Čo je samohodnotenie a kto ho môže urobiť
Zákon o kybernetickej bezpečnosti chce, aby firma do 2 rokov od zápisu do registra preukázala, že opatrenia spĺňa. Prísnejšie zaradená firma, teda prevádzkovateľ kritickej základnej služby, na to potrebuje audit od certifikovaného audítora. Ostatní, teda prevádzkovatelia základnej služby, môžu namiesto auditu urobiť samohodnotenie.
Pravidlá samohodnotenia sú vo vyhláške Národného bezpečnostného úradu o audite kybernetickej bezpečnosti (č. 493/2022 Z. z.) v znení novely č. 212/2026 Z. z., ktorá platí od 1. 9. 2026. Rozdiel medzi auditom a samohodnotením podrobne vysvetľujeme v návode Audit kybernetickej bezpečnosti alebo samohodnotenie?
Samohodnotenie v 8 krokoch
- Overte si, či samohodnotenie smiete použiť. Pozrite sa, ako ste zaradení v registri. Ak ste prevádzkovateľ kritickej základnej služby, potrebujete audit. Ak si nie ste istí, pomôže prehľad, koho sa NIS2 týka.
- Zistite si termín. Prvé samohodnotenie musí byť hotové do 2 rokov od zápisu do registra, potom každé 2 roky. V roku, keď vás čaká povinný audit, sa samohodnotenie nerobí.
- Určte, čo budete hodnotiť. Spíšte siete, informačné systémy a aj prevádzkové technológie, teda stroje, riadiace systémy a zariadenia, ktoré nie sú klasické kancelárske IT. Na ne sa pri samohodnotení nesmie zabudnúť.
- Prejdite bezpečnostnú dokumentáciu. Porovnajte, či to, čo je napísané, naozaj platí. Smernica o zálohovaní je zbytočná, ak sa zálohuje inak, než v nej stojí.
- Overte opatrenia jedno po druhom. Pri každej požiadavke z vyhlášky o bezpečnostných opatreniach (č. 227/2025 Z. z.) si zapíšte, či ju spĺňate úplne, čiastočne alebo vôbec. Ak nemôžete skontrolovať všetko, vyberte vzorku. Pri jej výbere sa riaďte tým, aké dôležité sú informácie a čo vám vyšlo v analýze rizík.
- Zbierajte dôkazy. Ku každému zisteniu priložte niečo, čím ho viete ukázať: záznam, protokol, snímku obrazovky, podpísaný zoznam. Bez dôkazu je tvrdenie len názor.
- Napíšte správu. Obsahuje najmä meno manažéra kybernetickej bezpečnosti, dátum vykonania, zhrnutie zistení pre siete, informačné systémy a prevádzkové technológie a zoznam evidovaných dôkazov.
- Pošlite správu a naplánujte nápravu. Správu predkladáte Národnému bezpečnostnému úradu cez jednotný informačný systém kybernetickej bezpečnosti, teda jeho štátny portál. Pri každej medzere si zapíšte, kto ju opraví a do kedy, a výsledok ukážte vedeniu.
Aké dôkazy si pripraviť
| Oblasť | Príklad dôkazu |
|---|---|
| riadenie rizík | aktuálna analýza rizík s dátumom a schválením vedením |
| zálohy a obnova | protokol z posledného testu obnovy zo zálohy |
| prístupy | záznam z pravidelnej kontroly používateľských účtov a oprávnení |
| školenia | prezenčná listina alebo potvrdenie o absolvovaní školenia |
| incidenty | postup hlásenia incidentu a záznamy o riešených udalostiach |
| dodávatelia | zmluvy alebo dodatky s bezpečnostnými požiadavkami |
| prevádzkové technológie | zoznam strojov a riadiacich systémov a spôsob ich ochrany |
Tabuľka je ilustračná. Úplný zoznam požiadaviek je vo vyhláške o bezpečnostných opatreniach a v prehľade bezpečnostných opatrení.
Najčastejšie chyby
- Samohodnotenie robí ten, kto IT sám prevádzkuje. Potom kontroluje sám seba.
- Všade je „spĺňame“, ale chýbajú dôkazy.
- Zabudne sa na výrobu, kotolňu alebo iné prevádzkové technológie.
- Dokumentácia je prevzatá zo vzoru a nepopisuje skutočnosť.
- S prípravou sa začne pár týždňov pred termínom.
- Zistené medzery sa nikde nezapíšu a nikto ich neopraví.
Ako vieme pomôcť my
Samohodnotenie robí a za správu ručí váš manažér kybernetickej bezpečnosti. My mu pripravíme pôdu: GAP analýza na mieste ukáže, čo chýba, pomôžeme s analýzou rizík, dokumentáciou a so zoznamom dôkazov. V rámci mesačnej starostlivosti potom držíme podklady priebežne aktuálne, aby ste pred termínom nič nedobiehali. Napíšte nám na info@nixfel.sk.
