NIS2 a zákon o kybernetickej bezpečnosti

Modul 9: Pravidlá a organizácia · Čas čítania: 11 minút

Cieľ lekcie: Po tejto lekcii viete vysvetliť, čo upravuje zákon o kybernetickej bezpečnosti (transpozícia NIS2), pre koho platí a čo znamená pre malé firmy prostredníctvom dodávateľského reťazca.
Kľúčové pojmy: NIS2, zákon o kybernetickej bezpečnosti, základná a významná entita, sektor, veľkosť, povinnosť starostlivosti, oznamovacia povinnosť (24 hodín, 72 hodín, 1 mesiac), registračná povinnosť, dodávateľský reťazec, sebahodnotenie NBÚ

Od európskej smernice k národnému zákonu

NIS2 je európska smernica z roku 2022 (smernica (EÚ) 2022/2555), ktorá má zvýšiť digitálnu odolnosť dôležitých organizácií v celej EÚ. Smernica neplatí priamo: každá krajina ju transponuje do vlastného zákona. Na Slovensku je to novela zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti (novela č. 366/2024 Z. z.), ktorá je účinná od 1. januára 2025. V nej sú pravidlá podrobnejšie rozpracované. Táto lekcia vychádza z holandského príkladu transpozície NIS2 (Cyberbeveiligingswet), aby ste videli, ako podobný zákon v praxi funguje; konkrétne lehoty a orgány si vždy overte podľa slovenskej právnej úpravy.

Podľa holandského Národného centra pre kybernetickú bezpečnosť (NCSC) spadá pod tamojší zákon vyše 8 000 organizácií. Je to malá časť všetkých firiem v krajine. Pre väčšinu malých firiem preto nie je najdôležitejšia otázka „čo musím urobiť kvôli zákonu?“, ale „čo odo mňa budú žiadať moji klienti, pretože oni pod zákon spadajú?“. K tomu sa dostaneme ďalej v texte.

Kontaktným miestom pre otázky kybernetickej bezpečnosti je v Holandsku NCSC, ktorý od 1. januára 2026 zastrešuje aj pôvodné Digital Trust Center zamerané na malé a stredné podniky. Na Slovensku sa na podobné otázky môžete obrátiť na NBÚ (Národný bezpečnostný úrad) a SK-CERT.

Vzťahuje sa to na vás? Sektor a veľkosť

To, či organizácia spadá pod zákon o kybernetickej bezpečnosti, závisí od dvoch otázok.

1. Pôsobíte v sektore, ktorý zákon uvádza? Zákon má dve prílohy.

Pre niektoré sektory platia dodatočné podmienky, ktoré určuje zodpovedné ministerstvo. Nie každá organizácia, ktorá má niečo spoločné s „potravinami“, teda automaticky spadá pod zákon.

2. Ste dostatočne veľkí? Vaša organizácia sa počíta, ak:

• máte 50 alebo viac zamestnancov (prepočítaný stav), alebo
• máte menej ako 50 zamestnancov, ale váš ročný obrat aj bilančná suma sú obidve vyššie ako 10 miliónov eur.

Počítajú sa aj partnerské a prepojené podniky. Firma s 20 zamestnancami, ktorá patrí do skupiny so 200 zamestnancami, teda napriek tomu môže spadať pod zákon.

Výnimky: bez ohľadu na veľkosť. Niekoľko typov organizácií spadá pod zákon vždy, bez ohľadu na veľkosť: poskytovatelia DNS služieb, registre domén najvyššej úrovne, poskytovatelia verejných elektronických komunikačných sietí a služieb, poskytovatelia dôveryhodných služieb a orgány verejnej správy. Registrovať sa musia aj poskytovatelia služieb registrácie doménových mien.

Základná alebo významná entita

Organizácie, na ktoré sa zákon vzťahuje, sú základné alebo významné entity. Zhruba: veľké organizácie v sektoroch z prílohy 1 a niekoľko typov, ktoré sú určené bez ohľadu na veľkosť, sú základné; ostatné sú významné. Rozdiel spočíva najmä v dohľade: pri základných entitách môže dozorný orgán kontrolovať aj z vlastnej iniciatívy, napríklad inšpekciami a auditmi; pri významných entitách zasahuje najmä dodatočne, keď existujú náznaky, že niečo nie je v poriadku. Samotné povinnosti sú z veľkej časti rovnaké. Či ste základná alebo významná entita, zistíte pomocou sebahodnotenia nižšie.

Zistite si to sami

Holandská Rijksinspectie Digitale Infrastructuur (RDI, obdoba dozorného orgánu pre digitálnu infraštruktúru) ponúka bezplatné sebahodnotenie NIS2 na https://regelhulpenvoorbedrijven.nl/NIS-2-NL/. Odpoviete na sériu otázok o sektore, veľkosti a službách a dostanete výsledok. Ak si nie ste istí, napríklad preto, že vaša firma patrí do skupiny alebo pôsobí vo viacerých krajinách, holandský NCSC ponúka metodický návod pre zložité podnikateľské modely. Na Slovensku vám podobné usmernenie poskytne NBÚ.

