Podnikatelia

SMERNICA NIS 2, JEJ PODSTATA, ROZSAH ÚPRAVYA PRÁVA A POVINNOSTI

  • Vydanie: ULC PRO BONO 07/2025

1. ABSTRAKT

Smernicou NIS 2 sa stanovil jednotný právny rámec na podporu kybernetickej bezpečnosti v 18 kritických odvetviach v celej Európskej únií. Smernicou NIS 2 sa zvyšuje spoločná úroveň ambícií Európskej únie v oblasti kybernetickej bezpečnosti prostredníctvom širšieho rozsahu pôsobnosti, jasnejších pravidiel a silnejších nástrojov dohľadu.

Smernica je právnym aktom EÚ, ktorý je záväzný pre každý členský štát, ktorému je určený. Smernicou sa stanovujú ciele, ktoré majú dosiahnuť členské štáty EÚ, pričom sa voľba foriem a metód ponecháva na ich vnútroštátne orgány. To znamená, že smernica NIS 2 nie je priamo uplatniteľná sama osebe, ale je potrebná jej tzv. transpozícia do právneho poriadku členského štátu EÚ.

Členské štáty Únie boli povinné prijať a uverejniť do 17. októbra 2024 opatrenia potrebné na dosiahnutie súladu so smernicou NIS 2.

V tomto smere sa vrátime k úvodu nášho špeciálu, kde uvádzame, že v novembrovom čísle 2024 sme Vám predstavili novelu zákona o kybernetickej bezpečnosti. Predmetná novela, účinná od 1. januára 2025, bola transpozíciou smernice NIS 2 do slovenského právneho poriadku. Účelom špeciálneho vydania je predstaviť Vám smernicu NIS 2 podrobnejšie, spolu s pohľadom do praxe a jednotlivými právami a povinnosťami, ktoré transponovaná smernica NIS 2 prináša.

2. RÁMCOVÝ POHĽAD NA SMERNICU NIS 2

Kybernetická bezpečnosť zahŕňa ochranu sietí a informačných systémov, ich používateľov a iných dotknutých osôb pred kybernetickými incidentmi a hrozbami. Smernicou NIS 2 sa zvyšuje spoločná

úroveň ambícií EÚ v oblasti kybernetickej bezpečnosti prostredníctvom širšieho rozsahu pôsobnosti, jasnejších pravidiel a silnejších nástrojov dohľadu. Členské štáty EÚ boli, resp. stále sú na základe smernice NIS 2 povinné posilniť svoje spôsobilosti v oblasti kybernetickej bezpečnosti a zároveň zaviesť opatrenia na riadenie rizík a požiadavky na podávanie správ subjektom z viacerých odvetví a stanoviť pravidlá spolupráce, výmeny informácií, dohľadu a presadzovania opatrení v oblasti kybernetickej bezpečnosti.

NIS 2 každému členskému štátu ukladá povinnosť prijať národnú stratégiu kybernetickej bezpečnosti, ktorá zahŕňa politiky v oblasti bezpečnosti dodávateľského reťazca, riadenia zraniteľnosti a vzdelávania a informovanosti v oblasti kybernetickej bezpečnosti. NIS 2 ukladá každému členskému štátu povinnosť vytvoriť a pravidelne aktualizovať zoznam prevádzkovateľov základných služieb a zabezpečiť, aby tieto subjekty spĺňali požiadavky smernice.

NIS 2 obsahuje aj ustanovenia o dohľade, presadzovaní a dobrovoľných partnerských preskúmaniach s cieľom posilniť vzájomnú dôveru a spôsobilosti v oblasti kybernetickej bezpečnosti v celej EÚ. Zavádza sa ním aj zodpovednosť vrcholového manažmentu za nedodržiavanie opatrení na riadenie kyberneticko-bezpečnostných rizík, čím sa kybernetická bezpečnosť musí dostať do pozornosti riadiacich orgánov firiem a spoločností, ktoré spadajú pod 18 kritických odvetví, ktoré si samozrejme neskôr zadefinujeme.

Smernicou sa zriaďuje sieť jednotiek pre riešenie počítačových bezpečnostných incidentov, takzvaných jednotiek CSIRT, a to na výmenu informácií o kybernetických hrozbách a reakciu na incidenty.

S cieľom riadiť rozsiahle kybernetické incidenty   alebo krízy sa smernicou NIS 2 vytvára Európska sieť styčných organizácií pre kybernetické krízy, takzvaná EU-CyCLONe. Táto sieť podporuje koordinované riadenie a zabezpečuje pravidelnú výmenu informácií medzi členskými štátmi a inštitúciami EÚ v prípade rozsiahlych incidentov a kríz. 

Skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti je zároveň platformou zriadenou smernicou na uľahčenie strategickej spolupráce a výmeny informácií medzi členskými štátmi EÚ, Európskou komisiou a Agentúrou EÚ pre kybernetickú bezpečnosť, takzvaná skupina ENISA. Skupina uverejňuje nezáväzné usmernenia a odporúčania na podporu vykonávania smernice NIS.

3. KYBERNETICKÁ BEZPEČNOSŤ

Vnútorný trh je v plnom rozsahu a viac než kedykoľvek predtým závislý od fungovania internetu. Služby takmer všetkých kľúčových a dôležitých subjektov sú závislé od služieb poskytovaných cez internet. V záujme zabezpečenia bezproblémového poskytovania služieb kľúčovými a dôležitými subjektmi je dôležité, aby všetci poskytovatelia verejných elektronických komunikačných sietí mali zavedené vhodné opatrenia na riadenie kybernetických rizík a aby oznamovali významné incidenty, ktoré sa ich týkajú. Ako uvádza smernica NIS 2, členské štáty by mali zabezpečiť zachovanie bezpečnosti verejných elektronických komunikačných sietí a ochranu svojich životne dôležitých bezpečnostných záujmov pred sabotážou a špionážou. Keďže medzinárodná konektivita zlepšuje a urýchľuje konkurencieschopnú digitalizáciu Európskej únie a jej hospodárstva, incidenty na úrovni kybernetického priestoru sa majú oznamovať príslušným subjektom, teda tzv. jednotke CSIRT alebo prípadne príslušnému orgánu. V národnej stratégii kybernetickej bezpečnosti by sa v prípade potreby mala zohľadňovať kybernetická bezpečnosť a mala by zahŕňať mapovanie potenciálnych kybernetických rizík a zmierňujúce opatrenia na zabezpečenie najvyššej úrovne ich ochrany.

Smernica NIS 2 stanovuje opatrenia, ktorých zámerom je dosiahnuť vysokú spoločnú úroveň kybernetickej bezpečnosti v celej Únii na účely lepšieho fungovania vnútorného trhu.

Na uvedený účel smernica NIS 2 stanovuje (i) povinnosti, ktorými sa od členských štátov vyžaduje, aby prijali národné stratégie kybernetickej bezpečnosti a určili alebo zriadili príslušné orgány, orgány pre riadenie kybernetických kríz, jednotné kontaktné miesta pre kybernetickú bezpečnosť (jednotné kontaktné miesta) a jednotky pre riešenie počítačových bezpečnostných incidentov (jednotky CSIRT); (ii) opatrenia na riadenie kybernetických rizík a oznamovacie povinnosti pre príslušné subjekty, ako aj pre subjekty identifikované ako kritické subjekty, (iii) pravidlá a povinnosti výmeny informácií o kybernetickej bezpečnosti, (iv) povinnosti členských štátov v oblasti dohľadu a presadzovania práva.

Smernica NIS 2 pokrýva viac sektorov a zvyšuje rozsah spoločností, resp. firiem a podnikov podliehajúcich regulácii.

Smernica NIS 2 zavádza prísnejšie bezpečnostné opatrenia pre zlepšenie kybernetickej ochrany.

Smernica NIS 2 zvyšuje zodpovednosť a transparentnosť, spoločnosti, resp. firmy a podniky musia poskytovať pravidelné správy o svojich bezpečnostných opatreniach. 

Smernica NIS 2 vytvára mechanizmy pre lepšiu výmenu informácií a koordináciu reakcií na incidenty medzi členskými štátmi EÚ.

Smernica NIS2 podporuje výstavbu a údržbu pokročilých systémov na detekciu a reakciu na kybernetické hrozby.

4. ROZSAH PÔSOBNOSTI

Je potrebné zdôrazniť, že smernica NIS2 sa týka členských štátov EÚ.

Pokiaľ ide o konkrétnu pôsobnosť voči konkrétnemu subjektu, či firme, ich sa dotýka novelizovaný zákon o kybernetickej bezpečnosti, ktorý prevzal jednotlivé ustanovenia zo smernice NIS 2 a o ktorom sa dočítate v našom samostatnom článku:

https://www.ulclegal.com/buletin/novela-zakona-o-kybernetickej-bezpecnosti-2/.

Smernica NIS 2, ako aj predmetná novela zákona o kybernetickej bezpečnosti (vyplývajúci aj z NIS2) vyžaduje od spoločností zlepšenie bezpečnostných politík, zavedenie opatrení proti kybernetickým hrozbám a posilnenie incidentného manažmentu.

Spoločnosti by mali vykonávať pravidelné bezpečnostné audity, aktualizovať svoje bezpečnostné systémy a školiť zamestnancov v oblasti kybernetickej bezpečnosti. Pomôcť môžu aj firmy a odborníci v oblasti kyberbezpečnosti.

