NIS2 a zákon o kybernetickej bezpečnosti: týka sa to aj vašej firmy?

NIS2 je európska smernica o kybernetickej bezpečnosti, ktorú Slovensko zapracovalo do zákona o kybernetickej bezpečnosti č. 69/2018 Z. z. novelou účinnou od 1. januára 2025. Priamo sa týka najmä stredných a väčších firiem vo vybraných sektoroch, napríklad v energetike, doprave, zdravotníctve, výrobe či digitálnych službách. Malá firma s 10 až 50 zamestnancami väčšinou priamo regulovaná nie je, no ak dodáva služby regulovanej firme, požiadavky NIS2 sa k nej dostanú cez zmluvu.

Čo je NIS2 a ako súvisí so slovenským zákonom?

NIS2 (Network and Information Security 2) je smernica EÚ, ktorá nahradila pôvodnú smernicu NIS z roku 2016. Jej cieľom je zjednotiť a sprísniť pravidlá ochrany sietí a informačných systémov v celej Únii.

Smernica sa neuplatňuje priamo. Každý štát ju musel zapracovať do vlastného práva. Na Slovensku sa to stalo novelou existujúceho zákona o kybernetickej bezpečnosti, ktorá platí od 1. 1. 2025. Dohľad vykonáva Národný bezpečnostný úrad (NBÚ).

Najväčšia zmena oproti minulosti: počet regulovaných subjektov sa výrazne rozšíril. Firmy, ktoré o zákone doteraz nepočuli, sa môžu zrazu ocitnúť medzi povinnými osobami.

Koho sa týka zákon o kybernetickej bezpečnosti po novele NIS2?

Regulovaná firma sa v zákone nazýva prevádzkovateľ základnej služby. O tom, či ním je, rozhodujú tri kritériá:

• Sektor — činnosť musí patriť do sektorov v prílohách č. 1 a 2 zákona. Patrí sem napríklad energetika, doprava, bankovníctvo, zdravotníctvo, vodárenstvo, digitálna infraštruktúra, správa IKT služieb, poštové a kuriérske služby, potravinárstvo, výroba zdravotníckych pomôcok či online trhy.
• Veľkosť — zákon cieli na stredné a väčšie podniky podľa definície EÚ, teda orientačne od 50 zamestnancov alebo s ročným obratom a bilanciou nad 10 miliónov eur.
• Výnimky bez ohľadu na veľkosť — niektoré subjekty sú regulované aj ako malé firmy. Ide napríklad o poskytovateľov DNS, dôveryhodných služieb, verejných elektronických komunikácií, jediného poskytovateľa kľúčovej služby na Slovensku alebo o tretiu stranu s významným vplyvom na bezpečnosť prevádzkovateľa kritickej základnej služby.

Samotné pôsobenie v sektore nestačí. Rozhoduje konkrétna činnosť. Firma si to musí posúdiť sama — NBÚ na to zverejnil indikatívnu pomôcku na stránke nis2.nbu.gov.sk.

Týka sa NIS2 aj malej firmy, ktorá je dodávateľom?

Áno, nepriamo. Toto je bod, ktorý väčšina majiteľov malých firiem v Bratislave a Senci prehliada. Novela kladie dôraz na bezpečnosť dodávateľského reťazca.

Regulovaná firma musí s dodávateľom, ktorý ovplyvňuje dostupnosť, dôvernosť alebo integritu jej systémov, uzavrieť zmluvu o plnení bezpečnostných opatrení a notifikačných povinností. Dodávateľ sa potom musí podrobiť kontrole zo strany odberateľa.

V praxi to znamená, že ak vaša firma dodáva softvér, IT služby, údržbu technológií alebo spracúva dáta pre nemocnicu, energetickú spoločnosť či väčšieho výrobcu, môžete dostať dotazník o kybernetickej bezpečnosti alebo nový dodatok k zmluve. Bez preukázateľných opatrení riskujete stratu zákazky.

Porovnanie: čo musí riešiť ktorá firma

Aké povinnosti a lehoty má regulovaná firma?

Ak firma zistí, že spĺňa kritériá, platia pre ňu tieto hlavné lehoty:

1. Registrácia — oznámenie NBÚ do 60 dní od začatia relevantnej činnosti. Firmy, ktoré činnosť vykonávali už pred novelou, mali termín do 2. 3. 2025.
2. Bezpečnostné opatrenia — prijať a dodržiavať ich do 12 mesiacov od zápisu do registra. Vychádzajú z analýzy rizík, teda posúdenia, aké hrozby firmu reálne ohrozujú a s akými následkami.
3. Audit kybernetickej bezpečnosti — do 2 rokov od zápisu a potom každé 2 roky alebo pri významnej zmene. Vykonáva ho certifikovaný audítor. Firmy, ktoré neprevádzkujú kritickú základnú službu, môžu namiesto auditu využiť samohodnotenie.
4. Hlásenie závažného incidentu — včasné varovanie do 24 hodín od zistenia a podrobnejšie oznámenie do 72 hodín, cez jednotný informačný systém NBÚ.

Súčasťou opatrení je aj minimálna kybernetická hygiena: aktualizácie softvéru a hardvéru, správa hesiel, obmedzenie administrátorských účtov, zálohovanie a vzdelávanie zamestnancov. Práve tieto kroky by mala mať zvládnuté každá firma — viac sme o nich písali v článku Ako zabezpečiť firemnú sieť pred kybernetickými útokmi a v návode na zálohovanie podľa pravidla 3-2-1.

Aké pokuty hrozia za nesplnenie NIS2?

Sankcie upravuje § 31 zákona o kybernetickej bezpečnosti a ukladá ich NBÚ:

• 300 € až 500 000 € — napríklad za neoznámenie činnosti, neoznámenie zmeny údajov v registri alebo neaktuálnu bezpečnostnú dokumentáciu.
• Až 7 miliónov € alebo 1,4 % celosvetového ročného obratu — napríklad za nenahlásenie závažného kybernetického incidentu alebo nevykonanie reaktívneho opatrenia.

Okrem pokút je tu aj praktické riziko. Firma, ktorá nevie preukázať svoju bezpečnosť, prichádza o zákazky u regulovaných odberateľov a vo verejných obstarávaniach.

Ako zistiť, či sa vás NIS2 týka — postup v 5 krokoch

1. Overte, či vaša hlavná činnosť patrí do sektorov v prílohách č. 1 a 2 zákona.
2. Porovnajte počet zamestnancov, obrat a bilanciu s limitmi pre stredný podnik.
3. Skontrolujte, či nepatríte medzi subjekty regulované bez ohľadu na veľkosť.
4. Zmapujte odberateľov — dodávate služby nemocnici, energetike, doprave alebo väčšej výrobnej firme?
5. Ak si nie ste istí, použite pomôcku NBÚ alebo si nechajte spraviť IT audit, ktorý ukáže skutočný stav vašej infraštruktúry.

Časté otázky

Článok slúži ako informačný prehľad, nie ako právne poradenstvo. Pri hraničných prípadoch odporúčame obrátiť sa priamo na NBÚ alebo právnika.