Zakon o informacijski varnosti med zavezanci ne navaja 5.356 trgovcev z živili in gostincev

Zakon o informacijski varnosti (ZInfV-1) med zavezanci ne navaja trgovine na drobno z živili in strežbe jedi, v katerih po podatkih Statističnega urada RS deluje 5.356 podjetij, veletrgovcem z živili nad zakonskim pragom velikosti pa nalaga, da pomemben incident pristojni skupini za odzivanje na incidente sporočijo najpozneje v 24 urah. V Franciji so napadalci v noči na 12. oktober prek krmilnikov hladilnih naprav družbe Danfoss v več sto trgovinah sprožili neprekinjeno odtaljevanje in uničili sveža in zamrznjena živila, poroča specializirana publikacija Cooling Post.

Agencija Reuters je poročala, da je bilo napadenih najmanj 350 trgovin, med drugim verig Carrefour, Monoprix, Intermarché in Coopérative U, in da napadalci niso zahtevali odkupnine, odgovornosti pa ni prevzel nihče. Skupina Les Mousquetaires je za televizijo BFMTV število prizadetih trgovin Intermarché in Netto ocenila na približno 300, družba E.Leclerc pa je za Franceinfo potrdila napad v več trgovinah, poroča portal Silicon.fr. Pariško tožilstvo je uvedlo preiskavo, trgovska veriga Intermarché pa je po poročanju portala MacGeneration za francosko tiskovno agencijo AFP povedala, da nekatere zavarovalne pogodbe takšne škode morda ne krijejo. Analitik družbe Sekoia je za Reuters povedal, da so bile prizadete tudi trgovine v Španiji, na Portugalskem in Poljskem ter v Nemčiji in Belgiji.

Družba Danfoss je za Cooling Post sporočila, da je bila večina prizadetih naprav starejših modelov ali novejših modelov z zastarelo vdelano programsko opremo. Za model AK-SM 800 je po lastnih navedbah maja 2021 uradno razglasila konec življenjske dobe. V novičniku Tech Insider, objavljenem oktobra 2025, je opisala kibernetske napade iz leta 2022 na 16 supermarketov v Rusiji in 40 trgovin v Izraelu. Vse prizadete trgovine v Izraelu so po navedbah družbe uporabljale model AK-SM 800 in niso imele ustrezne zaščite s požarnim zidom ali omrežjem VPN.

Francoski center za odzivanje na kibernetske incidente CERT-FR je 12. oktobra izdal opozorilo, ki ga je dan pozneje razširil na platformo XWEB proizvajalcev Copeland in Dixell. Upravljavcem svetuje, naj krmilnike hladilnih naprav odklopijo z interneta, opozarja pa, da napadi verjetno še potekajo. Agencija Reuters je prek iskalnika Shodan našla najmanj 4.500 vmesnikov Danfoss, dostopnih prek interneta.

Priloga 2 zakona, objavljenega v Uradnem listu RS, št. 40/2025, v sektorju pridelave, predelave in distribucije hrane med zavezance uvršča subjekte, ki opravljajo živilsko dejavnost in se ukvarjajo s prodajo na debelo ter industrijsko pridelavo in predelavo. Po 6. členu zakona so zavezanci subjekti iz prilog, ki imajo vsaj 50 zaposlenih in letni promet ali letno bilančno vsoto vsaj 10 milijonov evrov. Zgodnje sporočilo o pomembnem incidentu morajo po 30. členu zakona poslati najpozneje v 24 urah po zaznavi, priglasitev incidenta najpozneje v 72 urah, končno poročilo pa najpozneje v enem mesecu po predložitvi priglasitve. Število 5.356 je po izračunu Lider.si seštevek podjetij v trgovini na drobno v nespecializiranih prodajalnah pretežno z živili, v specializiranih prodajalnah z živili in pijačami ter v dejavnosti restavracij in druge strežbe jedi za leto 2024, brez prodajaln s tobačnimi izdelki.

Trgovec ali gostinec, ki ga priloge zakona ne navajajo, je zavezanec, če je po predpisih o kritični infrastrukturi določen kot kritični subjekt, kot določa 6. člen zakona. Zakon omogoča tudi prostovoljno priglasitev incidentov, odzivni center SI-CERT pa je v drugem polletju 2025 obravnaval 213 incidentov v kategoriji drugih pravnih oseb, kaže polletno poročilo URSIV z dne 17. marca 2026.

Zavarovalnica Generali v ponudbi navaja zavarovanje zalog v hladilnicah in zamrzovalnikih, ki krije škodo zaradi okvare naprave za hlajenje ali nenadnega prenehanja dobave električne energije. Za proizvajalce opreme od 11. septembra 2026 velja obveznost poročanja o aktivno izkoriščenih ranljivostih iz 14. člena Akta o kibernetski odpornosti, Uredbe (EU) 2024/2847. Po uredbi se ta člen izrecno uporablja tudi za izdelke z digitalnimi elementi, ki so bili dani na trg pred 11. decembrom 2027, druge zahteve pa za takšne izdelke veljajo le, če so po tem datumu bistveno spremenjeni.

Neposredna finančna izguba, ki so jo prijavitelji prostovoljno razkrili centru SI-CERT, je v drugem polletju 2025 znašala 3.840.482 evrov, v prvem polletju pa 1.207.998 evrov. V sektorju pridelave, predelave in distribucije hrane je SI-CERT v drugem polletju 2025 obravnaval en incident.