Zákon o kybernetickej bezpečnosti: koho sa týka a čo od vás žiada

Do konca roka 2024 sa zákon o kybernetickej bezpečnosti týkal na Slovensku niekoľkých stoviek organizácií. Po novele je ich rádovo viac a veľká časť z nich o tom stále nevie. Ak vediete stredne veľkú firmu vo výrobe, logistike, potravinárstve alebo poskytujete IT služby iným firmám, je reálna šanca, že povinnosti máte aj vy.

Tento článok je praktický prehľad, nie právne stanovisko. Záväzný výklad dáva Národný bezpečnostný úrad, ktorý vedie register a vydáva vykonávacie vyhlášky.

Čo sa vlastne zmenilo

Smernicu NIS2 Slovensko transponovalo zákonom č. 366/2024 Z. z., ktorým sa novelizoval zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti. Novela nadobudla účinnosť 1. januára 2025 a priniesla tri podstatné zmeny:

• Rozšírila zoznam sektorov. Pribudli odvetvia, ktoré predtým regulované neboli - napríklad výroba, potravinárstvo, odpadové hospodárstvo, poštové a kuriérske služby alebo správa IKT služieb.
• Zaviedla dve kategórie subjektov namiesto jednotného režimu. Kľúčové subjekty podliehajú prísnejšiemu dohľadu a vyššiemu stropu pokuty než dôležité subjekty.
• Presunula zodpovednosť na vedenie. Za prijatie a kontrolu bezpečnostných opatrení zodpovedá štatutárny orgán, nie IT oddelenie.

Posledný bod býva pre firmy najnepríjemnejším prekvapením. Kybernetická bezpečnosť prestala byť technickou položkou v rozpočte IT a stala sa povinnosťou, ktorú nesie konateľ osobne.

Kľúčový subjekt alebo dôležitý subjekt?

Zaradenie do kategórie závisí od dvoch vecí naraz: v akom sektore pôsobíte a akú máte veľkosť. Zjednodušene:

Prahové hodnoty veľkosti vychádzajú z definície malého a stredného podniku: stredný podnik má aspoň 50 zamestnancov alebo ročný obrat nad 10 miliónov eur. Existujú aj výnimky, keď je subjekt regulovaný bez ohľadu na veľkosť - typicky poskytovatelia verejných elektronických komunikačných sietí alebo subjekty s osobitným postavením pre štát.

Ak si po prečítaní tabuľky nie ste istí, do ktorej škatuľky patríte, nie ste sami. Hraničné prípady - najmä firmy na rozhraní výroby a IT služieb - sú presne to, na čom sa v praxi zasekáva väčšina posudzovaní.

Lehoty, ktoré vám bežia

Novela nefunguje tak, že by existoval jeden spoločný dátum pre všetkých. Lehoty sa počítajú od udalostí, ktoré nastanú u každej firmy inokedy:

1. 60 dní na oznámenie. Ak spĺňate kritériá, musíte to oznámiť NBÚ do 60 dní. Subjekty, ktoré kritériá spĺňali už k účinnosti novely, mali túto lehotu na začiatku roka 2025. Kto začne poskytovať službu neskôr, počíta 60 dní od začatia činnosti.
2. Zápis do registra. Na základe oznámenia vás NBÚ zapíše do registra prevádzkovateľov základnej služby. Zápisom začína plynúť ďalšia lehota.
3. 12 mesiacov na opatrenia. Od zápisu máte rok na to, aby ste prijali bezpečnostné opatrenia podľa zákona a príslušnej vyhlášky - v nadväznosti na analýzu rizík, ktorú si musíte spraviť sami.
4. Prvý audit alebo samohodnotenie. Overenie, či opatrenia naozaj fungujú, prichádza na rad po ich zavedení. Podrobnostiam sa venujeme v článku o termínoch a sankciách podľa NIS2.

Firmám, ktoré sa registrovali v prvej vlne začiatkom roka 2025, tak lehota na zavedenie opatrení dobieha v priebehu roka 2026 a prvé overenie ich čaká v roku 2027. To znie ako dosť času - až kým si nespočítate, že analýza rizík, nákup a nasadenie opatrení a ich otestovanie sú tri samostatné projekty za sebou.

