Krátka odpoveď: podľa § 28 vyhlášky NBÚ č. 227/2025 musí mať regulovaný subjekt najmenej osem druhov bezpečnostných dokumentov – od základnej politiky až po postup hlásenia incidentov. Vlastniť ich ale nestačí. Pri kontrole sa nepozerá na to, či priečinok „Bezpečnostná dokumentácia“ vo firme existuje, ale na to, či to, čo je v ňom napísané, zodpovedá tomu, ako firma naozaj funguje.
Prečo to zákon vôbec rieši
Zákon o kybernetickej bezpečnosti (č. 366/2024 Z. z., ktorý do slovenského práva preniesol smernicu NIS2) ukladá regulovaným subjektom povinnosť viesť bezpečnostnú dokumentáciu. Vykonávacia vyhláška NBÚ č. 227/2025 v § 28 určuje, aký má byť jej minimálny rozsah.
Zmysel nie je byrokratický. Dokumentácia rozhoduje o tom, ako sa firma správa v okamihu, keď niečo zlyhá – a v ten okamih nie je čas nič vymýšľať. Kto rozhoduje, komu sa to hlási, čo sa robí ako prvé, musí byť napísané vopred. Nie preto, že to chce úrad, ale preto, že improvizácia počas incidentu stojí čas, a pri incidente sa čas ráta v hodinách.
Preto vyhláška nehovorí len „majte dokumentáciu“, ale vymenúva presne osem oblastí, ktoré musí pokrývať. Každá zodpovedá inej fáze – od bežnej prevádzky cez poruchu až po komunikáciu s úradom.
Čo presne § 28 vyhlášky žiada
Osem bodov nižšie nie je náhodný zoznam. Postupuje od pravidiel, ktoré platia vždy, cez bežnú prevádzku až po to, čo robiť, keď sa niečo pokazí alebo keď ide o útok.
1. Bezpečnostná politika. Základný rámec – kto je za čo zodpovedný a aké pravidlá vo firme platia. Ostatné dokumenty z neho vychádzajú.
2. Politika riadenia rizík. Nie samotná analýza rizík, ale popis toho, ako sa k nej firma dopracúva – ako sa riziká identifikujú, hodnotia a znižujú. Keď pribudne nový systém alebo dodávateľ, tento dokument hovorí, ako ho posúdiť.
3. Klasifikačný poriadok. Určuje, ktoré údaje sú citlivé a ako sa s nimi smie zaobchádzať. Bez neho si citlivosť údajov každý zamestnanec domýšľa po svojom.
4. Prevádzkové postupy. Ako sa systémy bežne prevádzkujú – zálohujú, aktualizujú, kto k nim má prístup a kto v nich smie robiť zmeny.
5. Havarijné postupy. Čo sa robí, keď niečo prestane fungovať. Nemusí ísť o útok – stačí výpadok napájania alebo porucha disku. Toto je technická obnova, nie komunikácia s úradom.
6. Plán kontinuity činností. Ako firma funguje ďalej, keď vypadne kľúčový systém. Rieši prevádzku, nie techniku – napríklad ako sa dočasne vystavujú faktúry, keď je účtovný systém mimo prevádzky.
Havarijné postupy a plán kontinuity sa v praxi často zamieňajú, hoci rozdiel je jednoduchý. Havarijné postupy riešia opravu – ako sa systém vráti do prevádzky. Plán kontinuity rieši medzičas – ako firma funguje, kým sa systém neopraví.
7. Plán reakcie na incidenty. Kto koho volá, v akom poradí a čo hovorí, keď ide o bezpečnostný incident. V praxi je to dokument, ktorý najčastejšie ostáva len na papieri – viac v nasledujúcej časti.
8. Postupy hlásenia incidentov. Ako firma stihne zákonné lehoty podľa vyhlášky č. 226/2025 – včasné varovanie do 24 hodín od zistenia incidentu, oznámenie do 72 hodín, záverečná správa do mesiaca. Dvadsaťštyri hodín je krátky čas na to, aby niekto najprv zisťoval, kam sa to vôbec hlási.
K týmto ôsmim pribúdajú ďalšie dokumenty podľa toho, čo ukáže analýza rizík – najčastejšie smernica o heslách, o vzdialenom prístupe, o mobilných zariadeniach a o práci s dodávateľmi. Nie je to pevne daný zoznam navyše, je to dôsledok toho, čo firma pri analýze rizík zistí sama o sebe. Firma bez vzdialeného prístupu smernicu o vzdialenom prístupe nepotrebuje. Firma, kde polovica ľudí pracuje z vlastných telefónov, bez smernice o mobilných zariadeniach kontrolu neobstojí.
Tri chyby, ktoré sa pri kontrole nájdu najčastejšie
Toto je časť, kde sa rozhoduje, či dokumentácia obstojí, alebo je to len papier naviac. Opakujú sa stále tie isté tri problémy.
