Sedem povinností v skratke
| # | Povinnosť | Dokedy | Návod |
|---|---|---|---|
| 1 | Registrácia na Národný bezpečnostný úrad | do 60 dní od začatia činnosti | Registrácia |
| 2 | Analýza rizík a analýza dopadov na prevádzku | ako základ pre opatrenia | Analýza rizík |
| 3 | Bezpečnostné opatrenia a dokumentácia | do 12 mesiacov od zápisu | Opatrenia |
| 4 | Manažér kybernetickej bezpečnosti | súčasť opatrení | Manažér |
| 5 | Zmluvy a bezpečnosť dodávateľov | súčasť opatrení | Dodávatelia |
| 6 | Hlásenie vážnych incidentov | 24 h, 72 h, 1 mesiac | Hlásenie |
| 7 | Audit alebo samohodnotenie | do 2 rokov od zápisu | Audit |
1. Registrácia
Firma, ktorá spadá pod zákon, sa musí sama prihlásiť na Národný bezpečnostný úrad (NBÚ) do 60 dní od začatia činnosti. Úrad ju zapíše do registra prevádzkovateľov základných služieb. Od dátumu zápisu sa rátajú ďalšie termíny.
2. Analýza rizík
Všetky opatrenia vychádzajú z analýzy rizík. Firma si spíše, čo je pre ňu dôležité (systémy, údaje, výroba, ľudia), čo im hrozí a čo by výpadok znamenal pre prevádzku. Súčasťou je aj určenie, za aký čas musíte systémy obnoviť a o koľko údajov môžete najviac prísť.
3. Bezpečnostné opatrenia
Zákon určuje 18 oblastí opatrení a 9 minimálnych opatrení. Podrobnosti rozpisuje vyhláška Národného bezpečnostného úradu č. 227/2025 Z. z. v 151 bodoch. Patrí sem napríklad riadenie prístupov, dvojfaktorové overenie, zálohy, aktualizácie, školenia a postup pri incidente. Opatrenia treba zaviesť do 12 mesiacov od zápisu do registra a mať ich zdokumentované.
4. Manažér kybernetickej bezpečnosti
Firma musí mať človeka, ktorý za kybernetickú bezpečnosť zodpovedá. Má byť nezávislý od toho, kto prevádzkuje IT, a môže byť aj externý. Pri samohodnotení je to práve on, kto ho robí.
5. Dodávatelia
Firma musí mať bezpečnostné požiadavky aj v zmluvách s dodávateľmi, ktorí majú prístup k jej systémom alebo údajom, napríklad IT firmou, servisom strojov alebo cloudom. Obsah zmlúv určuje vyhláška č. 227/2025 Z. z.
6. Hlásenie incidentov
Vážny kybernetický incident treba nahlásiť cez štátny portál pre kybernetickú bezpečnosť: včasné varovanie do 24 hodín od zistenia, oznámenie do 72 hodín a záverečnú správu najneskôr mesiac po oznámení.
7. Audit alebo samohodnotenie
Do 2 rokov od zápisu do registra musí firma preukázať, že opatrenia spĺňa. Prísnejšie zaradené firmy potrebujú audit od certifikovaného audítora. Ostatné môžu urobiť samohodnotenie cez štátny portál a plný audit stihnúť do 5 rokov od zápisu.
A čo vedenie firmy
Kybernetická bezpečnosť nie je len úloha IT. Štatutárny orgán, teda konateľ alebo predstavenstvo, sa musí preukázateľne zaviazať dodržiavať povinnosti, schvaľovať opatrenia a dostávať včasné informácie o bezpečnosti. Viac v návode NIS2 a vedenie firmy.
