Krátka odpoveď: nemusí, a u väčšiny firiem to ani nemôže byť súčasný zamestnanec. Zákon žiada, aby bol manažér kybernetickej bezpečnosti nezávislý od riadenia IT a mal priamy prístup k štatutárnemu orgánu – kombináciu, ktorú vo firme do 250 ľudí spravidla nemá kto splniť. Zákon preto výslovne pripúšťa, aby túto funkciu vykonávala externá osoba alebo organizácia.
Otázka „musí to byť náš zamestnanec“ znie jednoducho, ale skrýva sa za ňou rozhodnutie o desiatkach tisíc eur ročne. Kladie sa čoraz častejšie – pri registrácii na NBÚ, pri bezpečnostných dotazníkoch od odberateľov aj pri príprave na audit alebo samohodnotenie. Nižšie je, čo presne zákon žiada, prečo interné riešenie väčšinou padne na vlastnej podstate a koľko stoja obe cesty vedľa seba.
Čo presne hovorí § 19
Zákon o kybernetickej bezpečnosti (zákon č. 366/2024 Z. z., ktorý novelizuje zákon č. 69/2018 Z. z., účinný od 1. januára 2025 a transponujúci smernicu NIS2) v § 19 ukladá regulovaným subjektom určiť manažéra kybernetickej bezpečnosti. Platia preň dve podmienky súčasne:
- priamy prístup k štatutárnemu orgánu,
- nezávislosť od riadenia informačných technológií.
Druhá podmienka je tá, ktorá firmy najviac prekvapí. V praxi znamená, že manažérom KB nemôže byť človek, ktorý zároveň riadi alebo prevádzkuje firemné IT – teda typicky správca siete alebo IT manažér. Kontroloval by sám seba, a presne tomu má nezávislosť zabrániť.
Konateľ formálne prvú podmienku spĺňa – k štatutárnemu orgánu má prístup priamo, lebo ním sám je. Prakticky ale funkciu spravidla nezvládne popri všetkom ostatnom, čo má na starosti. Manažér KB nie je jednorazová úloha, ale priebežná agenda: dokumentácia, riziká, školenia, dohľad nad dodávateľmi, pripravenosť hlásiť incident.
Nejde o formalitu na papieri. Správne obsadenie tejto funkcie je jeden z bodov, ktoré NBÚ pri kontrole overuje, a nedodržanie povinností podľa zákona sa premieta priamo do pokút – pri kľúčových subjektoch až do 10 miliónov eur alebo 2 % celosvetového obratu, pri dôležitých do 7 miliónov eur alebo 1,4 % obratu.
Čo sa stane, keď firma skúsi nájsť interného manažéra KB
Keď firma vylúči správcu siete aj konateľa, ostáva jediná možnosť – prijať nového človeka. Tu narazí na trh.
Interný zamestnanec s kvalifikáciou, ktorú funkcia vyžaduje, vyjde na 45 000 až 70 000 € ročne vrátane odvodov. Pre firmu do 250 zamestnancov je takýto kandidát prakticky nedostupný – nie preto, že by si ho nemohla dovoliť, ale preto, že ľudí s touto kombináciou vzdelania, praxe a bezpečnostného know-how je na slovenskom trhu málo a dopyt po nich od januára 2025 prudko vzrástol.
Aj keby firma zaplatila hornú hranicu, kúpi si tým jedného človeka. Ak je ten chorý, na dovolenke alebo odíde, funkcia manažéra KB je neobsadená. Presne tomuto má zabrániť to, že zákon žiada nezávislosť a dostupnosť, nie konkrétny pracovný pomer.
Ako sa vôbec niekto stane manažérom kybernetickej bezpečnosti
Odbornú spôsobilosť možno preukázať viacerými spôsobmi, no najformálnejšia cesta vedie cez certifikačnú skúšku, ktorú NBÚ zaviedol ako oficiálnu certifikačnú schému. Prihlásiť sa na ňu môže kandidát s vysokoškolským vzdelaním druhého stupňa, s aspoň tromi rokmi praxe v IT a z toho aspoň jedným rokom praxe konkrétne v riadení IT služieb, riadení informačnej bezpečnosti, riadení rizík alebo IT architektúre.
Samotná skúška má 100 otázok, na úspešné zloženie treba aspoň 70 % správnych odpovedí a čas na vypracovanie je 150 minút. Vykonáva ju certifikačný orgán akreditovaný Slovenskou národnou akreditačnou službou – napríklad TÜV SÜD alebo Kompetenčné a certifikačné centrum kybernetickej bezpečnosti (cybercompetence.sk). Certifikát platí tri roky, potom treba absolvovať preškolenie a skúšku zopakovať – odborná spôsobilosť sa tak overuje priebežne, nie raz za život.
Zákon konkrétny certifikát priamo nevyžaduje – spôsobilosť možno preukázať aj inak. Táto skúška je ale najprehľadnejší spôsob, ako niekto doloží, že podmienkam rozumie do detailu, a je to aj dôvod, prečo sa funkcia nedá vyriešiť internou rošádou zo dňa na deň.
