Modul 9 · 9.1
NIS2 a zákon o kybernetickej bezpečnosti
Modul 9: Pravidlá a organizácia · Čas čítania: 11 minút
Cieľ lekcie: Po tejto lekcii viete vysvetliť, čo upravuje smernica NIS2 a jej slovenská transpozícia, koho sa týka a čo znamená pre malé firmy v rámci dodávateľského reťazca.
Kľúčové pojmy: NIS2, zákon o kybernetickej bezpečnosti, základná a významná služba/subjekt, sektor, veľkosť, povinnosť starostlivosti, oznamovacia povinnosť (24 hodín, 72 hodín, 1 mesiac), registračná povinnosť, dodávateľský reťazec, sebahodnotenie
Od európskej smernice k národnému zákonu
NIS2 je európska smernica z roku 2022 (smernica (EÚ) 2022/2555), ktorá má zvýšiť digitálnu odolnosť dôležitých organizácií v celej EÚ. Smernica neplatí priamo: každý štát ju musí premietnuť do vlastného zákona. Na Slovensku je to zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení novely č. 366/2024 Z. z., ktorý smernicu NIS2 transponuje. Novela nadobudla účinnosť 1. januára 2025. Dohľad nad plnením povinností vykonáva Národný bezpečnostný úrad (NBÚ), ktorý je zároveň kontaktným miestom pre registráciu a hlásenie incidentov; operatívnu pomoc pri incidentoch poskytuje SK-CERT.
V Holandsku je obdobná vnútroštátna úprava NIS2 označovaná ako Cyberbeveiligingswet (Cbw); je účinná od 15. augusta 2026, bez prechodného obdobia, a nahrádza predchádzajúci zákon o bezpečnosti sietí a informačných systémov. Podľa holandského NCSC sa táto úprava týka vyše 8 000 organizácií. Je to malá časť všetkých firiem v Holandsku. Pre väčšinu malých firiem preto nie je najdôležitejšou otázkou "musím niečo riešiť kvôli zákonu priamo ja?", ale "čo odo mňa budú požadovať moji klienti, pretože oni pod zákon spadajú?". K tomu sa dostaneme nižšie.
V Holandsku je kontaktným miestom pre Cbw holandský NCSC, ktorý od 1. januára 2026 zastrešuje aj agendu pre malé a stredné podniky (pôvodné Digital Trust Center je teraz jeho súčasťou).
Vzťahuje sa to na vás? Sektor a veľkosť
Či sa na organizáciu zákon vzťahuje, závisí od dvoch otázok.
1. Pôsobíte v sektore, ktorý zákon uvádza? Smernica NIS2 rozlišuje dve skupiny sektorov.
| Príloha 1 (11 sektorov s vysokou kritickosťou) | Príloha 2 (7 ďalších kritických sektorov) |
|---|---|
| energetika, doprava, bankovníctvo, pitná voda, digitálna infraštruktúra, správa IKT služieb, vesmírny priemysel, infraštruktúra finančného trhu, zdravotníctvo, odpadová voda, verejná správa | digitálni poskytovatelia, poštové a kuriérske služby, nakladanie s odpadom, potraviny, chemické látky, výskum, výroba |
Pre niektoré sektory platia doplňujúce podmienky, ktoré určuje príslušný rezort. Nie každá organizácia, ktorá sa venuje napríklad "potravinám", teda automaticky spadá pod zákon.
2. Ste dostatočne veľkí? Organizácia sa počíta, ak:
- má 50 alebo viac zamestnancov (FTE), alebo
- má menej ako 50 zamestnancov, ale jej ročný obrat aj bilančná suma súčasne presahujú 10 miliónov eur.
Partnerské a prepojené podniky sa počítajú tiež. Firma s 20 zamestnancami, ktorá patrí do skupiny so 200 zamestnancami, teda napriek svojej veľkosti môže pod zákon spadať.
Výnimky: bez ohľadu na veľkosť. Niekoľko typov organizácií pod zákon spadá vždy, bez ohľadu na veľkosť: poskytovatelia DNS služieb, registre domén najvyššej úrovne, poskytovatelia verejných elektronických komunikačných sietí a služieb, poskytovatelia dôveryhodných služieb a orgány verejnej správy. Registrovať sa musia aj poskytovatelia registračných služieb pre domény.