Nesúlad s legislatívou môže viesť k vysokým finančným pokutám, právnym dôsledkom a poškodeniu reputácie spoločnosti na trhu.

5. DELENIE SUBJEKTOV

Smernica NIS 2 sa zameriava na zvýšenie odolnosti a schopnosti reakcie na kybernetické hrozby nielen verejných subjektov, ale podstatným spôsobom rozširuje pôsobnosť aj na súkromný sektor, akým je napríklad automobilový priemysel, potravinárstvo či výroba.

V nadväznosti na rámcovú úpravu smernicou NIS 2 novela zákona o kybernetickej bezpečnosti, o ktorej sme písali v minuloročnom vydaní nášho bulletinu, sú regulované subjekty povinné zaviesť prísnejšie bezpečnostné opatrenia, ako je monitorovanie sietí, správu zraniteľností či včasné hlásenie kybernetických incidentov.

Regulované subjekty sú súčasťou 18 sektorov určených smernicou NIS 2.

Subjekty sú podľa zákona rozdelené do dvoch kategórií, a to sektory s vysokou kritickosťou (podľa prílohy č. 1 smernice NIS 2) a iné kritické sektory (podľa prílohy č. 2 smernice NIS 2).

Celkovo ide o 18 sektorov.

5.1 Sektory s vysokou kritickosťou

Medzi sektory s vysokou kritickosťou smernica NIS 2 zaraďuje (i) energetiku, (ii) dopravu, (iii) bankovníctvo, (iv) infraštruktúru finančných trhov, (v) zdravotníctvo, (vi) sektor pitnej vody, (vii) sektor odpadovej vody, (viii) digitálnu infraštruktúru, (ix) riadenie služieb informačných a komunikačných technológií, (x) verejnú správu, (xi) vesmír.

5.2 Iné kritické sektory

Medzi iné kritické sektory smernica NIS 2 zaraďuje (xii) poštové a kuriérske služby, (xiii) odpadové hospodárstvo, (xiv) výrobu a distribúciu chemických látok, (xv) výrobu, spracovanie a distribúciu potravín, (xvi) výrobu, (xvii) poskytovateľov digitálnych služieb a (xviii) výskum. 

Zdôrazňujeme však, že nestačí, ak subjekt iba vykonáva činnosť v niektorom z vyššie uvedených sektorov prípadne podsektorov, ktoré sú uvedené v prílohách č. 1 a 2 smernice NIS 2.

Musí sa aj samoidentifikovať ako typ subjektu. 

Pravidlá smernice NIS 2 prevzal novelizovaný zákon o kybernetickej bezpečnosti a existuje prahová hodnota veľkosti subjektu (stredné podniky podľa článku 2 prílohy k odporúčaniu Komisie 2003/361/ES alebo presahujúce limity pre stredné podniky). Veľkosť podniku sa posudzuje podľa Odporúčania Komisie 2003/361/ES zo 6. mája 2003 o vymedzení pojmu mikro, malých a stredných podnikov (Ú. v. EÚ L 124, 20.5.2003). Prvým kritériom na posudzovanie veľkosti podniku je počet zamestnancov a druhým kritériom na posudzovanie veľkosti podniku je ročný obrat alebo celková ročná bilancia, teda súvaha.

Čiže na to, aby bol subjekt zaradený do registra prevádzkovateľov základnej služby, musí subjekt spĺňať zároveň aj veľkostné kritérium – ide o minimálne stredný podnik určený na základe kritérií, ktoré sme Vám vysvetlili v prvom článku v bode 4.1.

Sú tu však aj subjekty, na ktorých sa povinnosti zákona vzťahujú, a to aj bez splnenia tohto veľkostného kritéria či zaradenia do sektora, a tým sú (i) ústredné orgány štátnej správy a iné štátne orgány s celoštátnou pôsobnosťou, (ii) kritický subjekt, (iii) štátne orgány vykonávajúce pôsobnosť v najmenej dvoch okresoch a vyšší územný celok, ak by narušenie ich činnosti mohlo mať významný vplyv na verejný poriadok, bezpečnosť alebo verejné zdravie, (iv) mesto, ak by narušenie výkonu jeho pôsobnosti mohlo mať významný vplyv na verejný poriadok, bezpečnosť alebo verejné zdravie, (v) správca informačných technológií verejnej správy po predchádzajúcej konzultácii s príslušným ústredným orgánom, (vi) osoba, ktorá poskytuje službu registrácie názvu domény bez ohľadu na splnenie podmienok veľkosti pre stredný podnik alebo (vii) tretia strana, ktorá má významný vplyv pri zabezpečovaní kybernetickej bezpečnosti, má uzatvorenú zmluvu s prevádzkovateľom základnej služby, ktorý prevádzkuje kritickú základnú službu.

