(1) Novčanom kaznom u iznosu od 500 do 5.000 eura kazniće se za prekršaj pravno lice, ako:
1)ne primjenjuje mjere informacione bezbjednosti iz čl. 11 do 15 ovog zakona (član 18 stav 2);
2)ne odredi zaposleno lice za praćenje primjene mjera informacione bezbjednosti (član 18 stav 3);
3)nadležnom ministarstvu ne dostavi podatke u roku od sedam dana od dana prijema zahtjeva (član 20 stav 3);
4)nadležno ministarstvo ne obavijesti o promjeni podataka u roku od 14 dana od dana nastanka promjene (član 20 stav 4);
5)izvještaj o sajber prijetnjama, ozbiljnim sajber prijetnjama, odnosno incidentima, jednom mjesečno ne dostavi Agenciji, odnosno CIRT-u državne uprave (član 29 stav 1);
6)ne dostavi početno obavještenje Agenciji, odnosno CIRT-u državne uprave o sajber prijetnji, ozbiljnoj sajber prijetnji odnosno incidentu koji bi mogli u značajnoj mjeri da utiču na kontinuitet pružanja usluga (član 30 stav 1);
7)ne dostavi početno obavještenje za sajber prijetnju, ozbiljnu sajber prijetnju i incident, na propisanom obrascu u roku od 24 časa od trenutka saznanja za taj incident (član 30 st. 1 i 2);
8)u roku od 72 časa od podnošenja početnog obavještenja, Agenciji odnosno CIRT-u državne uprave ne dostavi prvi izvještaj o trajanju incidenta srednjeg nivoa i mjerama koje su preduzete za rješavanje tog incidenta, na propisanom obrascu (član 33 stav 2);
9)bez odlaganja ne dostavi poseban izvještaj na propisanom obrascu, Agenciji, odnosno CIRT-u državne uprave, a tokom trajanja incidenta srednjeg nivoa sazna za nove podatke ili okolnosti koje mogu biti od uticaja na taj incident (član 33 stav 3);
10)Agenciji, odnosno CIRT-u državne uprave svakih 72 časa, ne dostavi kontinuirane izvještaje o trajanju incidenta i mjerama koje su preduzete za rješavanje incidenta srednjeg nivoa, na propisanom obrascu (član 33 stav 4);
11)Agenciji, odnosno CIRT-u državne uprave ne dostavi završni izvještaj o incidentu srednjeg nivoa, najkasnije u roku od 30 dana od dana rješavanja tog incidenta, na propisanom obrascu (član 33 stav 5);
12)u roku od 72 časa od podnošenja početnog obavještenja, Agenciji odnosno CIRT-u državne uprave ne dostavi prvi izvještaj o trajanju incidenta visokog nivoa i mjerama koje su preduzete za rješavanje tog incidenta, na propisanom obrascu (član 34 stav 3);
13)bez odlaganja ne dostavi poseban izvještaj na propisanom obrascu, Agenciji, odnosno CIRT-u državne uprave, a tokom trajanja incidenta visokog nivoa sazna za nove podatke ili okolnosti koje mogu biti od uticaja na taj incident (član 34 stav 4);
14)svakih 24 časa, Agenciji, odnosno CIRT-u državne uprave ne dostavi kontinuirane izvještaje o trajanju incidenta i mjerama koje su preduzete za rješavanje tog incidenta, na propisanom obrascu (član 34 stav 5);
15)Agenciji, odnosno CIRT-u državne uprave ne dostavi završni izvještaj o incidentu srednjeg nivoa, najkasnije u roku od 30 dana od dana rješavanja tog incidenta, na propisanom obrascu (član 34 stav 6).
(2) Za prekršaj iz stava 1 ovog člana kazniće se i odgovorno lice u pravnom licu novčanom kaznom u iznosu od 30 eura do 1.500 eura.
(3) U slučaju ponavljanja povreda iz stava 1 ovog člana izreći će se zabrana obavljanja vršenja poziva, djelatnosti ili dužnosti u trajanju od tri do šest mjeseci.