Dokumentácia pre súlad s kybernetickou legislatívou
Aká je potrebná na Slovensku
Ak vaša firma spadá pod zákon o kybernetickej bezpečnosti, čaká ju povinnosť viesť konkrétny súbor dokumentov — od bezpečnostnej politiky až po záznamy z auditu. V tomto článku si prejdeme, kto sa vlastne musí riadiť, akú dokumentáciu presne zákon a jeho vykonávacie vyhlášky vyžadujú, ako funguje hlásenie incidentov a audit, čím sa táto povinnosť líši od GDPR, a ako by mala firma začínajúca od nuly postupovať krok za krokom.
Legislatíva v tejto oblasti sa v poslednom období menila viackrát a naďalej sa vyvíja — tento článok vychádza zo znenia platného k dátumu publikovania. Konkrétne zaradenie vašej firmy a jej presné povinnosti odporúčame vždy overiť aktuálnym znením priamo na stránke Národného bezpečnostného úradu (nbu.gov.sk) alebo s právnym či compliance špecialistom.
Koho sa zákon o kybernetickej bezpečnosti týka
Základným predpisom je zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, v znení neskorších noviel. Firma, na ktorú sa vzťahujú jeho povinnosti, sa označuje ako prevádzkovateľ základnej služby (PZS) — teda subjekt zapísaný v registri prevádzkovateľov základnej služby, ktorý vedie Národný bezpečnostný úrad (NBÚ).
Do registra sa firma zaraďuje na základe kombinácie sektora, v ktorom pôsobí, a veľkostných či dopadových kritérií (počet dotknutých osôb, výška spôsobenej škody, dôležitosť poskytovanej služby). Medzi regulované sektory patrí okrem iného:
- Energetika — elektrina, plyn, teplo, ropa
- Doprava — letecká, železničná, vodná, cestná
- Bankovníctvo a finančná infraštruktúra
- Zdravotníctvo
- Zásobovanie pitnou vodou a odpadové vody
- Digitálna infraštruktúra a poskytovatelia IT/cloudových služieb
- Verejná správa
- Poštové a kuriérske služby, výroba, potravinárstvo a ďalšie odvetvia, ktoré do rozsahu zákona pribudli s rozšírením pôvodného zoznamu
Orientačne ide o stredné a väčšie firmy v týchto sektoroch — menšie spoločnosti sú spravidla mimo priameho rozsahu, pokiaľ nevykonávajú činnosť kritického významu bez ohľadu na veľkosť.
Aká dokumentácia je povinná
Konkrétny rozsah bezpečnostných opatrení a im zodpovedajúcej dokumentácie určuje vykonávacia vyhláška NBÚ o bezpečnostných opatreniach. Základný prehľad:
| Dokument | Právny základ | Čo obsahuje |
|---|---|---|
| Bezpečnostná politika | Vyhláška o bezp. opatreniach | Záväzný dokument schválený vedením — ciele a pravidlá riadenia informačnej bezpečnosti |
| Analýza rizík | Vyhláška o bezp. opatreniach | Identifikácia aktív, hrozieb a zraniteľností, vyhodnotenie rizika, zdôvodnenie prijatých aj neprijatých opatrení; aktualizuje sa minimálne raz ročne |
| Register aktív | Vyhláška o bezp. opatreniach | Zoznam primárnych a podporných aktív vrátane určenia zodpovednej osoby (vlastníka aktíva) |
| Klasifikácia informácií | Vyhláška o bezp. opatreniach | Zaradenie informácií podľa dôvernosti, integrity a dostupnosti |
| Kategorizácia systémov | Vyhláška o bezp. opatreniach | Zaradenie systémov podľa dôležitosti pre prevádzku |
| Zmluvy s dodávateľmi | Vyhláška o bezp. opatreniach | Bezpečnostné požiadavky na tretie strany zakotvené priamo v zmluvách |
| Plán kontinuity činností (BCP/BIA) | Zákon č. 69/2018 Z. z. | Postup obnovy kritických procesov po výpadku alebo incidente |
| Riadenie a evidencia incidentov | Zákon + vyhláška o hlásení | Interný postup zachytávania, riešenia a evidencie bezpečnostných incidentov |
| Záznamy z auditu / sebahodnotenia | Vyhláška o audite | Vyhodnotenie súladu s prijatými opatreniami (vyhovuje / čiastočne vyhovuje / nevyhovuje) |
Hlásenie bezpečnostných incidentov
Závažný bezpečnostný incident sa hlási NBÚ v troch fázach s narastajúcou mierou detailu, prostredníctvom jednotného informačného systému kybernetickej bezpečnosti (JISKB):
Nie každý incident je nutné hlásiť — vyhláška stanovuje konkrétne prahové hodnoty závažnosti (napríklad dĺžka výpadku služby, počet dotknutých osôb alebo výška spôsobenej škody). Tieto kritériá je vhodné mať zdokumentované aj interne, ako súčasť postupu klasifikácie incidentov, aby v prípade skutočnej udalosti nebolo potrebné rozhodovať o povinnosti hlásenia pod časovým tlakom.