Základná alebo významná služba
Organizácie pod zákonom sú prevádzkovatelia základnej služby alebo prevádzkovatelia významnej služby. Zjednodušene: veľké organizácie v sektoroch prílohy 1 a niekoľko typov, ktoré sú určené bez ohľadu na veľkosť, patria medzi základné; ostatné sú významné. Rozdiel spočíva najmä v dohľade: pri základných subjektoch môže dozorný orgán kontrolovať aj z vlastnej iniciatívy, napríklad formou inšpekcií a auditov; pri významných subjektoch zasahuje najmä dodatočne, ak existujú indície, že niečo nie je v poriadku. Samotné povinnosti sú z veľkej časti rovnaké. Či ste základný alebo významný subjekt, zistíte pomocou sebahodnotenia, o ktorom je reč nižšie.
Overenie si vlastnej situácie
Na Slovensku informácie o tom, či sa na vašu organizáciu zákon o kybernetickej bezpečnosti vzťahuje, poskytuje NBÚ. V Holandsku má Rijksinspectie Digitale Infrastructuur (RDI) bezplatné sebahodnotenie k NIS2 na https://regelhulpenvoorbedrijven.nl/NIS-2-NL/ (holandský nástroj). Odpoviete na sériu otázok o sektore, veľkosti a službách a dostanete výsledok. Ak máte pochybnosti, napríklad preto, že vaša firma patrí do skupiny alebo pôsobí vo viacerých krajinách, holandský NCSC má k dispozícii aj návod pre zložité podnikateľské modely.
Čo zákon vyžaduje
Ak sa na vašu organizáciu zákon vzťahuje, platia tri povinnosti.
Registračná povinnosť
Organizáciu zaregistrujete v príslušnej evidencii na NBÚ. Vďaka tomu štát vie, kto pod zákon spadá, a môže vás v prípade hrozby kontaktovať.
Povinnosť starostlivosti
Vypracujete analýzu rizík a na jej základe prijmete primerané a vhodné opatrenia na zabezpečenie sietí a informačných systémov. Holandský NCSC uvádza aspoň desať oblastí, s ktorými ste sa v tomto kurze už stretli:
- analýza rizík (lekcia 1.1 a 9.3);
- riešenie incidentov vrátane plánu pre prípad incidentu (lekcia 8.1);
- príprava na výpadok: zálohy, plány obnovy, krízové riadenie (modul 6);
- bezpečnosť dodávateľského reťazca vrátane rizík na strane dodávateľov (lekcia 7.2);
- kybernetická hygiena a školenia (lekcia 9.2);
- bezpečné obstarávanie, vývoj a údržba systémov vrátane aktualizácií (lekcia 5.1);
- personál, politika prístupov a správa zariadení a softvéru (lekcia 7.1);
- passkeys alebo viacfaktorové overenie a zabezpečená komunikácia (modul 2);
- politika kryptografie (šifrovania);
- hodnotenie účinnosti opatrení, napríklad pravidelným testovaním (lekcia 6.3 a 9.3).
Zodpovedné je vedenie organizácie: schvaľuje opatrenia a dohliada na ich vykonávanie. Podľa európskej smernice by členovia vedenia mali absolvovať aj školenie o kybernetických rizikách. Kybernetická bezpečnosť teda už nie je len úloha, ktorú necháte na IT oddelení.
Oznamovacia povinnosť
Významný incident sa oznamuje príslušnému orgánu (na Slovensku NBÚ, respektíve SK-CERT). Ide o incident, ktorý vážne narúša poskytovanie služby, spôsobuje finančnú škodu alebo môže spôsobiť veľkú škodu iným osobám; presné prahové hodnoty sa líšia podľa sektora. Lehoty plynú od okamihu, keď sa o incidente dozviete:
| Lehota | Čo sa odosiela |
|---|---|
| Do 24 hodín | Včasné varovanie: predpoklad úmyselného konania, cezhraničné dôsledky, kontaktná osoba |
| Do 72 hodín | Oznámenie o incidente: aktualizácia s prvým odhadom závažnosti a dosahu |
| Do 1 mesiaca od oznámenia | Záverečná správa: čo sa stalo, príčina a prijaté opatrenia (ak incident trvá dlhšie, priebežná správa) |
V Holandsku jedno oznámenie cez MijnNCSC súčasne osloví tím CSIRT (ktorý pomáha riešiť incident) aj dozorný orgán. Okrem toho musí organizácia podľa smernice v prípade potreby informovať o významných incidentoch aj odberateľov svojich služieb, ak sa ich to môže dotknúť.
