1. ABSTRAKT
Dodržiavanie povinnosti ochrany vlastných dát je s ohľadom na súčasnú legislatívu pre subjekty rovnako dôležitá ako uplatňovanie práv fyzických a právnických osôb na ochranu údajov a elektronických dát. Európska a národná legislatíva po novom určuje povinnosti subjektov na ochranu vlastných dát prostredníctvom nových manažérskych postupov a nových povinností. V našom úvodnom článku Vám zhrnieme o aké povinnosti ide, z čoho vyplývajú a na ktoré subjekty sa povinnosti vzťahujú.
2. PRÁVNY RÁMEC
Zhrňme si najpodstatnejšie legislatívne akty, ktoré upravujú povinnosti ochrany vlastných dát.
2.1. Zákon o kybernetickej bezpečnosti
Na národnej úrovni reprezentuje legislatívny rámec zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v platnom znení (ďalej v celom Pro Bone len ako „zákon o kybernetickej bezpečnosti“).
O novele zákona o kybernetickej bezpečnosti, ktorá bola transpozíciou smernice uvedenej nižšie v bode 2.2, sme Vás oboznámili v minuloročnom Pro Bone:
Novelizovaný zákon o kybernetickej bezpečnosti teda priniesol:
- pôsobnosť na prevádzkovateľov základných služieb a prevádzkovateľov kritických základných služieb;
- povinnosť prijímať bezpečnostné opatrenia – firmy, ktoré prevádzkujú základné služby a kritické základné služby musia implementovať opatrenia v oblastiach, ako sú monitorovanie kybernetických hrozieb, správa zraniteľností, riadenie bezpečnostných incidentov a zabezpečenie IT infraštruktúry;
- prísne nahlasovanie kybernetických incidentov, kedy regulovaný subjekt (firma pôsobiaca v kritickej infraštruktúre) má povinnosť hlásiť kybernetické incidenty do 24 hodín od zistenia incidentu musí byť odoslané predbežné hlásenie, do 72 hodín musí byť predložená podrobná správa s analýzou incidentu a do jedného mesiaca od incidentu musí firma predložiť záverečnú správu s implementovanými nápravnými opatreniami;
- dôraz na bezpečnosť dodávateľského reťazca, čo znamená, že firmy musia vykonávať hodnotenie rizík v rámci svojho dodávateľského reťazca a prispôsobiť bezpečnostné politiky podľa výsledkov týchto analýz;
- audity, čo znamená, že firmy musia povinne vykonávať pravidelné audity a hodnotenie svojej bezpečnosti a povinne certifikovať bezpečnosť pre vybrané IT produkty a služby.
2.2. Smernica NIS 2
Na úrovni európskej legislatívy je jedným z dôležitých aktov Smernica Európskeho parlamentu a Rady (EÚ) č. 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (spolu ďalej v celom Pro Bone len ako „smernica NIS 2“).
Smernicou NIS 2 sa stanovil jednotný právny rámec na podporu kybernetickej bezpečnosti v 18 kritických odvetviach v celej Európskej únií.
2.3. Nariadenie DORA
Ďalším veľmi podstatným aktom na úniovej úrovni je Nariadenie Európskeho parlamentu a Rady (EÚ) č. 2022/2554 o digitálnej prevádzkovej odolnosti finančného sektora (ďalej v celom texte Pro Bona ako „DORA“)
DORA sa uplatňuje od 17. januára 2025. Povinnosti z neho vyplývajúce sa však priebežne aplikujú, niektoré ešte len nastanú a pre mnohé subjekty je nariadenie DORA stále veľkou neznámou.
3. ROZDIELY MEDZI NIS 2 A DORA
Rozdiely medzi NIS2 a DORA spočívajú v:
3.1 Právnej forme:
NIS 2 je smernica, čo znamená, že nie je priamo účinná bez transpozície do národného právneho poriadku; transpozícia NIS 2 sa uskutočnila novelou zákona o kybernetickej bezpečnosti.
