O smernici NIS2 sa hovorí štyri roky a vo väčšine slovenských firiem stále platí, že sa jej netýka. Časť z nich sa mýli. Novela zákona o kybernetickej bezpečnosti — zákon č. 366/2024 Z. z., ktorý mení zákon č. 69/2018 Z. z. a je účinný od 1. januára 2025 — výrazne rozšírila okruh povinných subjektov. Podľa odhadov Národného bezpečnostného úradu ide rádovo o tisícky organizácií, teda nie len o energetiku a nemocnice.
Tento text nie je právny rozbor. Je to prehľad, podľa ktorého si viete za pol hodiny povedať, či sa vás vec týka a čo s tým.
Ako zistíte, či sa vás to týka
Zjednodušene sa pozerá na dve veci naraz — čo robíte a aká ste veľká. Sektory sú vymenované v prílohách zákona a sú širšie, než väčšina ľudí čaká: okrem energetiky, dopravy, zdravotníctva, vody a financií tam patrí aj digitálna infraštruktúra, poskytovatelia riadených IT služieb, výroba, potravinárstvo, odpadové hospodárstvo, pošta a kuriéri či výskum.
Veľkostné kritérium vychádza z definície stredného podniku. Práve toto je bod, na ktorom firmy strácajú istotu, a ktorý sa neoplatí hádať — ak ste v niektorom z vymenovaných sektorov a máte viac než 50 zamestnancov alebo obrat nad 10 miliónov eur, nechajte si posúdenie spraviť odborne.
Druhá cesta, ako sa povinnosti dotknú aj malej firmy: cez dodávateľský reťazec. Regulované subjekty musia riadiť riziká u dodávateľov, takže ak dodávate IT služby, hosting alebo softvér nemocnici či energetike, požiadavky sa k vám dostanú v zmluve. V praxi vidím, že práve takto sa o téme dozvie väčšina menších dodávateľov — z dotazníka od odberateľa.
Lehoty, ktoré bežia od zápisu
Systém má dva kroky a treba ich nezamieňať:
- Oznámenie a zápis do registra. Subjekt, ktorý naplní kritériá, je povinný podať oznámenie do 60 dní od splnenia podmienok a súčasne určiť manažéra kybernetickej bezpečnosti. Tá osoba musí spĺňať kvalifikačné predpoklady a nesmie byť v konflikte záujmov — nemôže to byť ten, kto zároveň zodpovedá za prevádzku IT.
- Prijatie bezpečnostných opatrení do 12 mesiacov odo dňa zápisu do registra. Rok znie ako veľa, kým si neuvedomíte, že súčasťou je audit, dokumentácia, školenia aj úprava zmlúv s dodávateľmi.
K tomu pribúda priebežná povinnosť hlásiť incidenty v zákonom stanovených lehotách, ktoré sa počítajú v hodinách, nie dňoch. To je prakticky najtvrdšia požiadavka celého balíka, lebo predpokladá, že o incidente vôbec viete — a to bez monitoringu nefunguje.
Čo žiada vyhláška
Konkrétny obsah opatrení určuje vyhláška NBÚ č. 227/2025 Z. z. o bezpečnostných opatreniach, účinná od 1. septembra 2025, ktorá nahradila staršiu vyhlášku č. 362/2018 Z. z. Oproti predchádzajúcej úprave je podrobnejšia a menej priestoru necháva na výklad.
Tematicky ide o oblasti, ktoré sa v nejakej forme opakujú v každom bezpečnostnom rámci:
- Riadenie rizík a aktív — musíte vedieť, čo vlastníte, kde to beží a aké to má následky pri výpadku.
- Riadenie prístupov vrátane viacfaktorového overenia a pravidelnej revízie oprávnení.
- Správa zraniteľností a aktualizácií s určeným postupom a lehotami.
- Monitorovanie a detekcia — logovanie, uchovávanie záznamov a ich vyhodnocovanie.
- Riadenie incidentov — postup, role, kontakty a hlásenie.
- Kontinuita a zálohovanie vrátane otestovaného obnovenia, nie len existencie záloh.
- Bezpečnosť dodávateľského reťazca — zmluvné požiadavky a posudzovanie dodávateľov.
- Školenia a bezpečnostné povedomie zamestnancov.
Sankcie a prečo sa o nich hovorí
Pri prevádzkovateľoch kritickej základnej služby môže pokuta dosiahnuť až 10 miliónov eur alebo 2 % celkového celosvetového ročného obratu za predchádzajúce účtovné obdobie, podľa toho, ktorá suma je vyššia. To je horná hranica pre najzávažnejšie prípady v najvyššej kategórii, nie bežná pokuta pre stredne veľkú firmu — ale vysvetľuje, prečo sa téma dostala na rokovania predstavenstiev.
Praktickejší dôvod, prečo sa tým zaoberať, býva iný: odberateľ vám do zmluvy napíše požiadavky, ktoré nesplníte, a prídete o kontrakt skôr, než na vás niekto pošle kontrolu.
Päť vecí, ktoré sa dajú spraviť hneď
Bez ohľadu na to, ako posúdenie dopadne, toto je práca, ktorú neoľutujete:
- Inventár aktív. Zoznam serverov, domén, aplikácií, databáz a služieb tretích strán, s menom zodpovednej osoby. Pri väčšine firiem toto neexistuje a je to prekvapivo veľa práce.
- Revízia prístupov. Kto má administrátorské práva, kto má prístup k hostingu a doménam, koľko z týchto ľudí už vo firme nepracuje.
- Viacfaktorové overenie všade, kde sa dá, počnúc e-mailom a správcovskými účtami.
- Test obnovy zo zálohy. Nie kontrola, či záloha existuje — skutočné obnovenie na náhradné prostredie a odmeranie času.
- Monitoring s históriou. Bez záznamov nemáte čo hlásiť ani z čoho rekonštruovať incident. Ako to nastaviť, aby to nebolo len placebo, rozoberám v článku Koľko stojí výpadok webu; technicky to pokrýva SiteWatch a na strane serverov SENTRIX.
Kde hľadať istotu
Posúdenie, či ste regulovaný subjekt, a v akej kategórii, patrí právnikovi alebo špecialistovi na kybernetickú bezpečnosť — nie dodávateľovi webu a nie tomuto článku. Čo viem urobiť ja, je technická časť: inventár, monitoring, logovanie, zálohy, prístupy a dokumentácia k nim. Ak to potrebujete pokryť, ozvite sa alebo si pozrite rozsah v cenníku. Základný technický prehľad nájdete aj v článku Zabezpečenie webu pre malé firmy.