Oznámenie podľa zákona o kybernetickej bezpečnosti a oznámenie podľa GDPR: dve rozdielne veci
Pripomína to oznamovaciu povinnosť pri úniku osobných údajov podľa GDPR (lekcia 8.2) a "72 hodín" sa objavuje v oboch prípadoch. Napriek tomu ide o dve samostatné povinnosti.
| Zákon o kybernetickej bezpečnosti | GDPR (únik údajov) | |
|---|---|---|
| Pre koho | Organizácie, na ktoré sa zákon vzťahuje | Každý, kto spracúva osobné údaje, aj živnostník |
| O čom | Významné incidenty týkajúce sa poskytovanej služby | Porušenia bezpečnosti osobných údajov |
| Komu | NBÚ / SK-CERT | Úrad na ochranu osobných údajov SR |
| Lehoty | 24 hodín, 72 hodín, 1 mesiac | Bez zbytočného odkladu, ak je to možné do 72 hodín |
Ransomvérový útok na organizáciu podliehajúcu zákonu o kybernetickej bezpečnosti, pri ktorom boli zároveň odcudzené údaje zákazníkov, sa teda musí oznámiť obom inštitúciám. A malá firma, ktorá nepodlieha zákonu o kybernetickej bezpečnosti, má napriek tomu oznamovaciu povinnosť podľa GDPR, ak dôjde k úniku osobných údajov.
Ak sa vás zákon netýka priamo: dodávateľský reťazec
Pre väčšinu čitateľov tohto kurzu znie odpoveď na prvú otázku: nie, moja firma pod zákon o kybernetickej bezpečnosti nespadá. Pekáreň s dvanástimi zamestnancami, účtovná kancelária s piatimi, webár pracujúci sám na seba. V takom prípade nemáte žiadne zákonné povinnosti vyplývajúce z tohto zákona: žiadnu registráciu, žiadnu oznamovaciu povinnosť voči NBÚ, žiadny dohľad.
Zákon sa vás však môže dotknúť prostredníctvom vašich klientov. Organizácie, na ktoré sa zákon vzťahuje, musia zabezpečiť svoj dodávateľský reťazec: musia zohľadňovať zraniteľnosti svojich priamych dodávateľov a poskytovateľov služieb. Holandský NCSC uvádza, že zákon samotným dodávateľom priamo povinnosti neukladá, ale organizácie, na ktoré sa vzťahuje, môžu voči svojim dodávateľom klásť vlastné požiadavky na digitálnu bezpečnosť. Tieto požiadavky sa potom premietnu do zmluvy alebo dotazníka.
Príklad. Malá IT firma so šiestimi zamestnancami spravuje notebooky a sieť stredne veľkej dopravnej spoločnosti so 140 zamestnancami. Dopravná spoločnosť pod zákon o kybernetickej bezpečnosti spadá (doprava, dostatočná veľkosť). Samotná IT firma nie: "správa IKT služieb" síce patrí medzi uvedené sektory, ale firma je na to príliš malá. Napriek tomu dostane dotazník: máte na nástrojoch na vzdialenú správu zapnuté dvojfaktorové overenie, kto má prístup k našim systémom, ako rýchlo nám nahlásite incident, kde sú uložené zálohy?
Čo k tomu hovorí holandský NCSC a čo to znamená pre vás:
- Požiadavky musia byť primerané. Klient by sa mal pozerať na riziko, ktoré jeho služba pre neho predstavuje. Dodávateľ s prístupom k systémom dostane prísnejšie požiadavky než pekár, ktorý dováža obed.
- Týka sa to priamych dodávateľov. Dodávatelia vašich dodávateľov pod zákon nespadajú.
- Certifikát nie je povinný. Zákon o kybernetickej bezpečnosti nepredpisuje žiadnu značku kvality. Certifikát môže uľahčiť rokovanie, ale nie je zárukou ani zákonnou požiadavkou.
