Časté otázky o NIS2 na Slovensku

NIS2 je európska smernica o kybernetickej bezpečnosti. Na Slovensku platí od 1. 1. 2025 cez zákon č. 69/2018 Z. z. v znení zákona č. 366/2024 Z. z. Týka sa najmä stredných a veľkých firiem (50+ zamestnancov alebo obrat aj súvaha nad 10 mil. €) v odvetviach z príloh 1 a 2 zákona, napríklad energetiky, dopravy, zdravotníctva, výroby strojov a elektroniky, potravín či odpadov. NBÚ v novembri 2024 odhadoval 4 687 povinných subjektov.

Registrovať sa na NBÚ treba do 60 dní od začatia činnosti (§ 17 ods. 2). Bezpečnostné opatrenia treba zaviesť do 12 mesiacov od zápisu (§ 19 ods. 1). Prvý audit alebo samohodnotenie musí prebehnúť do 2 rokov od zápisu (§ 29). Kto sa zapísal v roku 2025, má tento termín v roku 2027.

Závisí od zaradenia. Prevádzkovateľ kritickej základnej služby (PKZS), napríklad veľký podnik v regulovanom odvetví, musí mať audit od certifikovaného audítora kybernetickej bezpečnosti. Prevádzkovateľ základnej služby (PZS) môže povinnosť spravidla splniť samohodnotením v systéme JISKB, plný audit do 5 rokov od registrácie.

Na slovenskom a českom trhu sa GAP analýza NIS2 predáva približne za 900 až 3 500 € bez DPH. NiXfel robí GAP analýzu na mieste za 2 490 €, 3 490 € alebo od 4 900 € podľa veľkosti firmy. Pred ňou odporúčame vstupnú kontrolu za 290 €, ktorej cena sa vám vráti ako kredit na GAP analýzu.

Dohľad a kontroly vykonáva Národný bezpečnostný úrad (NBÚ). Incidenty sa hlásia jednotke SK-CERT cez systém JISKB. V roku 2024 NBÚ skontroloval 16 prevádzkovateľov a nedostatky našiel u 14 z nich.

Samotný report vás nechráni. Pomôže to, čo podľa neho opravíte. GAP analýza ukáže, čo chýba a v akom poradí to riešiť, aby ste pri kontrole alebo audite vedeli doložiť zavedené opatrenia alebo plán s termínmi.

Nie. Zákonný audit kybernetickej bezpečnosti smie robiť len certifikovaný audítor. NiXfel vás naň pripraví: ukáže, čo chýba, pomôže to opraviť a audítora vám vieme odporučiť.

Áno. Za porušenie povinností zo zákona môže NBÚ uložiť pokutu (§ 31 zákona č. 69/2018 Z. z.). Silnejší dôvod konať sú však termíny: registrácia, zavedenie opatrení do 12 mesiacov od zápisu a audit alebo samohodnotenie do 2 rokov od zápisu. Výšku možných pokút pre vašu firmu vysvetlíme pri vstupnej kontrole.

Väčšinou nie priamo. Malé firmy pod 50 zamestnancov spadajú pod zákon len výnimočne, napríklad pri telekomunikáciách, DNS alebo dôveryhodných službách. Často ich však zasiahne nepriamo: regulovaní odberatelia musia preverovať dodávateľov a posielajú im bezpečnostné dotazníky a zmluvné požiadavky.

Do 5 pracovných dní viete, či a v akom režime spadáte pod zákon, aké povinnosti a termíny z toho plynú a čo odporúčame urobiť ako prvé. Ak potom objednáte GAP analýzu, 290 € vám započítame ako kredit.

Len ak obec spadá pod zákon. Mestá a VÚC spadajú vtedy, ak by ich výpadok výrazne zasiahol verejný poriadok, bezpečnosť alebo zdravie. Bežné obce zákon všeobecne nemenuje, preto to treba posúdiť pre každú obec zvlášť. Manažér môže byť aj externý.

Manažér musí byť nezávislý a môže byť externý. NBÚ odporúča kombináciu vzdelania a praxe v IT, napríklad magisterské vzdelanie a 3 roky praxe, z toho 1 rok v bezpečnosti. Medzinárodný certifikát, napríklad CISSP alebo CISM, sa započíta ako 1 rok praxe.

Nie. Sme nezávislí od dodávateľov technológií. Povieme vám, čo naozaj potrebujete a v akom poradí, a čo kupovať nemusíte.