Prehľad lehôt
| Čo | Lehota | Odkiaľ sa ráta |
|---|---|---|
| Prihlásenie na Národný bezpečnostný úrad | 60 dní | od začatia činnosti, pri ktorej spadáte pod zákon |
| Zavedenie bezpečnostných opatrení | 12 mesiacov | od zápisu do registra |
| Prvý audit alebo samohodnotenie | 2 roky | od zápisu do registra |
| Plný audit pri samohodnotení | 5 rokov | od zápisu do registra |
| Opakované samohodnotenie | každé 2 roky | pri firmách, ktoré môžu robiť samohodnotenie |
| Opakovaný audit (prísnejší režim) | do konca 3. kalendárneho roka | po roku, keď skončil posledný audit |
| Audit po veľkej zmene | do 6 mesiacov | od významnej zmeny |
| Revízia analýzy rizík | aspoň raz ročne | priebežne |
Príklad: firma zapísaná v roku 2025
Strojárska firma so 120 zamestnancami sa zapísala do registra v marci 2025. Bezpečnostné opatrenia mala mať zavedené do marca 2026. Do marca 2027 musí mať audit alebo samohodnotenie. Ak jej to zaradenie dovoľuje a urobí samohodnotenie, plný audit od certifikovaného audítora ju čaká najneskôr v marci 2030.
Ak firma termín na opatrenia nestihla, oplatí sa urobiť GAP analýzu (kontrolu, čo chýba) čím skôr. Do auditu alebo samohodnotenia tak ešte stihne opraviť to najdôležitejšie a pri kontrole vie ukázať plán s termínmi.
Lehoty pri incidente
Pri vážnom kybernetickom incidente beží čas od chvíle, keď ho zistíte:
- do 24 hodín včasné varovanie,
- do 72 hodín oznámenie s prvým posúdením,
- najneskôr mesiac po oznámení záverečná správa.
Podrobne v návode Hlásenie kybernetického incidentu.
Audity začaté do konca roka 2026
Pravidlá auditu sa od 1. 9. 2026 sprísnili (napríklad hodnotenie „čiastočný súlad“ a kontrola aj výrobných technológií). Audit, ktorý začne najneskôr 31. 12. 2026, sa ešte môže robiť podľa doterajších pravidiel. Kto audit plánuje, má dôvod začať skôr.
