Legislatíva kybernetickej bezpečnosti na Slovensku
Zákony, vyhlášky a nariadenia EÚ
Kybernetickú bezpečnosť na Slovensku neupravuje jeden zákon, ale celá sústava predpisov na viacerých úrovniach: samotný zákon o kybernetickej bezpečnosti, jeho vykonávacie vyhlášky, súvisiace slovenské zákony z príbuzných oblastí a napokon aj nariadenia Európskej únie, ktoré platia priamo bez toho, aby ich Slovensko muselo prevziať vlastným zákonom. Tento článok ich prehľadne zoraďuje — kto čo vydáva, čo upravuje a v akom je aktuálne stave. Konkrétnu povinnú dokumentáciu, ktorá z týchto predpisov vyplýva, sme podrobne rozobrali v článku o dokumentácii pre súlad s legislatívou.
Prečo popri zákone existujú aj vyhlášky
Zákon schvaľuje Národná rada SR a stanovuje základný rámec — komu sa vzťahujú povinnosti, kto nad nimi dohliada a aké sú sankcie. Konkrétny, technicky podrobný obsah týchto povinností (napríklad presný zoznam bezpečnostných opatrení alebo lehoty hlásenia incidentov) by bolo nepraktické meniť zakaždým cez celý legislatívny proces v parlamente — preto ho zákon zveruje vykonávacím vyhláškam, ktoré vydáva priamo Národný bezpečnostný úrad (NBÚ) a ktoré sa menia podstatne častejšie ako samotný zákon. Presne to sa v praxi aj deje: základný zákon je z roku 2018, no jeho vykonávacie vyhlášky boli od tej doby už niekoľkokrát nahradené novými verziami.
Zákon o kybernetickej bezpečnosti a jeho vykonávacie vyhlášky
Jadrom celej sústavy je jeden zákon a tri vykonávacie vyhlášky NBÚ, ktoré k nemu prislúchajú:
| Predpis | Číslo | Čo upravuje |
|---|---|---|
| Zákon o kybernetickej bezpečnosti | 69/2018 Z. z. (v znení novely 366/2024 Z. z.) | Základný rámec, register kľúčových a dôležitých subjektov, právomoci a sankcie NBÚ |
| Vyhláška o bezpečnostných opatreniach | 227/2025 Z. z. | Konkrétny obsah bezpečnostných opatrení pre siete, informačné systémy aj OT, štruktúra dokumentácie |
| Vyhláška o hlásení incidentov | 226/2025 Z. z. | Kritériá závažnosti a lehoty hlásenia (24 h / 72 h / 30 dní) |
| Vyhláška o audite kybernetickej bezpečnosti | 493/2022 Z. z. (novelizovaná vyhláškou 212/2026 Z. z.) | Rozsah, metodika a periodicita auditu — od septembra 2026 výslovne aj pre OT |
Novela zákona č. 366/2024 Z. z. je slovenskou transpozíciou európskej smernice NIS2 (EÚ 2022/2555) — nahradila pôvodné rozlíšenie „prevádzkovateľ základnej služby / poskytovateľ digitálnej služby" novým delením na kľúčové subjekty (prevádzkujúce najkritickejšie služby) a dôležité subjekty (ostatné regulované subjekty), na základe taxatívneho výpočtu priamo v zákone namiesto pôvodných kombinovaných kritérií. Konkrétne dokumenty, ktoré z týchto vyhlášok vyplývajú, rozoberáme podrobne v samostatnom článku.
Súvisiace slovenské zákony mimo samotnej kybernetickej bezpečnosti
Popri jadre zákona o kybernetickej bezpečnosti sa firmy bežne stretávajú aj s ďalšími slovenskými zákonmi, ktoré s ňou súvisia, no majú vlastný právny základ, vlastný dohľadový úrad alebo vlastnú agendu:
- Zákon č. 45/2011 Z. z. o kritickej infraštruktúre — identifikácia a ochrana najkritickejších prvkov infraštruktúry štátu naprieč viacerými sektormi, prierezovo previazaná s reguláciou kybernetickej bezpečnosti.
- Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe (ITVS) — osobitné pravidlá, štandardy a vlastný audit pre informačné systémy orgánov verejnej správy, popri všeobecnej úprave zákona o kybernetickej bezpečnosti.
- Zákon č. 18/2018 Z. z. o ochrane osobných údajov (spolu s nariadením GDPR) — samostatná agenda ochrany osobných údajov s vlastným dohľadovým úradom (Úrad na ochranu osobných údajov SR, nie NBÚ); podrobnejšie v článku o dokumentácii.
- Zákon č. 452/2021 Z. z. o elektronických komunikáciách — bezpečnostné povinnosti pre poskytovateľov sietí a služieb elektronických komunikácií, dohľad Úradu pre reguláciu elektronických komunikácií a poštových služieb.