DORA je nariadenie, čo znamená, že je priamo aplikovateľné a má priamy vertikálny a horizontálny účinok na fyzické a právnické osoby.
3.2 Rozsahu pôsobnosti:
Široký sektor – NIS 2 sa vzťahuje na subjekty pôsobiace v kritickej infraštruktúre, ktorá je nevyhnutná na fungovanie spoločnosti a hospodárstva štátu; rozsah pôsobnosti NIS 2 zahŕňa celkovo 18 sektorov, akými sú energetika, zdravotníctvo, digitálny sektor, verejné orgány, doprava, zásobovanie vodou, a pod.; ide o rozsah pôsobnosti na oblasti, ktoré môžu mať významný vplyv na verejnú bezpečnosť, poriadok a hospodársku stabilitu v prípade bezpečnostných incidentov, podrobnosti uvádzame v druhom článku tohto špeciálu Pro Bona.
Finančný sektor – DORA, čo znamená, že pre subjekty vo finančnom sektore, ktorí ponúkajú alebo využívajú digitálne služby, napríklad banky, poisťovne, investičné firmy, iných poskytovateľov finančných služieb, poskytovateľov služieb v sektore kryptomien, má DORA prednosť pred NIS 2.
Ide o automatickú reguláciu týchto subjektov nariadením DORA.
3.3 Cieľoch:
Všeobecná kyberbezpečnosť – NIS 2 má posilniť celkovú úroveň kybernetickej bezpečnosti naprieč rôznymi kritickými sektormi v celej EÚ.
Digitálna operačná odolnosť – DORA má zabezpečiť digitálnu operačnú odolnosť finančných inštitúcií, aby mohli odolať a rýchlo sa zotaviť z IT narušení.
3.4 Štruktúre dohľadu:
Podľa smernice NIS2 monitorovanie vykonávajú výlučne vnútroštátne orgány, nad subjektmi dotknutými smernicou NIS2 neexistuje priamy dohľad zo strany orgánov EÚ, dohľad je preto výlučne na vnútroštátnej úrovni, na Slovensku je to Národný bezpečnostný úrad (NBÚ).
Naproti tomu v rámci DORA sú finančné spoločnosti síce tiež primárne pod dohľadom národných orgánov dohľadu, na Slovensku je to Národná banka Slovenska, ale tie úzko spolupracujú s orgánmi EÚ; napríklad Európsky orgán pre cenné papiere a trhy (ESMA), Európsky orgán pre bankovníctvo (EBA) a Európsky orgán pre poisťovníctvo a dôchodkové poistenie zamestnancov (EIOPA) zohrávajú ústrednú úlohu pri monitorovaní a presadzovaní nariadenia DORA na európskej úrovni; tieto orgány koordinujú činnosti dohľadu a podporujú národné orgány pri zabezpečovaní digitálnej odolnosti vo finančnom sektore.
3.5 Sankciách:
Nedodržiavanie smernice NIS2 a nariadenia DORA môže viesť k významným sankciám. Sankčné mechanizmy týchto dvoch politík však majú odlišné prístupy.
V smernici NIS2 sú pokuty konkrétne definované – subjektom v kritickej infraštruktúre, ako napríklad subjektom v sektore energetiky, dopravy a zdravotníctva, môžu byť udelené pokuty až do výšky 10 miliónov EUR alebo 2 % ich celosvetového ročného obratu (podľa toho, ktorá suma je vyššia).
Pre dôležité organizácie, akými sú poskytovatelia digitálnych služieb a chemické spoločnosti, je maximálna pokuta 7 miliónov EUR alebo 1,4 % z celosvetového ročného obratu za predchádzajúci finančný rok.
Nariadenie DORA, naopak, nestanovuje fixné pokuty za všeobecné nedodržiavanie predpisov. Existujú však špecifické pravidlá pre poskytovateľov služieb informačných a komunikačných technológií (IKT). DORA umožňuje popredným regulačným orgánom ukladať poskytovateľom IKT pokuty vo výške 1 % z priemerného denného celosvetového obratu poskytovateľa v predchádzajúcom finančnom roku. Poskytovatelia môžu byť pokutovaní denne až šesť mesiacov, kým nebudú dodržiavať predpisy.
