Krátka odpoveď: ak máte viac ako 50 zamestnancov alebo obrat nad 10 miliónov eur a podnikáte vo výrobe, doprave, potravinárstve, chémii, zdravotníctve, energetike, odpadovom hospodárstve alebo v ďalších deviatich sektoroch, tak áno. A pravdepodobne ste už po termíne.
Novela zákona o kybernetickej bezpečnosti (zákon č. 366/2024 Z. z.) platí od 1. januára 2025 a preniesla do slovenského práva európsku smernicu NIS2. Podľa odhadov sa dotkla vyše 3 400 organizácií, ktoré predtým žiadne bezpečnostné povinnosti nemali.
Problém je v tom, že väčšina z nich o tom dodnes nevie. Zákon totiž funguje na princípe samoidentifikácie – Národný bezpečnostný úrad vám list nepošle.
Nižšie sú štyri otázky. Ak si na ne odpoviete, budete vedieť, na čom ste.
Otázka 1: Podnikáte v regulovanom sektore?
Zákon vymenúva 16 sektorov v dvoch prílohách. Prvá skupina sú sektory s vysokou kritickosťou:
- energetika (elektrina, plyn, teplo, ropa, vodík)
- doprava (letecká, železničná, vodná, cestná)
- bankovníctvo a infraštruktúra finančného trhu
- zdravotníctvo vrátane laboratórií a výroby liekov
- pitná voda a odpadová voda
- digitálna infraštruktúra (dátové centrá, poskytovatelia internetu, DNS, cloud)
- správa IKT služieb
- verejná správa
- vesmírny priemysel
Druhá skupina sú ostatné kritické sektory:
- poštové a kuriérske služby
- odpadové hospodárstvo
- chemický priemysel
- potravinárstvo – vrátane spracovania a veľkoobchodnej distribúcie
- výroba – stroje, vozidlá, elektronika, optika, zdravotnícke pomôcky
- digitálni poskytovatelia (online trhoviská, vyhľadávače, sociálne siete)
- výskum
Kde firmy najčastejšie chybujú: pri položke „výroba“. Je to široká kategória a mnohé strojárske alebo elektrotechnické firmy si neuvedomia, že do nej spadajú. Rovnako „potravinárstvo“ nie sú len mliekarne – patrí sem aj veľkoobchodná distribúcia potravín.
Otázka 2: Ste aspoň stredný podnik?
Druhá podmienka je veľkosť. Musíte splniť aspoň jedno z toho:
- 50 a viac zamestnancov, alebo
- ročný obrat alebo bilančná suma nad 10 miliónov eur
Stačí jedno. Firma s 35 ľuďmi a obratom 14 miliónov eur podmienku spĺňa.
Výnimka: poskytovatelia DNS, registre domén najvyššej úrovne, poskytovatelia cloudových služieb, ústredné orgány štátnej správy a kritické subjekty spadajú pod zákon bez ohľadu na veľkosť. Ak prevádzkujete cloud alebo dátové centrum, počet zamestnancov neriešte.
Ak ste odpovedali áno na prvú aj druhú otázku, ste regulovaný subjekt.
Otázka 3: Do ktorej kategórie patríte?
Zákon rozlišuje dve kategórie a rozdiel medzi nimi je podstatný.
| Kľúčový subjekt | Dôležitý subjekt | |
|---|---|---|
| Kto to je | sektory s vysokou kritickosťou | ostatné kritické sektory |
| Dohľad úradu | priebežný, aj bez podnetu | až na základe podnetu alebo incidentu |
| Overenie súladu | povinný audit certifikovaným audítorom | postačuje samohodnotenie |
| Maximálna pokuta | 10 mil. € alebo 2 % celosvetového obratu | 7 mil. € alebo 1,4 % obratu |
Pre bežnú výrobnú alebo potravinársku firmu je dobrou správou, že spravidla spadá medzi dôležité subjekty – a tým pádom jej namiesto drahého auditu certifikovaným audítorom postačuje samohodnotenie cez portál JISKB.
Otázka 4: Čo už máte a čo vám chýba?
Ak ste regulovaný subjekt, zákon od vás chce toto:
1. Registráciu na NBÚ. Existujúce subjekty ju mali podať do 2. marca 2025. Ak ste to nestihli, riešte to hneď – za samotné neprihlásenie je pokuta 300 000 až 500 000 eur, a to bez ohľadu na to, ako ste inak zabezpečení.
2. Manažéra kybernetickej bezpečnosti. Podľa § 19 musí mať priamy prístup k štatutárnemu orgánu a byť nezávislý od riadenia IT. Váš správca siete to teda byť nemôže. Zákon však výslovne pripúšťa, aby ním bola externá osoba alebo firma.
3. Analýzu rizík. Nie univerzálnu tabuľku, ale posúdenie rizík vašej firmy. Odvíja sa od nej rozsah všetkého ostatného.
4. Bezpečnostné opatrenia do 12 mesiacov od zápisu, v rozsahu podľa vyhlášky NBÚ č. 227/2025. Patrí sem povinné dvojfaktorové overenie pre privilegované účty, segmentácia siete, monitorovanie, ochrana e-mailu, zálohovanie s možnosťou obnovy, šifrovanie a riadenie dodávateľov.
5. Bezpečnostnú dokumentáciu podľa § 28 vyhlášky – politiky, klasifikačný poriadok, prevádzkové a havarijné postupy, plán kontinuity, plán reakcie na incidenty. A musí byť živá, teda revidovaná pri každej významnej zmene.
6. Zmluvy s dodávateľmi s bezpečnostnými podmienkami podľa § 19 ods. 2. Toto je dôvod, prečo vašim dodávateľom chodia dotazníky – a prečo ich dostávate aj vy od svojich odberateľov.
7. Školenia zamestnancov aj vedenia, pravidelne a preukázateľne.
8. Pripravenosť hlásiť incident – včasné varovanie do 24 hodín, oznámenie do 72 hodín, záverečná správa do jedného mesiaca.
9. Audit alebo samohodnotenie prvýkrát do marca 2027, potom každé dva roky.
Koľko máte času
Toto je časť, ktorú väčšina firiem podceňuje.
| Čo | Dokedy |
|---|---|
| Registrácia na NBÚ | bola do 2. 3. 2025 |
| Koniec prechodného obdobia | 31. 12. 2026 |
| Bezpečnostné opatrenia | 12 mesiacov od zápisu |
| Prvý audit alebo samohodnotenie | marec 2027 |
Do konca prechodného obdobia môžu existujúce subjekty plniť opatrenia podľa pôvodných aj nových pravidiel. Od 1. januára 2027 už len podľa nových.
Z praxe: zavedenie opatrení vo firme so 100 zamestnancami trvá tri až päť mesiacov, a to pri dobrej spolupráci a keď má firma poriadok v IT. Nie je to o tom, že by práca trvala tak dlho – je to o tom, že sa čaká na podklady, na schválenia, na to, kým sa nájde čas na workshop.
Kto začne teraz, stihne to. Kto začne v decembri, nie.
Ak si nie ste istí
Nemusíte to lúštiť z paragrafov. Pripravili sme bezplatnú previerku – osem otázok, štvrťhodina času. Na konci dostanete písomne, či ste regulovaný subjekt, do ktorej kategórie patríte, čo od vás zákon chce a dokedy.
Nič neinštalujete a nikoho nepúšťate do siete. Pýtame sa na sektor, veľkosť a pár faktov o tom, ako to máte zariadené.