Audit kybernetickej bezpečnosti
Prevádzkovateľ základnej služby si po zavedení bezpečnostných opatrení musí overiť, či ich napĺňa v praxi. Prvým krokom je spravidla sebahodnotenie súladu; v stanovených prípadoch alebo intervaloch nasleduje certifikovaný audit vykonaný nezávislým audítorom kybernetickej bezpečnosti podľa metodiky NBÚ.
- Sebahodnotenie — vlastné vyhodnotenie súladu s požadovanými opatreniami, so záverom vyhovuje / čiastočne vyhovuje / nevyhovuje.
- Certifikovaný audit — vykonáva ho audítor s príslušným oprávnením; výsledkom je audítorská správa, ktorú si NBÚ môže vyžiadať.
- Periodicita — audit sa opakuje v intervale stanovenom vykonávacou vyhláškou o audite; pri významnej zmene systému alebo po závažnom incidente môže byť vyžiadaný mimoriadne.
GDPR: samostatná povinnosť popri kybernetickej bezpečnosti
Ochranu osobných údajov upravuje úplne iný predpis — nariadenie GDPR spolu so zákonom č. 18/2018 Z. z. o ochrane osobných údajov — a dohliada naň iný úrad, Úrad na ochranu osobných údajov SR, nie NBÚ. V praxi sa tieto dve agendy často riešia spolu, pretože časť opatrení (riadenie prístupov, evidencia incidentov, zmluvy s dodávateľmi) sa prekrýva, no právne ide o samostatné povinnosti s vlastnými dokumentmi:
- Záznamy o spracovateľských činnostiach — vedie ich prevádzkovateľ aj sprostredkovateľ osobných údajov.
- Posúdenie vplyvu na ochranu osobných údajov (DPIA) — vyžaduje sa pri spracúvaní s pravdepodobným vysokým rizikom pre dotknuté osoby.
- Zmluvy so sprostredkovateľmi — upravujú podmienky spracúvania osobných údajov treťou stranou.
- Záznamy o súhlasoch — tam, kde je právnym základom spracúvania súhlas dotknutej osoby.
- Zodpovedná osoba (DPO) — jej menovanie je povinné len v zákonom vymedzených prípadoch (napr. orgány verejnej moci alebo rozsiahle systematické spracúvanie).
Praktický postup: ako začať od nuly
- Samoidentifikácia — overte, či sektor a veľkosť firmy napĺňajú kritériá zákona.
- Registrácia na NBÚ — ak áno, zaregistrujte sa v stanovenej lehote od začatia regulovanej činnosti.
- Menovanie manažéra kybernetickej bezpečnosti — nezávislého od prevádzky IT, s priamym reportovaním vedeniu.
- Gap analýza — porovnajte súčasný stav so znením platnej vyhlášky o bezpečnostných opatreniach.
- Formálna analýza rizík — identifikujte aktíva, hrozby a zraniteľnosti a vyhodnoťte riziko.
- Zostavenie dokumentácie — bezpečnostná politika, register aktív, klasifikácia informácií, plán kontinuity, postup riešenia incidentov.
- Implementácia opatrení — podľa priority rizika (napr. MFA na privilegované účty, segmentácia siete, zálohovanie).
- Školenie zamestnancov — s evidenciou účasti a obsahu školenia.
- Nastavenie hlásenia incidentov — interný proces naviazaný na lehoty 24h/72h/30 dní a JISKB.
- Príprava na audit — najprv sebahodnotenie, následne certifikovaný audit v stanovenom intervale.
Sankcie za nesúlad
Nesplnenie povinností podľa zákona o kybernetickej bezpečnosti môže viesť k sankciám zo strany NBÚ — ich výška sa odvíja od závažnosti porušenia a veľkosti prevádzkovateľa, s vyššími sadzbami pre porušenia týkajúce sa kritickejších služieb. Sankciám podlieha napríklad aj samotné opomenutie registrácie. Presné sadzby stanovuje aktuálne znenie zákona — pred akýmkoľvek rozhodovaním na ich základe odporúčame overiť si ich priamo v zákone alebo s právnikom.
Prípravu a udržiavanie súladu s touto legislatívou aj s uznávanými normami ako ISO 27001 rieši pre svojich klientov aj Verison.