- Začnite rozhovor včas. Zmapujte si, aké opatrenia už máte zavedené v miestach, kde prichádzate do styku s klientom, a dohody si zapíšte.
Netreba teda zo situácie robiť viac, než je. Zákon o kybernetickej bezpečnosti nerobí z malej firmy organizáciu "povinnú podľa NIS2", a poradca, ktorý vám toto tvrdí, aby vám predal drahú certifikáciu, hovorí len časť príbehu. No netreba to ani podceňovať: kto dodáva väčším organizáciám, musí čoraz častejšie vedieť preukázať, že má základy v poriadku. Základné opatrenia z tohto kurzu sú presne to, čo takýto dotazník väčšinou vyžaduje.
Táto lekcia poskytuje všeobecné vysvetlenie a nie je právnym poradenstvom. Aktuálne pravidlá na Slovensku nájdete u NBÚ, informácie o holandskej úprave na https://www.ncsc.nl/cyberbeveiligingswet-nis2 (holandský zdroj) a v znení holandského zákona na https://wetten.overheid.nl/BWBR0052872/2026-08-15/0 (holandský zdroj).
Zhrnutie
- Slovenský zákon o kybernetickej bezpečnosti (č. 69/2018 Z. z. v znení novely 366/2024 Z. z.) je národnou transpozíciou smernice NIS2 a jeho novela je účinná od 1. januára 2025.
- Vzťahuje sa na vás pri sektore z prílohy 1 alebo 2 a súčasne 50 alebo viac FTE, alebo ak ročný obrat aj bilančná suma presahujú 10 miliónov eur; niektoré typy (napríklad poskytovatelia DNS služieb alebo verejná správa) bez ohľadu na veľkosť.
- Povinnosti: registrácia na NBÚ, povinnosť starostlivosti s analýzou rizík a primeranými opatreniami pod zodpovednosťou vedenia organizácie a oznamovanie významných incidentov do 24 hodín, 72 hodín a 1 mesiaca.
- Oznámenie podľa zákona o kybernetickej bezpečnosti je samostatné od oznámenia úniku osobných údajov Úradu na ochranu osobných údajov SR podľa GDPR; niekedy sú potrebné obe.
- Malá firma samotná pod zákon zvyčajne nespadá, no prostredníctvom klientov, na ktorých sa zákon vzťahuje, môže dostať primerané bezpečnostné požiadavky.
Kvíz
Úloha
Úloha A9.1: Vzťahuje sa na to zákon o kybernetickej bezpečnosti? Dostanete šesť krátkych opisov organizácií (sektor, počet zamestnancov, obrat, bilančná suma, prípadne skupina alebo veľký klient). Pri každej organizácii určte: spadá pod zákon, nespadá pod zákon, ale pravdepodobne dostane požiadavky od klienta, alebo nespadá pod zákon vôbec. Program výsledok vyhodnotí a pri každej organizácii zobrazí kroky rozhodovacieho stromu.
Odporúčané zdroje
O slovenskom zákone o kybernetickej bezpečnosti zatiaľ v databáze znalostí WebOké nie je samostatný článok; použite oficiálne zdroje. Nasledujúce odkazy vedú na holandské zdroje o holandskej úprave (Cyberbeveiligingswet).
- Holandský NCSC, Cyberbeveiligingswet (NIS2) (holandský zdroj): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Holandský NCSC, Vzťahuje sa na moju organizáciu Cyberbeveiligingswet (NIS2)? (holandský zdroj): https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Holandský NCSC, Povinnosť starostlivosti (holandský zdroj): https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Holandský NCSC, Oznamovacia povinnosť (holandský zdroj): https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Holandský NCSC, Cyberbeveiligingswet a dodávatelia (holandský zdroj): https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- Holandský RDI, sebahodnotenie k NIS2 (holandský zdroj): https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Znenie holandského zákona Cyberbeveiligingswet (holandský zdroj): https://wetten.overheid.nl/BWBR0052872/2026-08-15/0
- NIS2 a holandský zákon o kybernetickej bezpečnosti (Cyberbeveiligingswet): vzťahujú sa na moju firmu?