Čo manažér kybernetickej bezpečnosti reálne robí
Funkcia nie je jednorazový podpis na dokumente. V praxi zahŕňa priebežnú správu bezpečnostnej dokumentácie a jej revíziu pri každej významnej zmene, ročnú revíziu analýzy rizík, dohľad nad tým, že zmluvy s dodávateľmi obsahujú bezpečnostné podmienky podľa § 19 ods. 2, organizovanie školení zamestnancov aj vedenia a pripravenosť konať pri incidente – vrátane hlásenia na NBÚ v lehotách 24 hodín, 72 hodín a jedného mesiaca.
Patrí sem aj účasť na poradách vedenia. Bez nej podmienka priameho prístupu k štatutárnemu orgánu existuje len na papieri – a to je presne to, čo kontrola najľahšie odhalí.
Interný zamestnanec vs. externý manažér kybernetickej bezpečnosti
Postavené vedľa seba, rozdiel je jasný:
| Interný zamestnanec | Externý manažér KB | |
|---|---|---|
| Ročný náklad | 45 000 – 70 000 € vrát. odvodov | zlomok tejto sumy |
| Dostupnosť na trhu | veľmi obmedzená | v podstate okamžitá |
| Zastupiteľnosť pri chorobe či dovolenke | žiadna | áno |
| Skúsenosti z iných firiem a odvetví | jedna firma | desiatky |
| Nezávislosť od IT podľa § 19 | treba organizačne ustrážiť | daná už štruktúrou |
| Čas od rozhodnutia po obsadenie funkcie | rádovo mesiace | rádovo dni |
Najväčší rozdiel nie je len v cene, hoci aj tá je rádovo iná. Je v tom, že interné riešenie stojí a padá na jednom človeku, ktorého treba najprv nájsť – a kým sa nenájde, funkcia manažéra KB jednoducho nie je obsadená, hoci zákon ju od regulovaného subjektu vyžaduje odo dňa zápisu.
Modelová situácia: výrobná firma s 80 zamestnancami začala otázku riešiť po bezpečnostnom dotazníku od svojho kľúčového odberateľa. Pol roka hľadala vlastného manažéra KB. Jediný vhodný kandidát pýtal plat, ktorý by s odvodmi vyšiel na spodnú hranicu uvedeného rozpätia – a firma by k tomu ešte potrebovala niekoho na zastupovanie počas jeho neprítomnosti, lebo funkcia nesmie mať výpadok. Napokon zvolila externého manažéra KB – za zlomok pôvodne počítaného ročného nákladu, a to vrátane zastupiteľnosti.
Koľko stojí manažér kybernetickej bezpečnosti ako externá služba
Mesačná cena sa odvíja najmä od počtu zamestnancov a od toho, koľko systémov a dodávateľov treba mať pod dohľadom. Povieme vám ju vopred – pevnú a písomne, po bezplatnej previerke.
Ide o mesačnú službu s dohľadom v pracovných dňoch 8:00 – 17:00, bez prísľubov, ktoré by sa nedali reálne dodať. Presný rozsah toho, čo manažér kybernetickej bezpečnosti ako služba robí, je na stránke manažér kybernetickej bezpečnosti ako služba, porovnanie s ostatnými balíkmi nájdete na stránke Balíky.
Kedy má zmysel aj napriek tomu vlastný interný človek
Externé riešenie nie je automaticky správne pre každú firmu. Vlastný interný manažér KB dáva zmysel najmä vtedy, keď:
- firma má 250 a viac zamestnancov a bezpečnostná agenda je taká veľká – viac systémov, viac dodávateľov, viac incidentov – že si vyžaduje človeka na plný úväzok,
- ide o kľúčový subjekt s vysokou kritickosťou, kde vedenie z prevádzkových dôvodov trvá na tom, aby bol niekto fyzicky na mieste každý deň,
- firma už má vo vedení alebo v riadení rizík človeka mimo IT štruktúry, ktorý podmienku nezávislosti spĺňa, má na funkciu reálnu kapacitu a sám o ňu stojí.
Aj vtedy ale platí, že tento človek potrebuje odbornú prípravu, prístup k vedeniu a jasne vyčlenený čas – nie funkciu „popri tom“ pridanú k inej pracovnej náplni. Kombinácia „na papieri áno, v skutočnosti nie“ je presne to, čo pri kontrole padne najrýchlejšie.
Zhrnutie
Manažérom kybernetickej bezpečnosti nemusí byť váš zamestnanec – zákon to výslovne pripúšťa a pre väčšinu firiem do 250 ľudí je to aj jediná reálna cesta, ako naraz splniť podmienku nezávislosti a dostupnosť vhodného kandidáta. Oplatí sa to prepočítať na konkrétne čísla, nie na dojem: interný kandidát za 45 000 – 70 000 € ročne, ktorého navyše na trhu prakticky nezoženiete, oproti externej službe za zlomok tejto sumy, s okamžitou dostupnosťou a zastupiteľnosťou.
Kto potrebuje mať funkciu obsadenú do konca roka 2026, nemá čas čakať, kým sa podarí nájsť, najať a zaškoliť interného kandidáta, ktorého na trhu navyše prakticky niet.
Ak si najprv potrebujete ujasniť, či sa vás zákon vôbec týka a do ktorej kategórie patríte, slúži na to previerka – pätnásť minút, osem otázok, na konci písomné vyhodnotenie. Až potom má zmysel riešiť, či manažérom KB bude niekto od vás, alebo externá služba.