Rozdiel je v tom, kto posúdenie vykonáva a pre koho je záväzné. Audit smie vykonať len certifikovaný audítor kybernetickej bezpečnosti a zákon ho vyžaduje od kľúčových subjektov. Samohodnotenie si robí firma sama, cez portál JISKB, a postačuje dôležitým subjektom. Povinné je jedno aj druhé – líši sa len to, kto to robí, ako dôkladné to je, a koľko to stojí.
Zákon rozlišuje dve kategórie subjektov
Zákon o kybernetickej bezpečnosti (č. 366/2024 Z. z.) nedáva všetkým regulovaným firmám tie isté povinnosti. Rozlišuje dve kategórie a v niekoľkých bodoch sa ich povinnosti líšia. Overenie súladu – teda audit alebo samohodnotenie – je jeden z týchto bodov, a zároveň ten, pri ktorom vzniká najviac nejasností.
Kľúčový subjekt je firma zo sektora s vysokou kritickosťou: energetika, doprava, bankovníctvo, zdravotníctvo, pitná a odpadová voda, digitálna infraštruktúra, verejná správa alebo vesmírny priemysel.
Dôležitý subjekt je firma z ostatných regulovaných sektorov: poštové a kuriérske služby, odpadové hospodárstvo, chemický priemysel, potravinárstvo, výroba, digitálne služby alebo výskum.
Zaradenie sa neurčuje podľa veľkosti firmy ani podľa toho, ako dobre má zabezpečené IT. Určuje sa výlučne podľa sektora. Malá vodárenská spoločnosť je kľúčový subjekt. Veľký výrobný podnik so stovkami zamestnancov je dôležitý subjekt. Zákon sa pýta, čím sa firma zaoberá – nie koľko má ľudí.
Pre rozpočet firmy to nie je detail. Ak ste kľúčový subjekt, s overením súladu rátajte ako s pravidelnou položkou, na ktorú si najímate externého certifikovaného odborníka. Ak ste dôležitý subjekt, túto položku vo svojom rozpočte nemáte – samohodnotenie robíte vlastnými silami, prípadne s pomocou niekoho, kto vás naň pripraví.
Kľúčový subjekt musí mať audit od certifikovaného audítora
Kľúčový subjekt má povinnosť dať si urobiť audit kybernetickej bezpečnosti. Nesmie si ho spraviť sám a nesmie si vybrať hocijakého poradcu. Audit podľa § 29 zákona smie vykonať len certifikovaný audítor kybernetickej bezpečnosti, akreditovaný na túto činnosť podľa vyhlášky NBÚ č. 493/2022 Z. z.
Výstupom je formálne hodnotenie ku každej preverovanej oblasti zákona a vyhlášky NBÚ č. 227/2025 o bezpečnostných opatreniach: súlad, čiastočný súlad alebo nesúlad. Audítor je nezávislý od firmy aj od jej IT dodávateľov a za svoje hodnotenie ručí vlastnou certifikáciou – nemá dôvod nič prikrášliť, skôr naopak.
Práve táto nezávislosť robí audit drahším a dlhším ako samohodnotenie. Kľúčové subjekty majú spravidla dopad na väčší okruh ľudí alebo na kritickú infraštruktúru štátu, preto zákon namiesto vlastného vyhlásenia firmy vyžaduje nezávislé externé overenie.
Súvisí to aj s tým, ako NBÚ nad jednotlivými kategóriami dohliada. Kľúčové subjekty kontroluje priebežne, aj bez konkrétneho podnetu. Dôležité subjekty preveruje najmä na základe podnetu alebo incidentu. To ale neznižuje povinnosť mať audit alebo samohodnotenie pripravené vopred – len to mení pravdepodobnosť, kedy si ho úrad reálne vyžiada.
Dôležitému subjektu stačí samohodnotenie cez JISKB
Dôležitý subjekt nemusí platiť externého audítora. Postačuje mu samohodnotenie – firma si sama, cez portál JISKB (Jednotný informačný systém kybernetickej bezpečnosti), vyhodnotí, či spĺňa požiadavky zákona a vyhlášky č. 227/2025.
Posudzovaný rozsah je v zásade rovnaký ako pri audite. Rozdiel je v tom, kto hodnotenie robí. Pri samohodnotení je to firma sama – spravidla s pomocou manažéra kybernetickej bezpečnosti alebo externého poradcu, ktorý ju na hodnotenie pripraví. Certifikácia posudzovateľa sa nevyžaduje.
To neznamená, že ide o formalitu. Samohodnotenie sa odovzdáva NBÚ a úrad si ho môže kedykoľvek vyžiadať a preveriť. Nepravdivo vyplnené samohodnotenie je z pohľadu rizika rovnaké, ako keby chýbalo úplne.
Pre väčšinu firiem, ktoré tento zákon riešia prvýkrát, je to dobrá správa. Sektory zaradené medzi dôležité subjekty – najmä výroba a potravinárstvo – pokrývajú oveľa viac slovenských firiem než úzky okruh energetiky, dopravy, bankovníctva či zdravotníctva. Kto zistí, že je dôležitý subjekt, spravidla si vystačí bez drahšej položky v rozpočte, akou je platba certifikovanému audítorovi.