Článok 50 ods. 1 nariadenia DORA stanovuje, že príslušné orgány musia mať všetky potrebné právomoci v oblasti dohľadu, vyšetrovania a ukladania sankcií na zabezpečenie uplatňovania tohto nariadenia.
Právomoci zahŕňajú aspoň právomoci (i) mať prístup ku každému dokumentu alebo údaju v akejkoľvek forme, ktorý príslušný orgán považuje za relevantný pre plnenie svojich povinností, a dostať alebo si vyhotoviť jeho kópiu, (ii) vykonávať inšpekcie na mieste alebo vyšetrovania, ktoré zahŕňajú, ale neobmedzujú sa na predvolanie zástupcov finančných subjektov, aby podali ústne alebo písomné vysvetlenie k skutočnostiam alebo dokumentom týkajúcim sa predmetu a účelu vyšetrovania, a zaznamenávanie odpovedí a vypočutie akejkoľvek inej fyzickej alebo právnickej osoby, ktorá s týmto vypočutím súhlasí, s cieľom získať informácie týkajúce sa predmetu vyšetrovania, (iii) požadovať nápravné a opravné opatrenia v prípade porušení požiadaviek tohto nariadenia.
Bez toho, aby bolo dotknuté právo členských štátov ukladať trestnoprávne sankcie, členské štáty stanovia pravidlá, ktorými sa zavádzajú primerané administratívne sankcie a nápravné opatrenia za porušenia tohto nariadenia, a zabezpečia ich účinné vykonávanie. Tieto sankcie a opatrenia musia byť účinné, primerané a odrádzajúce.
Členské štáty udelia príslušným orgánom právomoc uplatňovať aspoň tieto administratívne sankcie alebo nápravné opatrenia za porušenia tohto nariadenia (i) vydať príkaz, ktorým sa od fyzickej alebo právnickej osoby požaduje, aby ukončila konanie, ktoré je porušením tohto nariadenia, a zdržala sa opakovania tohto konania, (ii) požadovať dočasné alebo trvalé ukončenie uplatňovania akéhokoľvek postupu alebo správania, ktoré sú podľa príslušného orgánu v rozpore s ustanoveniami tohto nariadenia, a zabrániť opakovanému uplatneniu takéhoto postupu alebo správania, (iii) prijať akýkoľvek druh opatrenia vrátane opatrenia peňažnej povahy s cieľom zabezpečiť, aby finančné subjekty naďalej dodržiavali právne požiadavky, (iv) požadovať, ak to povoľuje vnútroštátne právo, existujúce záznamy o prenose údajov, ktoré má telekomunikačný operátor, ak existuje dôvodné podozrenie porušenia tohto nariadenia a ak takéto záznamy môžu byť relevantné pri vyšetrovaní porušení tohto nariadenia, a (v) vydávať verejné oznámenia vrátane verejných vyhlásení, v ktorých sa uvádza totožnosť fyzickej alebo právnickej osoby a povaha porušenia.
Pri určovaní druhu a úrovne administratívnej sankcie alebo nápravného opatrenia, ktoré sa majú uložiť podľa článku 50, príslušné orgány zohľadňujú rozsah, v ktorom je porušenie úmyselné alebo vyplýva z nedbanlivosti, a všetky iné relevantné okolnosti.
Členské štáty sa môžu rozhodnúť, že nestanovia pravidlá týkajúce sa administratívnych sankcií alebo nápravných opatrení za porušenia, na ktoré sa podľa ich vnútroštátneho práva vzťahujú trestnoprávne sankcie.
Spoločným aspektom sankčných mechanizmov oboch nariadení je však osobná zodpovednosť manažmentu. NIS2 aj DORA stanovujú, že členovia manažmentu firiem môžu byť zodpovední za hrubú nedbanlivosť alebo úmyselné porušenie pravidiel. To znamená, že manažéri nie sú zodpovední len za implementáciu požiadaviek kybernetickej bezpečnosti, ale môžu čeliť aj osobným dôsledkom za ich nedodržanie.