Čo zákon vyžaduje

Ak vaša organizácia spadá pod zákon, platia tri povinnosti.

Registračná povinnosť

Svoju organizáciu prihlásite do registra entít. V Holandsku sa to robí cez MijnNCSC, na Slovensku prostredníctvom registrácie na NBÚ. Tak štát vie, kto pod zákon spadá, a môže vás kontaktovať v prípade hrozby.

Povinnosť starostlivosti

Vypracujete analýzu rizík a na jej základe prijmete primerané a vyvážené opatrenia na zabezpečenie svojich sieťových a informačných systémov. Holandský NCSC uvádza aspoň desať oblastí, s ktorými ste sa v tomto kurze už stretli:

1. analýza rizík (lekcia 1.1 a 9.3);
2. riešenie incidentov s incidentným plánom (lekcia 8.1);
3. príprava na výpadok: zálohy, plány obnovy, krízové riadenie (modul 6);
4. zabezpečenie dodávateľského reťazca vrátane rizík spojených s dodávateľmi (lekcia 7.2);
5. kybernetická hygiena a školenia (lekcia 9.2);
6. bezpečné obstarávanie, vývoj a údržba systémov vrátane aktualizácií (lekcia 5.1);
7. personál, politika prístupu a správa zariadení a softvéru (lekcia 7.1);
8. passkeys alebo viacfaktorové overenie a zabezpečená komunikácia (modul 2);
9. politika pre kryptografiu (šifrovanie);
10. posudzovanie, či opatrenia fungujú, napríklad pravidelným testovaním (lekcia 6.3 a 9.3).

Zodpovedné je vedenie organizácie: schvaľuje opatrenia a dohliada na ich vykonávanie. Podľa európskej smernice by členovia vedenia mali absolvovať aj školenie o kybernetických rizikách. Kybernetická bezpečnosť teda už nie je drobná úloha, ktorú jednoducho necháte na „IT človeka“.

Oznamovacia povinnosť

Významný incident sa oznamuje dozornému orgánu, v Holandsku NCSC cez MijnNCSC, na Slovensku NBÚ, resp. SK-CERT. Ide o incident, ktorý vážne narúša vaše poskytovanie služieb, spôsobuje finančnú škodu alebo môže spôsobiť veľkú škodu iným; presné hranice sa líšia podľa sektora. Lehoty plynú od okamihu, keď sa o incidente dozviete:

V Holandsku jedno oznámenie cez MijnNCSC zasiahne súčasne tím CSIRT (ktorý pomáha riešiť incident) aj dozorný orgán. Okrem toho musíte podľa smernice v prípade potreby informovať aj odberateľov svojich služieb o významných incidentoch, ktoré by sa ich mohli dotknúť.

Oznámenie podľa zákona o kybernetickej bezpečnosti a oznámenie podľa GDPR: dve rôzne veci

Pripomína to oznamovaciu povinnosť pri úniku osobných údajov podľa GDPR (lekcia 8.2) a lehota „72 hodín“ sa objavuje v oboch prípadoch. Napriek tomu ide o dve samostatné povinnosti.

Ransomvérový útok na organizáciu podliehajúcu zákonu o kybernetickej bezpečnosti, pri ktorom boli zároveň ukradnuté údaje zákazníkov, sa teda musí nahlásiť obom inštitúciám. A malá firma, ktorá zákonu o kybernetickej bezpečnosti nepodlieha, má aj tak oznamovaciu povinnosť podľa GDPR, ak unikli osobné údaje.

Ak sa vás zákon netýka: dodávateľský reťazec

Pre väčšinu čitateľov tohto kurzu bude odpoveď na prvú otázku: nie, moja firma nespadá pod zákon o kybernetickej bezpečnosti. Pekáreň s dvanástimi ľuďmi, účtovná kancelária s piatimi, webár pracujúci sám. Vtedy nemáte žiadne zákonné povinnosti vyplývajúce z tohto zákona: žiadnu registráciu, žiadnu oznamovaciu povinnosť voči dozornému orgánu, žiadny dohľad.

Zákon vás však môže zasiahnuť nepriamo, cez vašich klientov. Organizácie, na ktoré sa zákon vzťahuje, musia zabezpečiť svoj dodávateľský reťazec: musia brať do úvahy zraniteľnosti svojich priamych dodávateľov a poskytovateľov služieb. Holandský NCSC uvádza, že zákon samotným dodávateľom priamo žiadne povinnosti neukladá, ale organizácie, na ktoré sa zákon vzťahuje, môžu klásť požiadavky na digitálnu bezpečnosť svojich dodávateľov. Tieto požiadavky sa potom objavia vo vašej zmluve alebo v dotazníku.