- Zákon č. 272/2016 Z. z. o dôveryhodných službách — slovenská vykonávacia úprava k nariadeniu eIDAS (elektronický podpis, pečať, časová pečiatka, ďalšie dôveryhodné služby).
- Trestný zákon č. 300/2005 Z. z. — § 247 a nasledujúce upravujú trestnoprávnu zodpovednosť za neoprávnený prístup k počítačovému systému a poškodenie či zneužitie záznamu na nosiči informácií; ide o osobnú trestnoprávnu rovinu popri administratívnoprávnej zodpovednosti firmy podľa zákona o kybernetickej bezpečnosti.
Nariadenia EÚ, ktoré platia priamo — bez slovenského zákona
Európska únia reguluje kybernetickú bezpečnosť dvoma odlišnými typmi právnych aktov, ktoré sa firmám oplatí rozlišovať. Smernica (napríklad NIS2) zaväzuje členský štát dosiahnuť určitý výsledok, no vyžaduje si transpozíciu do vnútroštátneho zákona — presne to sa stalo pri NIS2, ktorá sa do slovenského práva premietla ako novela 366/2024 Z. z. Naproti tomu nariadenie platí priamo vo všetkých členských štátoch odo dňa účinnosti, bez potreby akéhokoľvek slovenského zákona. Medzi priamo účinné nariadenia s významom pre kybernetickú bezpečnosť patria najmä:
- GDPR — nariadenie (EÚ) 2016/679 — platí priamo, slovenský zákon č. 18/2018 Z. z. ho len dopĺňa v otázkach, ktoré GDPR ponecháva na úpravu členským štátom.
- DORA — nariadenie (EÚ) 2022/2554 — digitálna prevádzková odolnosť finančného sektora (banky, poisťovne, obchodníci s cennými papiermi aj ich kľúčoví IT dodávatelia); účinné od 17. januára 2025, dohľad na Slovensku vykonáva Národná banka Slovenska.
- Cyber Resilience Act (CRA) — nariadenie (EÚ) 2024/2847 — bezpečnostné požiadavky na produkty s digitálnymi prvkami (hardvér aj softvér) uvádzané na trh EÚ; podrobnejšie v nasledujúcej kapitole, keďže jeho jednotlivé povinnosti nabiehajú postupne.
Aktuálny stav a nadchádzajúce zmeny
Táto oblasť sa v poslednom období mení nezvyčajne rýchlo. Prehľad kľúčových dátumov (stav k septembru 2026):
| Dátum | Udalosť |
|---|---|
| 1. januára 2025 | Účinnosť novely 366/2024 Z. z. — transpozícia smernice NIS2 do zákona o kybernetickej bezpečnosti |
| 17. januára 2025 | Účinnosť nariadenia DORA pre finančný sektor |
| 1. septembra 2025 | Účinnosť nových vykonávacích vyhlášok 226/2025 (hlásenie incidentov) a 227/2025 (bezpečnostné opatrenia) |
| 1. septembra 2026 | Účinnosť novely vyhlášky o audite (212/2026) — audit rozšírený výslovne aj na prevádzkové technológie (OT) |
| 11. septembra 2026 | Účinnosť povinnosti hlásiť zraniteľnosti a vážne incidenty podľa Cyber Resilience Act |
| 11. decembra 2027 | Hlavné požiadavky Cyber Resilience Act — povinné CE označenie produktov s digitálnymi prvkami |
Ako vidno, viacero zásadných zmien nadobudlo účinnosť len v priebehu posledných dvanástich mesiacov — oplatí sa preto pravidelne overovať, či firma pracuje s aktuálne platným znením, nie so stavom spred roka či dvoch.
Časté chyby a odporúčania
- Zamieňanie smernice s priamo účinným predpisom — NIS2 je smernica, ktorá sama osebe firmu nezaväzuje; záväzná je až jej slovenská transpozícia (novela 366/2024 Z. z.).
- Prehliadanie nariadení EÚ mimo slovenského zákona — DORA aj Cyber Resilience Act platia priamo bez ohľadu na to, či je firma zapísaná v registri podľa slovenského zákona o kybernetickej bezpečnosti.
- Práca so starým znením vykonávacích vyhlášok — vyhlášky o bezpečnostných opatreniach a o hlásení incidentov boli kompletne nahradené v roku 2025, vyhláška o audite novelizovaná v roku 2026.
- Zamieňanie kybernetickej bezpečnosti s ochranou osobných údajov — ide o odlišné zákony s odlišným dohľadovým úradom; prelínajú sa v praxi, no právne ide o samostatné povinnosti (podrobnejšie v článku o dokumentácii). Osobitne časté je aj zamieňanie bežného bezpečnostného incidentu s porušením ochrany osobných údajov podľa GDPR — rozdielu medzi nimi sa venujeme v samostatnom článku.