Kyberbezpečnosť: Slovensko (2026)
Slovensko v plnom rozsahu transponovalo smernicu EÚ NIS2 (2022/2555) prostredníctvom zákona č. 366/2024 Z. z., ktorým sa mení a dopĺňa základný zákon o kyberbezpečnosti č. 69/2018 Z. z. a nadobudol účinnosť 1. januára 2025. Zákon zavádza dvojstupňový režim (kľúčové a dôležité subjekty) pokrývajúci 16 sektorov, ktorý zahŕňa povinnú registráciu, opatrenia na riadenie rizík, viacstupňové hlásenie incidentov a zodpovednosť vedenia. NBÚ pôsobí ako jediný príslušný orgán, jednotné kontaktné miesto a dozorný orgán, pričom SK-CERT je národným tímom pre reakciu na incidenty.
Základná štruktúra
Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti (v znení zákona č. 366/2024 Z. z.), ktorého dodržiavanie dohliada Národný bezpečnostný úrad (NBÚ) a jeho národné CSIRT SK-CERT
Kľúčové body
Právny základ
Zákon č. 366/2024 Z. z. (prijatý 28. novembra 2024, uverejnený v Zbierke zákonov 19. decembra 2024, účinný od 1. januára 2025) mení a dopĺňa zákon č. 69/2018 Z. z., ktorým sa priamo transponuje smernica EÚ 2022/2555 (NIS2). Pôvodný zákon z roku 2018 už vytvoril komplexný rámec kybernetickej bezpečnosti.
Dozorný orgán
NBÚ (Úrad národnej bezpečnosti) je príslušným vnútroštátnym orgánom, jediným kontaktným miestom na vnútroštátnej úrovni a dozorným orgánom. SK-CERT, ktorý je súčasťou NBÚ, je národným CSIRT zodpovedným za operatívnu koordináciu incidentov.
Rozsah a klasifikácia subjektov
Subjekty sa klasifikujú ako kľúčové (≥ 250 zamestnancov a/alebo obrat ≥ 50 miliónov eur) alebo dôležité (≥ 50 zamestnancov a/alebo obrat ≥ 10 miliónov eur) v 16 odvetviach, medzi ktoré patria energetika, doprava, bankovníctvo, infraštruktúra finančného trhu, zdravotníctvo, digitálna infraštruktúra, vodné hospodárstvo, verejná správa a spracovateľský priemysel. Podľa odhadov sa toto opatrenie týka 7 000 až 10 000 a viac slovenských organizácií.
Povinnosti týkajúce sa hlásenia incidentov
Regulované subjekty musia hlásiť závažné incidenty v troch fázach: včasné varovanie do 24 hodín, úplné oznámenie incidentu do 72 hodín a záverečná správa do jedného mesiaca. Je povolené aj dobrovoľné hlásenie nezávažných incidentov, hrozieb a udalostí, pri ktorých došlo takmer k nehode.
Časový harmonogram dodržiavania predpisov
Existujúci prevádzkovatelia boli povinní zaregistrovať sa v NBÚ do 1. marca 2025. Po registrácii majú subjekty 12 mesiacov na zavedenie povinných bezpečnostných opatrení a 24 mesiacov na vykonanie prvého auditu alebo vlastného hodnotenia.
Tresty
V prípade kľúčových (kritických) subjektov môžu pokuty dosiahnuť výšku až 10 000 000 EUR alebo 2 % celkového celosvetového ročného obratu, podľa toho, ktorá suma je vyššia. Zodpovednosť vedenia je jasne stanovená: členovia predstavenstva musia schvaľovať a dohliadať na opatrenia v oblasti riadenia rizík kyberbezpečnosti.
Táto stránka je preložená len pre väčšiu prehľadnosť; rozhodujúca je anglická verzia, ktorá nepredstavuje právne poradenstvo.