Smernica NIS 2 spolu s novelizovaným zákonom o kybernetickej bezpečnosti zaviedla takzvané kritické základné služby, ktorými sú (i) výkon pôsobnosti ústredného orgánu štátnej správy alebo iného štátneho orgánu s celoštátnou pôsobnosťou, (ii) činnosti v sektoroch podľa prílohy č. 1 smernice NIS 2, okrem sektoru verejná správa, ak ju vykonáva osoba, ktorá presahuje podmienky veľkosti pre stredný podnik (min. 250 zamestnancov alebo obrat 50 mil. EUR / súvaha 43mil. EUR a viac), (iii) kvalifikovaná dôveryhodná služba, (iv) správa domén najvyššej úrovne, (v) služba DNS, teda systému názvov domén, (vi) poskytovanie verejnej EK siete alebo verejnej EK služby osobou, ktorá dosahuje najmenej podmienky veľkosti pre stredný podnik, (vii) poskytovanie základnej služby kritickým subjektom, (viii) informačná činnosť a elektronické služby, vykonávané s použitím informačných technológií verejnej správy.

6. OPATRENIA NA RIADENIE KYBERNETICKÝCH RIZÍK

Smernica NIS 2 určila členským štátom EÚ, aby zabezpečili, aby kľúčové a dôležité subjekty v kritických sektoroch prijali vhodné a primerané technické, operačné a organizačné opatrenia na riadenie rizík súvisiacich s bezpečnosťou sietí a informačných systémov, ktoré tieto subjekty využívajú na svoju činnosť alebo na poskytovanie svojich služieb a na prevenciu alebo minimalizáciu vplyvu incidentov na príjemcov ich služieb a na ďalšie služby.

Uvedené opatrenia sú založené na prístupe zohľadňujúcom všetky riziká, ktorého cieľom je chrániť siete a informačné systémy a fyzické prostredie uvedených systémov pred incidentmi, a zahŕňajú aspoň (i) zásady analýzy rizík a bezpečnosti informačných systémov, (ii) riešenie incidentov, (iii) kontinuitu činností, ako je riadenie zálohovania a obnova systému po havárii, a krízové riadenie, (iv) bezpečnosť dodávateľského reťazca vrátane bezpečnostných aspektov týkajúcich sa vzťahov medzi jednotlivými subjektmi a ich priamymi dodávateľmi alebo poskytovateľmi služieb, (v) bezpečnosť pri nadobúdaní, vývoji a údržbe siete a informačných systémov vrátane riešenia zraniteľností a zverejňovania informácií o zraniteľnostiach, (vi) zásady a postupy posudzovania účinnosti opatrení na riadenie kybernetických rizík, (vii) základné postupy kybernetickej hygieny a odborná príprava v oblasti kybernetickej bezpečnosti, (viii) zásady a postupy používania kryptografie, prípadne šifrovania, (ix) bezpečnosť ľudských zdrojov, zásady kontroly prístupu a správu aktív, (x) v prípade potreby používanie riešení viacstupňovej alebo kontinuálnej autentifikácie, zabezpečenej hlasovej, obrazovej a textovej komunikácie a zabezpečených systémov komunikácie v núdzových situáciách v rámci subjektu.

Z uvedeného vyplýva pre spoločnosti a firmy spĺňajúce definíciu subjektu v rámci kritickej infraštruktúry a kritických sektorov, že musia:

  • zaviesť systém riadenia kybernetickej bezpečnosti, ktorý určí zodpovednosti a procesy na ochranu ich údajov a systémov,
  • aktívne monitorovať a aktualizovať svoje systémy na ochranu pred novými zraniteľnosťami a hrozbami,
  • mať zavedené postupy na detekciu, reakciu a riešenie kybernetických bezpečnostných incidentov,
  • zabezpečiť, aby ich systémy zostali funkčné aj počas krízových situácií, napríklad vďaka zálohovaniu dát a testovaniu obnovy systémov,
  • priebežne identifikovať a riadiť riziká a potenciálne nedostatky v informačných systémoch a včas eliminovať alebo minimalizovať ich vplyv,
  • zabezpečiť, aby softvérové a sieťové vybavenie prešli bezpečnostnými auditmi pred uvedením do prevádzky,
  • pravidelne hodnotiť účinnosť svojich bezpečnostných opatrení, napríklad prostredníctvom auditov,
  • zaviesť systém správy identít a prístupov a určiť kto môže pristupovať k jednotlivým systémom a údajom, a pod akými podmienkami, teda určenie mechanizmu overovania prístupu pomocou viacfaktorovej autentifikácie,
  • na ochranu citlivých údajov používať šifrovacie technológie a kryptografiu,
  • pravidelne monitorovať a ochrániť dátové prenosy,
  • vzdelávaním svojich zamestnancov zabezpečiť, aby rozumeli kybernetickým hrozbám a dodržiavali bezpečnostné zásady,
  • používať softvérové riešenia na detekciu a blokovanie škodlivého obsahu,
  • zabezpečiť, aby všetky dôležité udalosti a incidenty boli sledované, zaznamenávané a vyhodnocované a hlásené kompetentným orgánom,
  • chrániť citlivé informácie, zabezpečiť súkromie svojich používateľov,
  • riadiť riziká spojené s dodávateľmi, ktorí môžu mať prístup k ich aktívam,
  • implementovať bezpečnostné opatrenia na ochranu priestorov a kontrolovať prístup k týmto priestorom.