3.6 Povinnostiach podávania správ:
DORA vyžaduje, aby finančné inštitúcie poskytovali podrobné správy o incidentoch, ktoré by mohli ovplyvniť prevádzkovú odolnosť. Tieto správy musia byť vypracované včas a musia obsahovať podrobné informácie o povahe incidentu a prijatých opatreniach.
NIS2 na druhej strane stanovuje prísnejšie lehoty na hlásenie bezpečnostných incidentov, zvyčajne do 24 hodín, a poskytuje špecifické formáty hlásení v závislosti od sektora. Povinnosti hlásenia podľa NIS2 sú preto často rozsiahlejšie a časovo kritickejšie.
4. REGISTRÁCIA NA NBÚ
V zmysle smernice NIS 2 a zákona o kybernetickej bezpečnosti sa každý subjekt pôsobiaci v kritickej infraštruktúre musí takzvane samoidentifikovať, či pod NIS2 spadá a ak áno, v takom prípade sa zaregistrovať na Národnom bezpečnostnom úrade (NBÚ).
Ako sme uviedli vyššie a podrobnejšie uvádzame v druhom článku tohto špeciálu, všeobecne platí, že pod NIS2 spadajú vybrané subjekty z 18 sektorov, ktoré sú rozdelené do dvoch skupín: (i) odvetvia s vysokou kritickosťou a (ii) iné kritické sektory. Podrobné rozdelenie uvádzame v druhom článku.
Nie všetky subjekty v regulovaných odvetviach automaticky podliehajú NIS 2. Smernica, respektíve zákon o kybernetickej bezpečnosti, sa týka najmä stredných a veľkých podnikov, teda tých, ktoré sa ako stredné a veľké identifikujú na základe hraničných kritérií uvedených v bode 4.1 nižšie.
Podrobnosti k určovaniu veľkosti podniku uvádza odporúčanie Komisie č. 2003/361/ES, pričom hraničné hodnoty určovania v praxi a prípadové štúdie uvádza napríklad aj Národný bezpečnostný úrad na svojom webovom sídle.
4.1 Definície veľkosti podnikov a hraničné kritériá
Hoci pre účely povinností vyplývajúcich z smernice NIS 2 sú kľúčové stredné a veľké podniky, musíme si zadefinovať komplexné ponímanie veľkosti podnikov podľa odporúčania Komisie č. 2003/361/ES.
V definícii malých a stredných podnikov sa berú do úvahy hraničné kritériá (i) počtu pracovníkov, (ii) ročného obratu a (iii) celkovej ročnej bilančnej sumy.
Porovnaním údajov firmy s takzvanými hraničnými hodnotami pre tieto tri kritériá môže podnik určiť, či je mikropodnikom, malým podnikom alebo stredným podnikom.
Pri posudzovaní veľkosti podniku sa berie do úvahy hraničné kritérium počtu pracovníkov. Zamestnanci/pracovníci sa prepočítavajú na plné úväzky za rok, takzvané ročné pracovné jednotky. Osoby, ktoré v rámci podniku alebo v jeho mene pracovali na plný pracovný čas počas celého referenčného roka, sa považujú za jednu jednotku. Pracovníci na kratší pracovný čas, sezónni pracovníci a osoby, ktoré nepracovali celý rok, sa započítavajú ako zlomky jednej jednotky.
Do počtu pracovníkov sa nezapočítavajú (i) učni alebo študenti, ktorí absolvujú odbornú prípravu a majú zmluvy o učňovskej príprave alebo odbornom výcviku a (ii) zamestnanci na materskej alebo rodičovskej dovolenke.
Druhé hraničné kritérium si podnik môže vybrať. Môže sa pri posudzovaní rozhodnúť, či bude spĺňať maximálnu hodnotu stanovenú pre obrat alebo maximálnu hodnotu stanovenú pre bilančnú sumu (súvahu). Nemusí spĺňať obe požiadavky, pričom jednu z nich môže aj presiahnuť bez toho, aby to malo vplyv na posudzovanie.
