Kybernetická bezpečnosť po NIS2: spadá vaša firma pod zákon?

Novela č. 366/2024 Z. z. preniesla do slovenského zákona o kybernetickej bezpečnosti smernicu NIS2. Okruh regulovaných firiem sa výrazne rozšíril — týka sa stredných a veľkých podnikov vo vymedzených sektoroch aj niektorých subjektov bez ohľadu na veľkosť. Firma si pôsobnosť posudzuje sama a ak pod zákon spadá, musí sa registrovať na Národnom bezpečnostnom úrade.

Kľúčové body

Pôsobnosť: vymedzené sektory (energetika, doprava, financie, zdravotníctvo, digitálna infraštruktúra, IKT služby, pošta, potraviny, výroba vybraných výrobkov, digitálni poskytovatelia a ďalšie).

Veľkostné kritérium: stredný podnik a vyšší podľa odporúčania Komisie 2003/361/ES; niektoré subjekty bez ohľadu na veľkosť.

Nový subjekt sa prihlasuje NBÚ do 60 dní od začatia činnosti (§ 17 ods. 2).

Bezpečnostné opatrenia: do 12 mesiacov od zápisu do registra (§ 19 ods. 1).

Incident: včasné varovanie do 24 h, hlásenie do 72 h, záverečná správa do 1 mesiaca (§ 24 ods. 3).

Pokuty do 7 mil. € alebo 1,4 % celosvetového obratu za vybrané porušenia.

Kto je regulovaný

Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti po novele č. 366/2024 Z. z. pracuje s pojmom prevádzkovateľ základnej služby a rozlišuje kritických (zodpovedajú „essential entities“ podľa NIS2) a ostatných prevádzkovateľov („important entities“).

O pôsobnosti rozhodujú dve otázky:

Sektor. Patrí vaša činnosť do sektorov uvedených v zákone? Okrem tradičnej infraštruktúry (energetika, doprava, bankovníctvo, zdravotníctvo, voda) ide aj o IKT služby, digitálnu infraštruktúru, poštové služby, nakladanie s odpadom, výrobu potravín, chemikálií či zdravotníckych pomôcok a digitálnych poskytovateľov (napr. online trhoviská).
Veľkosť. Spravidla stredný podnik a vyšší podľa odporúčania Komisie 2003/361/ES (počet zamestnancov a ročný obrat alebo súvaha). Niektoré subjekty — napríklad poskytovatelia DNS, dôveryhodných služieb či verejných elektronických komunikácií — spadajú pod zákon bez ohľadu na veľkosť.

Zákon nechá posúdenie na firme. Národný bezpečnostný úrad (NBÚ) poskytuje orientačnú pomôcku.

Povinnosti a lehoty

Povinnosť	Lehota	Ustanovenie
Prihlásenie do registra NBÚ	do 60 dní od začatia činnosti	§ 17 ods. 2
Hlásenie zmien údajov	do 14 dní	§ 17 ods. 6
Prijatie bezpečnostných opatrení	do 12 mesiacov od zápisu	§ 19 ods. 1
Včasné varovanie o závažnom incidente	do 24 hodín od zistenia	§ 24 ods. 3 písm. a)
Hlásenie incidentu	do 72 hodín od zistenia	§ 24 ods. 3 písm. b)
Záverečná správa	do 1 mesiaca od hlásenia	§ 24 ods. 3 písm. d)

Existujúce subjekty sa podľa prechodných pravidiel mali registrovať do 2. 3. 2025. Kto to nestihol, mal by registráciu riešiť bez odkladu.

Účinnosť opatrení overuje certifikovaný audítor kybernetickej bezpečnosti do 2 rokov od registrácie a potom pravidelne; ostatní (nie kritickí) prevádzkovatelia môžu za podmienok zákona využiť sebahodnotenie.

Sankcie

Podľa dostupných zhrnutí zákon pozná pokuty od 300 € do 500 000 € za administratívne porušenia a od 300 € do 7 000 000 € alebo 1,4 % celkového celosvetového ročného obratu za závažnejšie porušenia, napríklad nenahlásenie závažného incidentu.

Ak pod zákon nespadáte

Aj firma mimo pôsobnosti zákona môže byť nepriamo dotknutá: regulovaní odberatelia musia riešiť bezpečnosť dodávateľského reťazca a budú od svojich IT a ďalších dodávateľov vyžadovať zmluvné záväzky, hlásenie incidentov a základnú bezpečnostnú hygienu.

Čo urobiť

Posúďte pôsobnosť podľa sektora a veľkosti; využite orientačnú pomôcku NBÚ.

Ak spadáte pod zákon a nie ste registrovaní, prihláste sa bez odkladu.

Pripravte analýzu rizík a plán bezpečnostných opatrení.

Nastavte proces hlásenia incidentov tak, aby zvládol lehotu 24 hodín aj cez víkend.