Zjednodušene povedané, ide o povinnosť nasledovných opatrení zo strany firiem:

  • identifikovať zraniteľnosti, kybernetické hrozby a riziká;
  • detegovať nežiaduce udalosti a incidenty;
  • reagovať na identifikované zraniteľnosti a incidenty a minimalizovať ich vplyv;
  • riešiť a reagovať na kybernetické bezpečnostné incidenty;
  • obnoviť informačné aktíva, napraviť negatívne dopady po vzniku incidentu a uviesť poskytované služby do požadovaného stavu;
  • vykonávať analýzu rizík a bezpečnosti sietí a systémov;
  • dohliadať na bezpečnosť sietí a informačných systémov;
  • zabezpečiť kontinuitu činností, riadenie zálohovania a obnovu systému incidente;
  • krízové riadenie;
  • zabezpečiť bezpečnosť dodávateľského reťazca;
  • dodržiavať zásady a postupy posudzovania účinnosti prijatých bezpečnostných opatrení na riadenie kybernetických rizík;
  • dodržiavať zásady a postupy používania kryptografie alebo šifrovania;
  • dodržiavať bezpečnosť ľudských zdrojov;
  • využívať viacstupňovú alebo kontinuálnu autentifikáciu.

Uvedené povinnosti sú transponované do zákona o kybernetickej bezpečnosti.

6.1 Oznamovacie povinnosti

Oznamovacie povinnosti v zmysle nariadenie NIS 2, transponované do novely zákona o kybernetickej bezpečnosti, sme si podrobnejšie vysvetlili v minuloročnom článku nášho bulletinu: https://www.ulclegal.com/buletin/novela-zakona-o-kybernetickej-bezpecnosti-2/

6.2 Manažér kybernetickej bezpečnosti

Smernica NIS 2 a zákon o kybernetickej bezpečnosti určili, aby firmy spadajúce pod pôsobnosť týchto legislatívnych aktov, mali tzv. manažéra kybernetickej bezpečnosti.

Ide o novú, povinnú funkciu, respektíve externú funkciu v štruktúre firmy.

Určenie manažéra kybernetickej bezpečnosti je jedným z minimálnych bezpečnostných opatrení firmy.

Manažér kybernetickej bezpečnosti  je v zmysle zákona o kybernetickej bezpečnosti pri návrhu, prijímaní a presadzovaní bezpečnostných opatrení nezávislý od štruktúry riadenia prevádzky a vývoja služieb informačných technológií a ktorý spĺňa znalostné štandardy pre výkon roly manažéra kybernetickej bezpečnosti.

Samohodnotenie je tiež vykonávané manažérom kybernetickej bezpečnosti. Ide vlastne o audit firmy na úseku kybernetickej bezpečnosti. Prvý audit sa musí vykonať do marca 2027.

Manažér kybernetickej bezpečnosti je novou viazanou živnosťou, nazvanou „Certifikovaný audítor kybernetickej bezpečnosti“.

Manažéri kybernetickej bezpečnosti musia spĺňať požiadavky medzinárodných štandardov  ISO/IEC noriem radu 27000, ktoré predstavujú medzinárodné štandardy v oblasti riadenia informačnej bezpečnosti.

7. NÁRODNÁ STRATÉGIA KYBERNETICKEJ BEZPEČNOSTI

Smernica NIS 2 určila, že každý členský štát EÚ prijme národnú stratégiu kybernetickej bezpečnosti, v ktorej stanoví strategické ciele, zdroje potrebné na dosiahnutie týchto cieľov a vhodné politické a regulačné opatrenia na dosiahnutie a zachovanie vysokej úrovne kybernetickej bezpečnosti.