Ročný obrat sa určuje na základe výpočtu príjmov, ktoré podnik počas príslušného roka získal z predaja výrobkov a poskytovania služieb, ktoré patria k bežným činnostiam spoločnosti, po odpočítaní prípadných zliav. Do obratu sa nezapočítava daň z pridanej hodnoty (DPH) ani iné nepriame dane, napríklad spotrebné dane.
4.1.1 Mikropodnik
Mikropodniky sú definované ako podniky, ktoré zamestnávajú menej než 10 osôb a súčasne ak ich ročný obrat alebo súvaha je menej než 2 milióny EUR. Mikropodnik nie je pre účely posudzovania aplikácie smernice NIS 2 vo všeobecnosti relevantný, okrem skutočností uvedených nižšie v bode 4.3 tohto článku.
4.1.2 Malý podnik
Malé podniky sú definované ako podniky, ktoré zamestnávajú menej než 50 osôb a súčasne ich ročný obrat alebo súvaha je menej než 10 miliónov EUR.
4.1.3 Stredný podnik
Stredné podniky sú definované ako podniky, ktoré zamestnávajú menej než 250 osôb a súčasne majú buď ročný obrat nižší než 50 miliónov EUR, alebo celkovú súvahu menej než 43 miliónov EUR.
4.1.4 Veľký podnik
Veľkým podnikom je firma v prípade, ak nie je ani malým a ani stredným podnikom.
4.2 Príklady posudzovania veľkosti
S ohľadom na hraničné kritériá uvedieme praktické príklady posudzovania veľkosti podniku.
Napríklad podnik, ktorý zamestnáva 51 zamestnancov (ročné pracovné jednotky), má ročný obrat 9 miliónov Eur a rovnako 9 miliónov Eur súvahu. Podnik je napriek obratu a súvahe STREDNÝ, pretože prekročil kritérium veľkosti počtu zamestnancov pre malé podniky.
Príkladom malého podniku je aj ten, ktorý zamestnáva 49 zamestnancov (ročné pracovné jednotky) a má ročný obrat 11 miliónov Eur a ročnú súvahu 9 miliónov Eur. Podnik je MALÝ, pretože kritérium pre súvahu spĺňa hodnoty pre malé podniky.
Napokon, ak napríklad podnik, ktorý zamestnáva 7 zamestnancov (ročné pracovné jednotky), má však ročný obrat 25 miliónov Eur a súvahu 13 miliónov Eur, bude považovaný za STREDNÝ podnik, pretože obe finančné kritériá prekračujú hodnoty malého podniku.
4.3 Kedy veľkosť podniku nie je rozhodujúca
Dôležité však je, že existujú výnimky, ktoré pod NIS2 spadajú BEZ OHĽADU na veľkosť podniku, napríklad poskytovatelia verejných elektronických komunikačných sietí alebo služieb, poskytovatelia dôveryhodných služieb a registrov názvov domén najvyššej úrovne, či poskytovatelia DNS služieb.
5. VYSOKÉ SANKCIE
Subjekty spadajúce pod NIS2, teda podniky aktívne v sektore kritickej alebo inej kritickej infraštrukúre, spĺňajúce podmienku veľkosti podniku, resp. bez ohľadu na veľkosť, ak ide o poskytovateľov uvedených v odseku vyššie, majú povinnosť registrovať sa do 60 dní odo dňa, keď začali vykonávať podnikateľskú aktivitu podliehajúcu regulácii.
Ak ste podnikom, ktorý už existuje a po nadobudnutí účinnosti smernice NIS 2 ste začali spadať pod jej pôsobnosť, je potrebné zaregistrovať sa čo najskôr, ak ste tak neurobili do marca 2025, keďže možno očakávať postupný nábeh kontrolných mechanizmov NBÚ ako orgánu dohľadu.
