-инцидент или значајна сајбер-закана, субјектот е должен веднаш, а најдоцна во рок од три часа од моментот на дознавање за инцидентот, да го извести надлежниот ЦИРТ. Потоа следуваат дополнителни фази на известување, и тоа: рано предупредување во рок од 24 часа, известување за инцидент во рок од 72 часа и конечен извештај во рок од еден месец, согласно член 33 од Законот.

Какви се санкциите за непочитување на Законот?

За суштинските субјекти Законот предвидува глоби до 2% од вкупниот годишен приход, а за важните субјекти до 1,4% од вкупниот годишен приход. Покрај тоа, предвидени се и парични казни за одговорното лице, а за суштинските субјекти кои нема да постапат по изречените корективни мерки може да бидат изречени и дополнителни мерки, вклучително и привремена забрана за вршење на дејност (членови 54–56).

Дали Законот се применува и на компании кои немаат регистрирано седиште во Република Северна Македонија?

Да, во одредени случаи. Согласно член 9 од Законот, странските даватели на DNS-услуги, cloud услуги, услуги на центри за податоци, CDN-услуги, управувани ИКТ-услуги и управувани безбедносни услуги, услуги за регистрација на домени, онлајн пазари, онлајн пребарувачи, платформи за социјално вмрежување, како и други субјекти за кои тоа е предвидено со Законот, се должни да назначат локален претставник во Република Северна Македонија и да го регистрираат кај Министерството за дигитална трансформација. Дополнително, институциите од јавниот сектор не смеат да доделуваат договори за јавни набавки на такви субјекти доколку не ја исполнат оваа обврска.

Класификацијата на секој субјект зависи од неговата големина, секторот во кој работи, услугите што ги обезбедува и исполнетоста на критериумите утврдени во Законот. Со оглед дека погрешната проценка или непостапувањето може да резултира со обврска за известување, надзор и значајни санкции, препорачливо е навремено да се изврши анализа на статусот на субјектот и неговите законски обврски.