Smernica NIS2, celým označením smernica (EÚ) 2022/2555, stanovuje požiadavky na riadenie kybernetickej bezpečnosti v rade odvetví. Organizáciám ich však ukladá národný zákon, ktorým členský štát smernicu prevzal. Tento článok ponúka praktický postup. Nejde o právne poradenstvo a nenahrádza posúdenie vašej konkrétnej situácie.
Najprv zistite, či a ako sa vás regulácia týka
Na Slovensku smernicu prevzala novela č. 366/2024 Z. z. zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti, účinná od 1. januára 2025. Zákon bol odvtedy ďalej novelizovaný, preto pracujte s aktuálnym znením na portáli Slov-Lex. Regulované subjekty zákon označuje ako prevádzkovateľov základnej služby. Niektorí z nich sú zároveň prevádzkovateľmi kritickej základnej služby a majú prísnejšie povinnosti.
Zákon stavia na tom, že organizácia sama posúdi, či vykonáva činnosť, na ktorú sa vzťahuje. Ak áno, musí to podľa § 17 oznámiť Národnému bezpečnostnému úradu do 60 dní odo dňa, keď činnosť začala vykonávať. Úrad ju potom zapíše do registra prevádzkovateľov základnej služby. Informácie k regulácii zverejňuje úrad na stránke nis2.nbu.gov.sk.
Pri posudzovaní veľkosti podniku a zaradenia do sektora sa v nejasných prípadoch oplatí poradiť s právnikom. Ak pôsobíte aj v Česku, platí tam vlastný zákon č. 264/2025 Sb. s režimom vyšších a nižších povinností.
Analýza rizík ako základ opatrení
Smernica v článku 21 požaduje vhodné a primerané technické, prevádzkové a organizačné opatrenia. Ich primeranosť sa posudzuje okrem iného podľa miery vystavenia rizikám, veľkosti subjektu a pravdepodobnosti a závažnosti incidentov. Medzi minimálnymi oblasťami uvádza aj politiku analýzy rizík.
Slovenský zákon na analýzu rizík priamo nadväzuje. Podľa § 19 má prevádzkovateľ základnej služby do 12 mesiacov od zápisu do registra prijať a vykonávať bezpečnostné opatrenia v závislosti od vykonanej analýzy rizík, najmenej v rozsahu § 20. Analýza rizík tak nie je formalita, ale východisko pre výber a rozsah opatrení.
Analýza rizík nemusí byť rozsiahly dokument. Ide o odpovede na niekoľko otázok:
- Ktoré služby a procesy sú pre organizáciu a jej zákazníkov najdôležitejšie?
- Od ktorých systémov, údajov, ľudí a dodávateľov tieto služby závisia?
- Čo by im mohlo uškodiť a aké je to pravdepodobné?
- Aký by bol dopad výpadku, úniku alebo zmeny údajov?
- Ktoré opatrenia už máte a ako viete, že fungujú?
Výsledkom je zoznam rizík zoradený podľa významu. Až z neho vychádza, ktoré opatrenia zaviesť ako prvé.
Do analýzy zapojte ľudí, ktorí služby naozaj prevádzkujú, nielen IT. Vlastník obchodného procesu najlepšie posúdi dopad výpadku, správca systému zasa slabé miesta a pravdepodobnosť problému. Výsledok pravidelne aktualizujte, napríklad po väčšej zmene, po incidente alebo po novom zistení z testu.
Od rizík k opatreniam s vlastníkom
Článok 21 smernice vymenúva oblasti, ktoré musia opatrenia pokrývať. Patria medzi ne napríklad:
- riešenie incidentov a riadenie kontinuity prevádzky vrátane zálohovania a obnovy,
- bezpečnosť dodávateľského reťazca,
- bezpečnosť pri obstarávaní, vývoji a údržbe systémov vrátane riešenia zraniteľností,
- hodnotenie účinnosti opatrení,
- základná kybernetická hygiena a školenia,
- riadenie prístupu, správa aktív a podľa potreby viacfaktorové overovanie.
Konkrétne požiadavky pre vašu organizáciu stanoví národný zákon a súvisiace vyhlášky.
Pri dodávateľoch začnite tými, ktorí majú prístup do vašich systémov alebo pre vás prevádzkujú dôležité služby. Slovenský zákon v § 19 ukladá prevádzkovateľovi základnej služby uzatvoriť s treťou stranou, ktorej činnosť priamo súvisí s prevádzkou jeho sietí a informačných systémov, zmluvu o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností. Pri uzatváraní takej zmluvy sa vykonáva analýza rizík.
Každé opatrenie by malo mať vlastníka, termín a spôsob overenia. „Zaviesť viacfaktorové overovanie“ je zámer. „Viacfaktorové overovanie pre všetky vzdialené prístupy a správcovské účty do konca štvrťroka, zodpovedá vedúci IT, overíme kontrolou konfigurácie“ je opatrenie, ktoré sa dá riadiť.
Smernica v článku 20 počíta aj so zodpovednosťou vedenia. Riadiace orgány majú opatrenia schvaľovať, dohliadať na ich vykonávanie a absolvovať školenie. Kybernetická bezpečnosť tak nie je len úlohou IT oddelenia.
Účinnosť sa dá overiť rôzne: kontrolou konfigurácie, skúškou obnovy zo zálohy, cvičením reakcie na incident alebo penetračným testom vybraných systémov. Žiadne z týchto overení samo osebe nezaručuje súlad so zákonom. Ukáže však, či opatrenie v praxi funguje.
Kontrolný zoznam prvých krokov
- Overili ste, či vykonávate činnosť, na ktorú sa zákon vzťahuje, a v akom postavení.
- Viete, či a kedy ste splnili oznamovaciu povinnosť.
- Máte zoznam kľúčových služieb a systémov, od ktorých závisia.
- Analýza rizík je hotová, zoradená a schválená vedením.
- Každé opatrenie má vlastníka, termín a spôsob overenia.
- Poznáte hlavných dodávateľov a viete, aké bezpečnostné požiadavky na nich máte.
- Máte postup na hlásenie incidentov podľa národného zákona.
- Vedenie vie, za čo zodpovedá, a absolvovalo školenie.
Tento článok je všeobecný prehľad, nie právne poradenstvo, a nezaručuje splnenie povinností. Výklad zákona pre vašu organizáciu je vhodné overiť s právnikom alebo na príslušnom úrade. Technickú a organizačnú stránku, teda analýzu rizík, priority a overenie opatrení, môžeme prejsť spolu. Dohodnite si konzultáciu s naším tímom.