Národná stratégia kybernetickej bezpečnosti sietí obsahuje (i) ciele a priority stratégie kybernetickej bezpečnosti členského štátu najmä pre kritické odvetvia uvedené vyššie, (ii) rámec riadenia na dosiahnutie cieľov a priorít uvedených v prvom bode, vrátane politík zameraných na kybernetickú bezpečnosť, (iii) rámec riadenia na objasnenie úloh a povinností relevantných zainteresovaných strán na vnútroštátnej úrovni, ktorý je základom spolupráce a koordinácie na vnútroštátnej úrovni medzi príslušnými orgánmi, jednotnými kontaktnými miestami a jednotkami CSIRT podľa tejto smernice, ako aj koordináciu a spoluprácu medzi uvedenými orgánmi a príslušnými orgánmi podľa odvetvových právnych aktov Únie, (iv) mechanizmus na identifikáciu relevantných prostriedkov a hodnotenie rizík v danom členskom štáte, (v) identifikáciu opatrení na zabezpečenie pripravenosti a schopnosti reakcie na incidenty a zotavenia z nich vrátane spolupráce medzi verejným a súkromným sektorom, (vi) zoznam rôznych orgánov a zainteresovaných strán zapojených do vykonávania národnej stratégie kybernetickej bezpečnosti, (vii) politický rámec pre posilnenú koordináciu medzi príslušnými orgánmi podľa smernice NIS 2 a príslušnými orgánmi za účelom výmeny informácií o rizikách, kybernetických hrozbách a incidentoch, ako aj o nekybernetických rizikách, hrozbách a incidentoch, prípadne pri plnení úloh dohľadu, (viii) plán vrátane potrebných opatrení na zvýšenie všeobecnej úrovne informovanosti občanov o kybernetickej bezpečnosti.

Národná stratégia kybernetickej bezpečnosti Slovenska je dostupná na webovom sídle Národného bezpečnostného úradu: https://www.nbu.gov.sk/data/att/396.pdf.  Národný bezpečnostný úrad SR je zároveň najvyšším štátnym orgánom na úseku kybernetickej bezpečnosti a zabezpečuje komplexnú koncepciu štátnej politiky na úseku kybernetickej bezpečnosti, ako orgán v súlade so smernicou NIS 2.

8. NÁRODNÁ JEDNOTKA CSIRT

Smernica NIS 2 určila, že každý členský štát EÚ je povinný zriadiť tzv. jednotku CSIRT. Skratka CSIRT znamená Computer Security Incident Response Team, teda jednotka pre riešenie počítačových bezpečnostných udalostí (incidentov).

Národná jednotka CSIRT je zriadená ako samostatný odbor na Ministerstve investícií, regionálneho rozvoja a informatizácie SR a zabezpečuje služby spojené so zvládaním bezpečnostných incidentov, odstraňovaním ich následkov a následnou obnovou činnosti informačných systémov a súvisiacich informačných a komunikačných technológií v rámci celej IT VS. Poskytuje aj služby preventívneho a vzdelávacieho charakteru.

Národná jednotka CSIRT (i) rieši kybernetické bezpečnostné incidenty v spolupráci s vlastníkmi a prevádzkovateľmi postihnutých častí informačných technológií verejnej správy, telekomunikačnými operátormi, poskytovateľmi internetových služieb (ISP) a prípadne inými štátnymi orgánmi (napr. polícia, vyšetrovatelia, súdy), (ii) buduje a rozširuje povedomie verejnosti vo vybraných oblastiach informačnej, resp. kybernetickej bezpečnosti, (iii) kooperuje s partnerskými organizáciami a združeniami v oblasti kybernetickej bezpečnosti na národnej a medzinárodnej úrovni.

Národné jednotky CSIRT sú v zmysle smernice NIS 2 povinné spĺňať vysokú odbornosť a a vysokú úroveň dostupnosti komunikačných kanálov, byť vybavené odborným personálom, byť vybavené vhodnými systémami riadenia, a podobne.

Jednotky CSIRT (i) monitorujú a analyzujú kybernetické hrozby, zraniteľnosti a incidenty na vnútroštátnej úrovni a na požiadanie poskytujú pomoc dotknutým kľúčovým a dôležitým subjektom s ohľadom na monitorovanie ich sietí a informačných systémov v reálnom alebo takmer v reálnom čase, (ii) zasielajú včasné varovania, výstrahy a oznámenia a šíria informácie o kybernetických hrozbách, zraniteľnostiach a incidentoch dotknutým kľúčovým a dôležitým subjektom, ako aj príslušným orgánom a ďalším relevantným zainteresovaným stranám pokiaľ možno takmer v reálnom čase, (iii) podľa potreby reagujú na incidenty a poskytujú pomoc dotknutým kľúčovým a dôležitým subjektom, (iv) zhromažďujú a analyzujú forenzné údaje a poskytujú dynamickú analýzu rizík a incidentov a informácie o situácii v kybernetickej bezpečnosti,  (v) na žiadosť kľúčového alebo dôležitého subjektu umožňujú aktívne skenovanie siete a informačných systémov dotknutého subjektu s cieľom odhaľovať zraniteľnosti s potenciálnym významným dosahom, (vi) majú účasť v sieti jednotiek CSIRT a poskytujú vzájomnú pomoci podľa svojich kapacít a kompetencií ostatným členom siete jednotiek CSIRT na ich žiadosť, (vii) v prípade potreby pôsobia ako koordinátor na účely koordinovaného zverejňovania zraniteľností, (viii) prispievajú k zavádzaniu bezpečných nástrojov na výmenu informácií.

