Áno, 24 hodín. Toľko máte na prvé hlásenie kybernetického bezpečnostného incidentu od chvíle, čo ho zistíte. Znie to ako dosť času. Nie je – pokiaľ v ten deň ešte len riešite, kto smie rozhodnúť, že ide o nahlasovaný incident, a kam to vôbec poslať.
Lehota na hlásenie incidentu NBÚ sa nedá stihnúť improvizáciou v deň, keď sa niečo stane. Dá sa stihnúť len podľa postupu, ktorý máte hotový vopred – s menami, telefónnymi číslami a schválením, ešte predtým, než je čo hlásiť.
Koho sa to týka
Povinnosť platí pre firmy regulované zákonom o kybernetickej bezpečnosti (zákon č. 366/2024 Z. z., účinný od 1. januára 2025, ktorý do slovenského práva prenáša európsku smernicu NIS2). Ide o firmy v 16 regulovaných sektoroch s 50 a viac zamestnancami alebo obratom nad 10 miliónov eur. Ak si nie ste istí, či medzi ne patríte, základné kritériá nájdete tu – tento článok rieši už len to, čo nastane, keď incident príde. Zákon delí regulované firmy na dve kategórie, dôležité a kľúčové subjekty, a od toho sa odvíja aj výška pokuty, o ktorej je reč nižšie.
Pre tieto firmy platí od 1. septembra 2025 vyhláška NBÚ č. 226/2025, ktorá presne stanovuje, ako a dokedy sa incident hlási.
Tri fázy hlásenia incidentu NBÚ
Hlásenie nie je jeden formulár odoslaný raz. Sú to tri postupné kroky cez portál JISKB, každý s inou lehotou a iným účelom. Dôvod tohto rozdelenia je jednoduchý: NBÚ potrebuje najprv rýchlosť, až potom presnosť. Radšej dostane neúplné hlásenie o pár hodín skôr, než podrobné o dva dni neskôr.
| Fáza | Lehota | Čo sa hlási |
|---|---|---|
| Včasné varovanie | do 24 hodín od zistenia | predbežné posúdenie, že sa niečo stalo |
| Oznámenie incidentu | do 72 hodín od zistenia | povaha, závažnosť, dopad, prijaté opatrenia |
| Záverečná správa | do 1 mesiaca od vyriešenia | príčiny a nápravné opatrenia |
Prvá fáza nevyžaduje istotu. Nepotrebujete vedieť, kto útok spôsobil ani aký je jeho rozsah. Stačí predbežné posúdenie, že podľa dostupných príznakov ide o udalosť, ktorá napĺňa definíciu závažného incidentu. Podrobnosti – priebeh, dopad, prijaté opatrenia – patria až do druhej fázy s lehotou 72 hodín.
Tretia fáza sa neráta od zistenia, ale od vyriešenia. Ak incident trvá tri týždne, hodiny na záverečnú správu začnú bežať až vtedy, keď je skutočne uzavretý.
Prvý problém nie je lehota, je rozhodnutie
Vyhláška 226/2025 zároveň stanovuje identifikačné kritériá – podmienky, za akých udalosť dosahuje hranicu závažného incidentu, ktorý sa musí hlásiť. Nie každý bezpečnostný problém túto hranicu prekročí.
To znamená, že prvá vec, ktorú niekto vo firme musí urobiť, nie je vyplniť formulár. Je to posúdiť, či vôbec ide o prípad, ktorý sa hlási. A práve toto posúdenie je najčastejšie miesto, kde sa 24-hodinová lehota stráca – nie preto, že by bola krátka, ale preto, že v momente incidentu nie je jasné, kto má právomoc také posúdenie urobiť a podpísať sa pod neho.
Kde sa lehota najčastejšie stratí
V pracovný deň o desiatej dopoludnia to vie každý – IT vedúci zavolá nadriadenému, ten to potvrdí, niekto sadne k portálu JISKB. Problém je, že incidenty si pracovný čas nevyberajú.
Bežný scenár: incident sa stane v piatok večer alebo cez víkend a vo firme nie je jasné, kto má právomoc rozhodnúť a nahlásiť bez toho, aby sa čakalo na pondelok. Kým sa v pondelok ráno nájde zhoda, je lehota dávno preč – a firma si to nezriedka uvedomí až vtedy, keď sa jej NBÚ spýta, prečo hlásenie neprišlo.
Modelová situácia: piatok, 18:40
Výrobná firma, 60 zamestnancov, regulovaný subjekt. Administrátor si v piatok podvečer všimne nezvyčajný prenos dát z file servera. Vyzerá to na ransomware, ale nie je to isté.
Vo firme v tej chvíli nikto nevie s istotou odpovedať na tri otázky:
- Kto má právomoc rozhodnúť, že ide o nahlasovaný incident – musí to byť konateľ, alebo stačí manažér kybernetickej bezpečnosti?
- Má niekto prístup do portálu JISKB aj cez víkend, alebo sa čaká na kolegu, ktorý má prihlasovacie údaje jedine vo svojom počítači v kancelárii?