Príklad. Malá IT firma so šiestimi zamestnancami spravuje notebooky a sieť stredne veľkej dopravnej spoločnosti so 140 zamestnancami. Dopravná spoločnosť spadá pod zákon o kybernetickej bezpečnosti (doprava, dostatočná veľkosť). Samotná IT firma nie: „správa IKT služieb“ síce je v prílohe 1, ale firma je príliš malá. Napriek tomu dostane dotazník: máte na nástrojoch na správu dvojfaktorové overenie, kto má prístup k našim systémom, ako rýchlo nám nahlásite incident, kde sú uložené zálohy?

Čo o tom hovorí holandský NCSC a čo to pre vás znamená:

• Požiadavky musia byť primerané. Klient by mal posudzovať riziko, ktoré pre neho vaša služba predstavuje. Dodávateľ s prístupom k systémom dostane prísnejšie požiadavky než pekár, ktorý dováža obed.
• Ide o priamych dodávateľov. Dodávatelia vašich dodávateľov spadajú mimo pôsobnosti zákona.
• Certifikát nie je povinný. Zákon o kybernetickej bezpečnosti nepredpisuje žiadnu značku kvality. Certifikát môže uľahčiť rozhovor, ale nie je zárukou ani požiadavkou zákona.
• Začnite s rozhovorom včas. Zmapujte, aké opatrenia už máte zavedené v oblastiach, kde sa stýkate s klientom, a dohody si zaznamenajte.

Nepreháňajte to teda. Zákon o kybernetickej bezpečnosti nerobí z malej firmy organizáciu „povinnú podľa NIS2“ a poradca, ktorý vám to hovorí, aby vám predal drahú certifikáciu, hovorí len časť príbehu. No zároveň to nepodceňujte: kto dodáva väčším organizáciám, musí čoraz častejšie vedieť preukázať, že má základy v poriadku. Základné opatrenia z tohto kurzu sú presne to, čo takýto dotazník zvyčajne vyžaduje.

Táto lekcia poskytuje všeobecné vysvetlenie a nie je právnym poradenstvom. Aktuálne pravidlá si overte v slovenskom zákone o kybernetickej bezpečnosti a jeho novelách, prípadne na stránkach NBÚ. Holandský príklad, na ktorý sa táto lekcia odvoláva, nájdete na https://www.nbu.gov.sk/ a v znení holandského zákona na https://wetten.overheid.nl/BWBR0052872/2026-08-15/0.

Zhrnutie

• Zákon o kybernetickej bezpečnosti je slovenská transpozícia smernice NIS2 a je účinný od 1. januára 2025 (novela č. 366/2024 Z. z.).
• Spadáte pod zákon, ak pôsobíte v sektore z prílohy 1 alebo 2 a máte 50 alebo viac zamestnancov, alebo ak ročný obrat aj bilančná suma presahujú 10 miliónov eur; niektoré typy (napríklad poskytovatelia DNS služieb a orgány verejnej správy) bez ohľadu na veľkosť.
• Povinnosti: registrácia na NBÚ, povinnosť starostlivosti s analýzou rizík a primeranými opatreniami pod zodpovednosťou vedenia, a oznamovanie významných incidentov do 24 hodín, 72 hodín a 1 mesiaca.
• Oznámenie podľa zákona o kybernetickej bezpečnosti je nezávislé od oznámenia úniku osobných údajov podľa GDPR Úradu na ochranu osobných údajov; niekedy je potrebné urobiť obe.
• Malá firma sama osebe zvyčajne pod zákon nespadá, no prostredníctvom klientov, na ktorých sa zákon vzťahuje, môže dostať primerané bezpečnostné požiadavky.

Kvíz

Úloha

Úloha A9.1: Vzťahuje sa na to zákon o kybernetickej bezpečnosti? Dostanete šesť krátkych opisov organizácií (sektor, počet zamestnancov, obrat, bilančná suma, prípadne skupina alebo veľký klient). Pre každú organizáciu určite: spadá pod zákon, nespadá pod zákon, ale pravdepodobne dostane požiadavky prostredníctvom klienta, alebo nespadá pod zákon. Program to vyhodnotí a pri každej organizácii zobrazí kroky rozhodovacieho stromu.

Ďalšie čítanie

O zákone o kybernetickej bezpečnosti zatiaľ nie je článok vo vedomostnej databáze WebOké; použite oficiálne zdroje.

• NCSC (Holandsko), Cyberbeveiligingswet (NIS2): https://www.ncsc.nl/cyberbeveiligingswet-nis2
• NCSC (Holandsko), Patrí moja organizácia pod zákon o kybernetickej bezpečnosti (NIS2)?: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
• NCSC (Holandsko), Povinnosť starostlivosti: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
• NCSC (Holandsko), Oznamovacia povinnosť: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
• NCSC (Holandsko), Zákon o kybernetickej bezpečnosti a dodávatelia: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
• RDI (Holandsko), sebahodnotenie NIS2: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
• Znenie holandského zákona o kybernetickej bezpečnosti: https://wetten.overheid.nl/BWBR0052872/2026-08-15/0