Jednotky CSIRT môžu vykonávať aktívne nerušivé skenovanie verejne prístupných sietí a informačných systémov kľúčových a dôležitých subjektov. Takéto skenovanie sa vykonáva s cieľom odhaliť zraniteľné alebo nezabezpečene nakonfigurované siete a informačné systémy a informovať dotknuté subjekty. Takéto skenovanie nesmie mať negatívny vplyv na fungovanie služieb subjektov.

Na účely koordinovaného zverejňovania zraniteľností určí každý členský štát jednu zo svojich jednotiek CSIRT za koordinátora. Jednotka CSIRT určená za koordinátora koná ako dôveryhodný sprostredkovateľ, ktorý v prípade potreby sprostredkuje interakciu medzi fyzickou alebo právnickou osobou, ktorá na žiadosť niektorej zo strán oznamuje zraniteľnosť a výrobcom alebo poskytovateľom potenciálne zraniteľných produktov informačných a komunikačných technológií (ďalej len „IKT“) alebo služieb IKT.

K úlohám jednotky CSIRT určenej za koordinátora patrí (i) identifikácia a kontaktovanie dotknutých subjektov, (ii) pomoc fyzickým alebo právnickým osobám oznamujúcim zraniteľnosti a (iii) vyjednávanie harmonogramu zverejňovania a riadenie zraniteľností, ktoré majú dosah na viaceré subjekty.

Smernica NIS 2 určila, že každý štát EÚ má zabezpečiť, aby fyzické alebo právnické osoby mohli na požiadanie nahlásiť zraniteľnosť jednotke CSIRT určenej za koordinátora, a to anonymne. Jednotka CSIRT určená za koordinátora zabezpečí v súvislosti s oznámenou zraniteľnosťou vykonanie dôsledných následných opatrení a zabezpečí anonymitu fyzickej alebo právnickej osoby, ktorá túto zraniteľnosť oznámila. Ak by oznámená zraniteľnosť mohla by mať významný vplyv na subjekty vo viac ako jednom členskom štáte, jednotka CSIRT každého dotknutého členského štátu určená za koordinátora v prípade potreby spolupracuje s inými jednotkami CSIRT určenými za koordinátorov v rámci siete jednotiek CSIRT.

Samozrejme, smernica NIS 2 stanovuje spoluprácu jednotlivých členských štátov a jednotiek CSIRT na základe skupín pre spoluprácu.

Jednoducho povedané, celospoločenská kybernetická bezpečnosť je komplexne zastrešená na vnútroštátnej a úniovej úrovni na základe spolupráce a výmeny informácií a siete jednotlivých jednotiek CSIRT každého členského štátu.

9. SIEŤ EU-CyCLONe

Smernica NIS 2 určila, že takzvaná sieť EU-CyCLONe sa zriaďuje s cieľom podporiť koordinované riadenie rozsiahlych kybernetických incidentov a kríz na operačnej úrovni a zabezpečiť pravidelnú výmenu relevantných informácií medzi členskými štátmi a inštitúciami, orgánmi, úradmi a agentúrami Únie.

Sieť EU-CyCLONe tvoria zástupcovia orgánov členských štátov pre riadenie kybernetických kríz a v prípadoch, keď potenciálny alebo prebiehajúci rozsiahly kybernetický incident má alebo pravdepodobne bude mať významný vplyv na služby a činnosti patriace do rozsahu pôsobnosti tejto smernice, aj zástupcovia Komisie. Vo všetkých ostatných prípadoch sa Komisia zúčastňuje na činnostiach siete EU-CyCLONe ako pozorovateľ.

Sieť EU-CyCLONe (i) zvyšuje úroveň pripravenosti na riadenie rozsiahlych kybernetických incidentov a kríz, (ii) rozvíja spoločné situačné povedomie o rozsiahlych kybernetických incidentoch a krízach, (iii) posudzuje dôsledky a vplyv relevantných rozsiahlych kybernetických incidentov a kríz a navrhuje možné zmierňujúce opatrenia, (iv) koordinuje riadenie rozsiahlych kybernetických incidentov a kríz a podporuje rozhodovanie na politickej úrovni v súvislosti s takýmito incidentmi a krízami, (v) na žiadosť príslušného členského štátu prediskutuje národné plány reakcie na rozsiahle kybernetické incidenty a krízy.