1. Dokumentácia popisuje inú firmu. Typický nález pri kúpenej alebo prevzatej šablóne. Plán kontinuity ráta so záložným dátovým centrom – firma má jeden server v serverovni za kotolňou. Klasifikačný poriadok spomína poverenú osobu na ochranu údajov, ktorú firma nemá a ani ju mať nemusí. Vzniká to tak, že sa dokument kúpi, v texte sa prepíše meno firmy a zvyšok ostane pôvodný. Pri kontrole stačí jedna otázka – „ukážte nám to záložné dátové centrum“ – a je jasné, že dokument opisuje fikciu.
2. Nikto z nej nič nevie. Dokument existuje a je aj vecne v poriadku, len ho vo firme nikto nepozná. Typický príklad: plán reakcie na incidenty hovorí, že sa incidenty hlásia bezpečnostnému manažérovi do hodiny. Spýtate sa dvoch zamestnancov, kto to je, a ani jeden to nevie – alebo je to človek, ktorý vo firme už pol roka nepracuje. Dokumentácia, ktorá existuje len na disku a nie v hlavách ľudí, v momente incidentu nefunguje. A keďže lehota na hlásenie naozaj beží, toto nie je len formálny nedostatok.
3. Je stará. Dokumentácia musí byť podľa vyhlášky živá – revidovaná pri každej významnej zmene: novom systéme, novom dodávateľovi, zmene v organizačnej štruktúre, presťahovaní do iných priestorov. V praxi sa napíše raz, pri príprave na zákon, a potom sa k nej nikto nevráti. Firma medzitým vymení účtovný systém alebo dodávateľa IT – a dokumentácia o tom nevie.
Táto tretia chyba je zároveň najzávažnejšia. Zastaraná dokumentácia je pri kontrole horšia než žiadna. Chýbajúca dokumentácia môže pôsobiť ako prehliadnutie. Zastaraná dokazuje, že firma o povinnosti vie, má ju čiastočne splnenú, a napriek tomu ju neudržiava.
Čo sa pri kontrole reálne overuje
Spôsob overenia závisí od kategórie subjektu. Kľúčové subjekty prechádzajú auditom, ktorý smie vykonať len certifikovaný audítor podľa § 29 vyhlášky. Dôležitým subjektom stačí samohodnotenie cez portál JISKB. Prvé kolo je do marca 2027, ďalšie každé dva roky, a tiež vždy, keď vo firme nastane významná zmena.
V oboch prípadoch sa ale neposudzuje len to, či dokumenty existujú a majú správne nadpisy. Overuje sa, či zodpovedajú realite: existuje systém, ktorý plán kontinuity opisuje? Vie osoba uvedená v pláne reakcie o tejto úlohe? Sedí dátum poslednej revízie s tým, kedy sa vo firme naposledy niečo zmenilo?
K tomu pristupuje dohľad NBÚ, ktorý pri kľúčových subjektoch prebieha priebežne a pri dôležitých subjektoch sa spúšťa na základe podnetu alebo nahláseného incidentu. Firma, ktorá má samohodnotenie úspešne za sebou, tak môže svoju dokumentáciu vidieť preverenú aj mimo neho – najčastejšie práve vtedy, keď nastane incident a je najmenej času na nápravu.
Kto to má vo firme reálne strážiť? Zo zákona je to úloha manažéra kybernetickej bezpečnosti – podľa § 19 osoby s priamym prístupom k štatutárnemu orgánu, nezávislej od riadenia IT. Nie je to teda „ešte jedna vec pre správcu siete“. Ak túto rolu firma nemá obsadenú, alebo si ju mýli s IT oddelením, je to spravidla prvý signál, že sa dokumentácia bude od reality postupne vzďaľovať – lebo ju nemá kto priebežne udržiavať.
Dokumentácia musí byť živá
„Živá“ vo vyhláške neznamená formalitu. Znamená to, že dokumentácia má vlastníka, ktorý ju udržiava, a udalosti, po ktorých sa aktualizuje automaticky – nie raz za rok pri upratovaní priečinkov. Aj bez takej udalosti sa oplatí raz ročne prejsť ju celú a porovnať, čo je napísané, s tým, čo je pravda – je to lacnejšia kontrola než tá, ktorú raz spraví niekto zvonku.
Medzi bežné dôvody na revíziu patrí: nový alebo vyradený systém, zmena kľúčového dodávateľa, zmena v organizačnej štruktúre alebo v tom, kto je za čo zodpovedný, presun do iných priestorov alebo zmena dátového centra, a každý bezpečnostný incident – dokumentácia sa má poučiť z toho, čo sa naozaj stalo.
Do konca prechodného obdobia, teda do 31. decembra 2026 – necelé tri mesiace odteraz – musia mať regulované subjekty dokumentáciu nielen napísanú, ale zavedenú do bežnej prevádzky. Dokument, ktorý vznikol týždeň pred kontrolou len preto, aby vznikol, sa v nej pozná rovnako rýchlo ako ten, čo opisuje inú firmu.
Rozsah a cenu kompletnej dokumentácie podľa § 28 nájdete na stránke bezpečnostná dokumentácia. Ak si najprv potrebujete overiť, či sa vás zákon vôbec týka, poslúži na to bezplatná previerka – osem otázok, štvrťhodina času.