Kľúčový a dôležitý subjekt v porovnaní
| Kľúčový subjekt | Dôležitý subjekt | |
|---|---|---|
| Príklady sektorov | energetika, doprava, bankovníctvo, zdravotníctvo, voda, digitálna infraštruktúra, verejná správa, vesmír | pošta, odpady, chémia, potraviny, výroba, digitálne služby, výskum |
| Overenie súladu | povinný audit certifikovaným audítorom | postačuje samohodnotenie cez JISKB |
| Kto ho vykonáva | externý audítor akreditovaný podľa vyhlášky 493/2022 | firma sama |
| Výstup | súlad / čiastočný súlad / nesúlad | vyplnené samohodnotenie v JISKB |
| Prvý termín | marec 2027 | marec 2027 |
| Opakovanie | každé 2 roky a pri významnej zmene | každé 2 roky a pri významnej zmene |
| Pokuta za chýbajúci audit/samohodnotenie | 300 000 – 500 000 € | 300 000 – 500 000 € |
Všimnite si posledný riadok. Pokuta za chýbajúci audit alebo samohodnotenie je rovnaká pre obe kategórie. Zákon tu netrestá miernejšie menšie firmy – trestá rovnako každého, kto si túto povinnosť nesplnil.
Dokedy to musíte mať hotové
Prvý audit alebo prvé samohodnotenie musíte mať hotové do marca 2027, rovnako pre kľúčové aj dôležité subjekty. Potom sa opakuje každé dva roky – a mimoriadne aj vtedy, keď vo firme nastane významná zmena, napríklad v systémoch, dodávateľoch alebo v rozsahu činnosti.
Dnes je 28. september 2026. Do konca prechodného obdobia, teda do 31. decembra 2026, zostáva necelé tri mesiace. Do marca 2027 je to o niečo viac, ale príprava dokumentácie, opatrení aj samotného posúdenia trvá mesiace – nie týždne tesne pred termínom.
Čím bližšie k marcu 2027, tým menej voľných termínov budú mať certifikovaní audítori aj poradcovia, ktorí firmy na overenie pripravujú. Kapacita na trhu je obmedzená a nedá sa vyrobiť za týždeň.
Čo hrozí, ak audit alebo samohodnotenie chýba
Pokuta za chýbajúci audit alebo samohodnotenie je 300 000 až 500 000 €, rovnako pre kľúčový aj dôležitý subjekt. Je to tá istá sadzba ako za chýbajúcu registráciu na NBÚ alebo za neaktuálnu bezpečnostnú dokumentáciu.
Dôležité je, že táto sankcia hrozí aj firme, ktorá je inak zabezpečená dobre. Nie je to pokuta za incident. Je to pokuta za to, že firma nevie preukázať, v akom stave sa nachádza. Audit alebo samohodnotenie je dôkaz pre NBÚ. Bez neho nezáleží na tom, aká je realita.
Pri opakovanom porušení sa horná hranica pokuty zdvojnásobuje. Preto sa oplatí mať audit alebo samohodnotenie hotové v termíne, a nie čakať, kým si ho NBÚ sám vyžiada.
Čo robíme my – a čo nerobíme
Toto je bod, kde treba byť presný. Nie sme certifikovaný audítor kybernetickej bezpečnosti a zákonný audit podľa § 29 nevykonávame. Ten smie robiť len audítor akreditovaný podľa vyhlášky č. 493/2022, a jeho hodnotenie súlad / čiastočný súlad / nesúlad ide priamo na NBÚ.
Robíme GAP analýzu – porovnanie reálneho stavu firmy s vyhláškou č. 227/2025, bod po bode. Je to príprava na audit alebo na samohodnotenie, nie náhrada za žiadne z nich. Výstupom je zoznam medzier zoradený podľa dôležitosti, s odhadom nákladov na ich odstránenie – aby ste certifikovaným auditom alebo samohodnotením prešli bez prekvapení.
Rovnaké rozlíšenie si overte u každého dodávateľa, ktorého oslovíte. Ak vám niekto ponúka „audit“ za cenu, ktorá sa cene certifikovaného audítora ani nepribližuje, a sám nie je audítor akreditovaný podľa vyhlášky 493/2022, v skutočnosti vám predáva to isté, čo GAP analýza – len tomu hovorí inak. Pojem „audit kybernetickej bezpečnosti“ je zákonom vyhradený pojem s presne daným postupom aj certifikáciou vykonávateľa. Kto ho používa mimo tohto rámca, zákazníka zavádza, aj keby to sám tak nevnímal – a vy si tú istú prácu môžete kúpiť lacnejšie a pod správnym menom, priamo ako GAP analýzu.
Nejde o slovíčkarenie. Je to rozdiel medzi tým, kto nesie zodpovednosť za formálne hodnotenie predložené NBÚ, a tým, kto vám len pomáha sa naň pripraviť.
Ako sa pripraviť
Prvý krok je zistiť, do ktorej kategórie patríte – od toho závisí, či budete platiť certifikovaného audítora, alebo si vystačíte so samohodnotením. Na to slúži bezplatná previerka: osem otázok, štvrťhodina času, na konci písomné vyhodnotenie.
Druhý krok, ak už viete, že ste regulovaný subjekt, je zistiť, kde presne máte medzery voči vyhláške č. 227/2025 – skôr, než príde audítor alebo než odovzdáte samohodnotenie do JISKB. Na to slúži GAP analýza: porovnanie stavu firmy s vyhláškou, bod po bode, so zoznamom medzier a odhadom nákladov na ich odstránenie.
Ak už viete, že ste regulovaný subjekt, a chcete sa pripraviť bez prekvapení, pozrite si GAP analýzu.