Táto sieť samozrejme spolupracuje s národnými jednotkami CSIRT.

10. SANKCIE

Smernica NIS 2 určuje, že členské štáty stanovia pravidlá, pokiaľ ide o sankcie uplatniteľné pri porušení vnútroštátnych opatrení prijatých podľa tejto smernice, a prijmú všetky opatrenia potrebné na zabezpečenie ich uplatňovania. Stanovené sankcie musia byť účinné, primerané a odrádzajúce.

Sankcie sú upravené v novelizovanom zákone o kybernetickej bezpečnosti.

Sankcie sú stanovené na skutočne vysokej úrovni, a to od 300 EUR až do 10.000.000 EUR, resp. až do výšky 2 percent z celkového celosvetového ročného obratu firmy, ktorá je subjektom kritickej infraštruktúry, a to v závislosti od charakteru a závažnosti porušenia zákona o kybernetickej bezpečnosti.

Zákon určuje veľmi podrobný rozsah porušenia povinností subjektu kritickej infraštruktúry, uvedieme porušenia azda tých najdôležitejších povinností, napríklad porušenie (i) povinnosti prijať bezpečnostnú dokumentáciu, (ii) povinnosti nahlásiť závažný kybernetický incident, (iii) povinnosti zasielať automatizovaným spôsobom určené systémové informácie, (iv) povinnosti riešiť kybernetický bezpečnostný incident,  a ďalšie.

11. DÔLEŽITÉ LEHOTY

Do registra prevádzkovateľov základnej služby sú subjekty kritickej infraštruktúry, ústredné orgány štátnej správy a vybrané subjekty určené ust. § 17 ods. 1 zákona o kybernetickej bezpečnosti, teda subjekty, ktoré uvádzame v tomto článku vyššie, povinné sa zaregistrovať do 60 dní odo dňa začatia vykonávania činnosti v kritických sektoroch. Tie subjekty, ktoré už činnosť vykonávajú, mali povinnosť registrácie do 2. marca 2025

Prevádzkovateľ základnej služby je povinný do 12 mesiacov odo dňa zápisu do registra prevádzkovateľov základnej služby v závislosti od vykonanej analýzy rizík prijať, dodržiavať a vykonávať všeobecné bezpečnostné opatrenia a vykonávať ich s cieľom zabezpečovania kybernetickej bezpečnosti a odolnosti. 

Čiže bezpečnostné opatrenia je povinné prijať do marca 2026.

Prevádzkovateľ základnej služby je povinný preveriť účinnosť prijatých bezpečnostných opatrení a plnenie požiadaviek ustanovených zákonom o kybernetickej bezpečnosti vykonaním auditu kybernetickej bezpečnosti do dvoch rokov odo dňa zaradenia prevádzkovateľa základnej služby do registra prevádzkovateľov základnej služby, potom každé 2 roky alebo pri významnej zmene.

Čiže prvý audit je povinné zrealizovať do marca 2027.

Zopakujeme tiež dôležité lehoty v rámci procesu hlásenia závažných kybernetických bezpečnostných incidentov, a to nahlásiť taký incident bez zbytočného odkladu, avšak (i) najneskôr do 24 hodín od jeho zistenia sa hlási včasné varovanie, v ktorom sa uvádza, či incident mohol byť spôsobený protiprávnym konaním, alebo či môže mať cezhraničný vplyv (ak ide o poskytovateľa dôveryhodných služieb, uvádza sa aj vplyv na poskytovanie týchto služieb), (ii) najneskôr do 72 hodín od jeho zistenia sa hlási oznámenie o závažnom kybernetickom bezpečnostnom incidente, v ktorom sa aktualizujú a dopĺňajú informácie z včasného varovania (prvé posúdenie incidentu, jeho závažnosti a následkov (v prípade poskytovateľa dôveryhodných služieb najneskôr do 24 hodín).

Rozsah a dopad nariadenia NIS 2 a zákona o kybernetickej bezpečnosti, do ktorého SR transponovala uvedenú smernicu, je značný. V prípade nejasností alebo konzultácie, nás neváhajte kontaktovať.

Publikované dňa 04.09.2025.

Kontaktný formulár

Sme pripravení naplniť Vaše práva.
Kontaktujte nás!

Zadajte vašu e-mailovú adresu.
Zadajte vaše telefónne čislo.
Napíšte nám správu.
Súhlaste so spracovaním osobných údajov.

Správa sa odosiela ....