V prípade nesplnenia registrácie hrozí pokuta za takzvaný správny delikt v sume až do 500 000 eur.
Nesmieme opomenúť aj ďalšie hroziace pokuty, a to až do výšky 7 000 000 eur alebo 1,4 percenta celkového celosvetového ročného obratu za nesplnenie ďalších povinností, ako napríklad (i) porušenie povinnosti mať prijatú bezpečnostnú dokumentáciu, (ii) porušenie povinnosti nahlásiť kybernetický bezpečnostný incident, (iii) porušenie povinnosti zasielať automatizovaným spôsobom určené systémové informácie, (iv) riešiť kybernetický bezpečnostný incident na základe rozhodnutia úradu podľa § 27 ods. 3 zákona o kybernetickej bezpečnosti, vykonať reaktívne opatrenie na základe rozhodnutia úradu podľa § 27 ods. 5 zákona o kybernetickej bezpečnosti alebo oznámiť a preukázať vykonanie reaktívneho opatrenia a jeho výsledok, (v) predložiť ochranné opatrenie na schválenie alebo vykonať schválené ochranné opatrenie.
V neposlednom rade, NBÚ môže podľa § 31 ods. 3 uložiť pokutu od 500 eur do 10 000 000 eur alebo do výšky 2 % celkového celosvetového ročného obratu za predchádzajúce účtovné obdobie, podľa toho, ktorá suma je vyššia, prevádzkovateľovi základnej služby, ktorý prevádzkuje kritickú základnú službu, ktorý sa dopustí správneho deliktu tým, že poruší niektorú z povinností uvedenú v odseku 2, teda niektorú z povinností, ktorú sme uviedli vyššie.
Dôležité postupy v rámci riadenia firiem, za účelom zabezpečenia kybernetickej bezpečnosti firmy podľa nariadenia NIS 2 a zákona o kybernetickej bezpečnosti, nájdete v našom druhom článku nižšie, najmä v bode 6, a to vrátane dôležitej novej funkcie v manažovaní firmy, a to funkcie manažéra kybernetickej bezpečnosti.
6. DÔLEŽITÉ LEHOTY
Dôležitým je marec 2026. Totiž podľa § 19 ods. 1 zákona o kybernetickej bezpečnosti je prevádzkovateľ základnej služby povinný do 12 mesiacov odo dňa zápisu do registra prevádzkovateľov základnej služby v závislosti od vykonanej analýzy rizík prijať, dodržiavať a vykonávať všeobecné bezpečnostné opatrenia najmenej v rozsahu bezpečnostných opatrení podľa § 20 a vykonávať ich s cieľom zabezpečovania kybernetickej bezpečnosti a odolnosti. Keďže do 2. marca 2025 bolo povinným oznámenie NBÚ zo strany firiem, že sú prevádzkovatelia základnej služby, je zrejmé, že marec 2026 je hraničná lehota pre prijatie bezpečnostných opatrení na úseku kybernetickej bezpečnosti.
Dôležitým je tiež marec 2027, keďže podľa § 27 zákona o kybernetickej bezpečnosti je prevádzkovateľ základnej služby povinný preveriť účinnosť prijatých bezpečnostných opatrení a plnenie požiadaviek ustanovených týmto zákonom vykonaním auditu kybernetickej bezpečnosti do dvoch rokov odo dňa zaradenia prevádzkovateľa základnej služby do registra prevádzkovateľov základnej služby. Čiže prvý audit alebo samohodnotenie je povinné pre firmy do marca 2027.
7. ZÁVER
Nariadenie NIS 2 a DORA a všetky k nim delegované nariadenia, sú skutočne rozsiahle a ich dopad na príslušné subjekty, je značný. Podrobnejšiemu výkladu sa venujeme v nasledovných šiestich článkoch letného špeciálu ULC Čarnogurský PRO BONO. V prípade nejasností sme Vám samozrejme k dispozícii, spolu s našim odborne vyškoleným personálom na úseku kybernetickej bezpečnosti.
Publikované dňa 04.09.2025.

