Ključni subjekti (čl. 9. Zakona)
- subjekti iz sektora visoke kritičnosti (Prilog I. Zakona) koji prelaze gornje granice za srednje subjekte maloga gospodarstva
- kvalificirani pružatelji usluga povjerenja, registar naziva vršne nacionalne internetske domene i pružatelji usluga DNS-a, neovisno o veličini
- pružatelji javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga koji su srednji ili veliki subjekti
- informacijski posrednici u razmjeni elektroničkog računa među poduzetnicima, neovisno o veličini
- subjekti utvrđeni kao kritični subjekti prema Zakonu o kritičnoj infrastrukturi, neovisno o veličini
Važni subjekti (čl. 10. Zakona)
- srednji i veliki subjekti iz drugih kritičnih sektora (Prilog II. Zakona)
- srednji subjekti iz sektora visoke kritičnosti koji nisu ključni
- pružatelji usluga povjerenja i pružatelji javnih elektroničkih komunikacijskih mreža ili javno dostupnih elektroničkih komunikacijskih usluga koji nisu razvrstani kao ključni, neovisno o veličini
Subjekt se iznimno može razvrstati u jednu od kategorija i neovisno o veličini, primjerice ako je jedini pružatelj usluge ključne za društvo ili gospodarstvo ili ako bi poremećaj u njegovu radu mogao imati znatan učinak na javnu sigurnost ili javno zdravlje (čl. 11.). Kategorizaciju provode nadležna tijela.
Razlike
| Ključni subjekti | Važni subjekti | |
|---|---|---|
| Mjere i prijava incidenata | iste temeljne obveze, razina mjera prema kategorizaciji | iste temeljne obveze, razina mjera prema kategorizaciji |
| Provjera usklađenosti | revizija kibernetičke sigurnosti najmanje jednom u dvije godine | samoprocjena najmanje jednom u dvije godine |
| Najviša kazna za subjekt | 10 milijuna eura ili 2 % ukupnog godišnjeg prometa | 7 milijuna eura ili 1,4 % ukupnog godišnjeg prometa |
| Kazna za članove upravljačkog tijela | od 1.000 do 6.000 eura | od 500 do 3.000 eura |
Pri kaznama za subjekt primjenjuje se iznos koji je veći.
Primjer
Bolnica s 800 zaposlenih iz sektora zdravstva (Prilog I.) prelazi gornje granice za srednje subjekte, pa je ključni subjekt. Mora najmanje jednom u dvije godine provesti reviziju kibernetičke sigurnosti kod revizora kibernetičke sigurnosti.