- Ak firma trvá na schválení pred odoslaním, kto ho cez víkend dá?
Kým sa na tom firma zhodne v pondelok ráno, je pondelok deväť hodín – teda vyše 38 hodín od zistenia. Lehota na včasné varovanie je preč skôr, než si niekto uvedomil, že vôbec beží.
Nie je to výnimočná situácia. Je to najčastejší dôvod, prečo firma so slušne zabezpečeným IT dostane pokutu za niečo, čo s technikou nesúvisí – za chýbajúci postup.
Firma, ktorá má plán reakcie na incidenty hotový, rieši ten istý piatok inak. Administrátor zavolá vopred určenému kontaktu, ten do pol hodiny potvrdí, že ide o nahlasovaný prípad, a hlásenie odíde ešte v piatok večer – priamo, alebo cez externého manažéra kybernetickej bezpečnosti. Rozdiel medzi oboma firmami nie je v tom, čo sa stalo na serveri. Je v tom, či niekto vopred napísal tri riadky o tom, kto komu volá.
Čo musí obsahovať plán reakcie na incidenty
Plán reakcie na incidenty je jeden z povinných dokumentov bezpečnostnej dokumentácie podľa § 28 vyhlášky NBÚ č. 227/2025. Nie je to formalita na založenie do šanónu. Aby fungoval aj v piatok o 18:40, musí mať konkrétne odpovede na konkrétne otázky:
- Kto rozhoduje – meno a náhradník, nie len funkcia. „Vedúci IT“ nepomôže, ak je práve na dovolenke.
- Kto nahlasuje – kto má prístup do portálu JISKB a vie ho reálne použiť aj bez asistencie.
- Aké kontakty použiť mimo pracovnej doby – telefónne čísla, nie pracovný e-mail, do ktorého sa v sobotu nikto nepozerá.
- Kto to schvaľuje, ak firma vyžaduje schválenie pred odoslaním, a ako rýchlo je to schopná zariadiť.
Toto platí rovnako, ak máte manažéra kybernetickej bezpečnosti ako externú službu – zákon to výslovne umožňuje. Externý manažér ale sám od seba o incidente nevie. Ak plán nehovorí, kto a ako rýchlo mu má zavolať, je jedno, aké má on sám skúsenosti – hodiny dovtedy bežia bez neho.
Toto neznamená, že pri telefóne musí niekto sedieť od piatku do pondelka. Znamená to, že v momente, keď sa niečo stane, presne viete, komu zazvoní telefón ako prvému a čo má urobiť. Rozdiel medzi firmou, ktorá lehotu stihne, a firmou, ktorá ju prešvihne, spravidla nie je v cene zabezpečenia. Je v tom, či má tento jeden dokument hotový – a či si ho niekto aspoň raz prečítal ešte predtým, než bol potrebný.
Čo hrozí, ak nenahlásite
Nenahlásený alebo oneskorene nahlásený incident je samostatný priestupok – posudzuje sa nezávisle od toho, ako incident vznikol a či ste inak zabezpečení dobre.
| Dôležitý subjekt | Kľúčový subjekt | |
|---|---|---|
| Pokuta za nenahlásený incident | do 7 mil. € alebo 1,4 % obratu | do 10 mil. € alebo 2 % obratu |
Percento sa počíta z celosvetového ročného obratu skupiny, nie z obratu slovenskej pobočky. Pri opakovanom porušení sa horná hranica zdvojnásobuje.
Čas na prípravu sa kráti
Plán reakcie na incidenty je súčasť bezpečnostnej dokumentácie, ktorú musia existujúce regulované subjekty mať hotovú do konca prechodného obdobia – do 31. decembra 2026. Od dnešného dňa je to necelé tri mesiace, nie štyri.
Samotné napísanie dokumentu netrvá mesiace. Trvá to, kým sa dohodnú kompetencie, kým si štatutárny orgán nájde čas na schválenie a kým sa overí, či prístup do portálu JISKB vôbec niekto reálne má a vie ho použiť. Toto všetko sa oplatí vyriešiť raz, v pokoji – nie prvýkrát v momente, keď incident už beží.
Kto si plán pripraví teraz, stihne ho ešte za pokoja aj overiť – napríklad tak, že sa spýta určenej osoby, či vie prihlasovacie údaje do portálu JISKB použiť aj bez pomoci IT oddelenia. Kto to odloží na december, prvý test urobí až naostro, uprostred incidentu.
Čo urobiť teraz
- Overte si, či ste regulovaný subjekt a do ktorej kategórie patríte.
- Skontrolujte, či máte plán reakcie na incidenty – a ak áno, či menuje konkrétne osoby a kontakty mimo pracovnej doby, nielen funkcie.
- Overte, kto má reálny prístup do portálu JISKB a vie ho použiť aj bez asistencie.
- Ak nič z toho nemáte, začnite teraz. December už na poriadnu prípravu stačiť nebude.
Ak si najprv potrebujete ujasniť, či sa vás táto povinnosť vôbec týka, začnite tým. Pripravili sme na to bezplatnú previerku – osem otázok, štvrťhodina času, na konci písomné vyhodnotenie.