Čo znamená „prijať bezpečnostné opatrenia“

Zákon nehovorí „kúpte si firewall“. Hovorí o okruhoch opatrení, ktoré musíte mať pokryté - organizačných, personálnych aj technických. V praxi ide o veci ako:

• analýza rizík a bezpečnostná politika,
• riadenie prístupov a identít,
• riadenie zraniteľností vrátane ich pravidelného vyhľadávania a odstraňovania,
• riadenie incidentov a ich hlásenie,
• kontinuita činností a zálohovanie,
• bezpečnosť dodávateľského reťazca,
• školenia a budovanie povedomia zamestnancov,
• šifrovanie a bezpečnosť komunikácie.

Dve z týchto oblastí sa nedajú preukázať dokumentom. Riadenie zraniteľností a odolnosť voči útoku na zamestnancov sú tvrdenia o tom, ako sa systém správa - a tvrdenie o správaní sa overuje skúškou, nie smernicou. Práve preto sú penetračné testy a simulácie sociálneho inžinierstva v podkladoch pre audit tak často.

Penetračný test verzus audit: nezamieňajte si to

Toto je najčastejšie nedorozumenie, s ktorým sa stretávame.

Audit kybernetickej bezpečnosti podľa zákona je formálny úkon. Vykonáva ho certifikovaný audítor kybernetickej bezpečnosti podľa vyhlášky č. 493/2022 Z. z. a jeho výstupom je záverečná správa pre NBÚ. Audítor kontroluje stovky požiadaviek a posudzuje, či máte opatrenia zavedené a či fungujú.

Penetračný test je technická skúška. Etický hacker sa reálne pokúsi preniknúť do vašich systémov a zdokumentuje, čo sa mu podarilo. Výstupom je správa so zoznamom zraniteľností, ich dopadom a odporúčaniami.

Haxoris nie je certifikovaný audítor kybernetickej bezpečnosti a audit podľa zákona nevykonáva. Dodávame to druhé - technický dôkaz, ktorý audítor pri kontrole riadenia zraniteľností a bezpečnostného testovania chce vidieť. Tieto dve role sa nevylučujú, naopak: audítor bez technických podkladov posudzuje len papier, a papier vám pri incidente nepomôže.

Podrobne rozoberáme, čo presne audítor od technických výstupov očakáva, v článku čo vyžaduje audítor kybernetickej bezpečnosti.

Ak už máte ISO 27001

Certifikácia podľa ISO/IEC 27001 vám dá veľký náskok - prekryv s požiadavkami zákona je značný, ale nie úplný. Zákon žiada niektoré veci, ktoré norma nerieši, napríklad hlásenie incidentov NBÚ v stanovených lehotách. Rozdielom sme sa venovali v porovnaní ISO 27001 a NIS2.

Kde začať, ak toto čítate prvýkrát

Ak máte podozrenie, že sa vás zákon týka, a zatiaľ ste neurobili nič, poradie krokov je nasledovné:

1. Zistite kategóriu. Sektor plus veľkosť. Ak je to hraničné, konzultujte to - chybné zaradenie je drahšie ako hodina konzultácie.
2. Podajte oznámenie NBÚ. Za nepodanie hrozí pokuta bez ohľadu na to, ako dobre ste zabezpečení.
3. Spravte analýzu rizík. Bez nej neviete, ktoré opatrenia sú pre vás primerané, a audítor sa na ňu spýta ako na prvú vec.
4. Zavádzajte opatrenia a priebežne ich testujte. Nie na konci - otestovať niečo mesiac pred auditom znamená, že na opravu nálezov už nemáte čas.

Ak potrebujete overiť, či to, čo ste zaviedli, aj naozaj funguje, ozvite sa nám. Prejdeme si s vami rozsah a povieme vám na rovinu, čo z toho potrebujete a čo nie.

Zákon o kybernetickej bezpečnosti - časté otázky

Súvisiace služby Haxoris: NIS2 testovanie · Bezpečnostný audit · Penetračné Testy