Oblasti opatrení zrozumiteľne
| Oblasť | Čo to znamená v praxi |
|---|---|
| Riadenie bezpečnosti | kto za čo zodpovedá, manažér kybernetickej bezpečnosti, úloha vedenia |
| Riadenie rizík | analýza rizík a dopadov, ročná revízia |
| Ľudia | školenia zamestnancov aj vedenia, pravidlá pri nástupe a odchode |
| Prístupy | kto kam smie, silné heslá, dvojfaktorové overenie |
| Prevádzka | aktualizácie, ochrana pred vírusmi, záznamy o činnosti |
| Siete | oddelenie kancelárie a výroby, bezpečný vzdialený prístup |
| Zálohy a obnova | otestované zálohy a plán, ako obnoviť prevádzku |
| Incidenty | zisťovanie, riešenie a hlásenie do 24 a 72 hodín |
| Dodávatelia | bezpečnostné požiadavky v zmluvách, kontrola dodávateľov |
| Fyzická bezpečnosť | prístup do serverovne a k zariadeniam |
| Kryptografia | šifrovanie tam, kde je to potrebné |
| Kontrola a audit | pravidelné overovanie, samohodnotenie alebo audit |
Zjednodušené. Zákon č. 69/2018 Z. z. (paragraf 20) má 18 oblastí a 9 minimálnych opatrení, vyhláška ich rozpisuje v prílohe 1.
Kancelária a výroba sa posudzujú zvlášť
Vyhláška má pri každom opatrení zvlášť stĺpce pre informačné technológie (kancelária, e-maily, účtovníctvo) a pre prevádzkové technológie (výrobné linky, riadenie strojov, energetické zariadenia). A zvlášť pre bežne a prísnejšie zaradené firmy. Výrobné firmy tak musia riešiť aj bezpečnosť strojov, nie len počítačov.
Bezpečnostná dokumentácia
Opatrenia treba vedieť doložiť. Bezpečnostná dokumentácia zvyčajne obsahuje:
- bezpečnostnú politiku schválenú vedením,
- zoznam aktív a analýzu rizík vrátane rizík, ktoré firma prijala,
- opis, ako firma plní jednotlivé opatrenia,
- plán obnovy a postup hlásenia incidentov,
- záznamy o školeniach a kontrolách.
Dokumentácia má opisovať skutočnosť. Šablóna stiahnutá z internetu, ktorá nesedí s praxou, pri kontrole neobstojí.
Zmluvy s dodávateľmi
Vyhláška určuje, čo má byť v zmluvách s dodávateľmi, ktorí majú prístup k vašim systémom. Staršie zmluvy platia do dohodnutého konca, ale po 31. 8. 2025 sa už nesmú predĺžiť bez doplnenia nových požiadaviek. Viac v návode NIS2 a dodávatelia.
