Časté otázky

Musíte spĺňať súčasne dve podmienky. Prvá: podnikáte v jednom zo 16 sektorov uvedených v prílohách zákona – výroba, doprava, energetika, potravinárstvo, chémia, zdravotníctvo, voda, odpady, digitálna infraštruktúra, verejná správa a ďalšie. Druhá: máte 50 a viac zamestnancov alebo obrat či bilančnú sumu nad 10 miliónov eur.

Poskytovatelia DNS, cloudu, dátových centier a ústredné orgány štátu spadajú pod zákon bez ohľadu na veľkosť.

Ak si nie ste istí, spustite si našu bezplatnú previerku – osem otázok, štvrťhodina.

Zákon stojí na samoidentifikácii – NBÚ nikoho neupozorňuje a sám nezisťuje, kto pod zákon spadá. Neznamená to však, že sa na to nepríde.

Najčastejšie sa to prevalí tromi cestami: nahlásite incident a úrad zistí, že nie ste registrovaní; oznámi to odberateľ alebo konkurent; alebo si to spojí úrad pri kontrole u niekoho iného vo vašom dodávateľskom reťazci.

Pokuta za neregistráciu je 300 000 až 500 000 eur a nezávisí od toho, ako ste inak zabezpečení.

Priamo zo zákona nie, pokiaľ sami nespĺňate obe podmienky. Váš odberateľ má však podľa § 19 ods. 2 povinnosť zmluvne ošetriť bezpečnosť u dodávateľov – a preto od vás žiada dotazník alebo dodatok k zmluve.

Vaša povinnosť je teda zmluvná, nie zákonná. Nepotrebujete kompletný balík pre regulované subjekty, ale spravidla len dokumentáciu a niekoľko technických opatrení.

Prechodné obdobie pre existujúce subjekty končí 31. decembra 2026. Bezpečnostné opatrenia musia byť zavedené do 12 mesiacov od zápisu a prvý audit alebo samohodnotenie prvýkrát do marca 2027, potom každé dva roky.

Ak začnete teraz, áno. Z praxe: príprava vo firme so 100 zamestnancami trvá tri až päť mesiacov. Nie preto, že by práca trvala tak dlho, ale preto, že sa čaká na podklady, na schválenia a na to, kým sa nájde čas na workshopy.

Kto začne v septembri, stihne to pohodlne. Kto začne v novembri, stihne to tesne a bez rezervy. Kto začne v januári, už je po termíne.

Kľúčové subjekty sú v sektoroch s vysokou kritickosťou – energetika, doprava, bankovníctvo, zdravotníctvo, voda, digitálna infraštruktúra, verejná správa. Podliehajú priebežnému dohľadu, majú povinný audit certifikovaným audítorom a hrozí im pokuta do 10 miliónov eur alebo 2 % celosvetového obratu.

Dôležité subjekty sú ostatné regulované sektory – pošta, odpady, chémia, potravinárstvo, výroba, digitálne služby, výskum. Dohľad prebieha na podnet, namiesto auditu postačuje samohodnotenie a horná hranica pokuty je 7 miliónov eur alebo 1,4 % obratu.

Štatutárny orgán. Zákon to konštruuje zámerne tak, aby zodpovednosť nebolo možné delegovať na IT oddelenie ani na dodávateľa. Preto je aj školenie vedenia samostatnou povinnosťou. Fyzickej osobe hrozí pokuta do 5 000 eur.

Nie. Zákon v § 19 výslovne pripúšťa, aby ním bola externá osoba alebo organizácia. Vyžaduje však, aby mal priamy prístup k štatutárnemu orgánu a bol nezávislý od riadenia informačných technológií – takže ním nemôže byť váš IT správca, lebo by kontroloval sám seba.

Pre firmu do 250 zamestnancov je externý manažér spravidla jediné rozumné riešenie. Interný zamestnanec s touto kvalifikáciou stojí 45 000 až 70 000 eur ročne vrátane odvodov a na trhu prakticky nie je dostupný.

Zákon konkrétne požiadavky neurčuje, hovorí o odbornej spôsobilosti. Certifikačná schéma NBÚ ráta s ukončeným vysokoškolským vzdelaním druhého stupňa, najmenej tromi rokmi praxe v IT a najmenej jedným rokom praxe v riadení IT služieb, informačnej bezpečnosti, riadenia rizík alebo IT architektúry.

Certifikát vydávajú orgány akreditované Slovenskou národnou akreditačnou službou.

Preberáme zodpovednosť za to, čo robíme – za kvalitu dokumentácie, za včasné upozornenie na povinnosti, za odbornosť poradenstva. Zodpovednosť voči štátu zostáva na štatutárnom orgáne; tú zo zákona preniesť nemožno.

Záleží najmä od veľkosti firmy, od počtu systémov a dodávateľov a od toho, koľko už máte hotové. Preto cenu nehádame od oka: po bezplatnej previerke dostanete písomnú ponuku s pevnou cenou a termínmi, ešte pred podpisom.

Vyberáme z troch balíkov. ŠTART je previerka a GAP analýza – zistíte, na čom ste. SÚLAD je kompletná príprava vrátane dokumentácie, analýzy rizík, registrácie, technických opatrení a školení. SPRÁVCA je priebežná služba vrátane manažéra kybernetickej bezpečnosti. Jednotlivé služby sa dajú objednať aj samostatne – pozrite si porovnanie balíkov.

Áno. Ponuku s pevnou cenou a termínmi dostanete písomne ešte pred podpisom. Previerka aj prvý rozhovor sú zadarmo a nezáväzné – ak vám ponuka nesadne, nič neplatíte.

Pevná. Ak sa počas projektu ukáže, že je toho viac, než sme čakali, doplatok neúčtujeme – riziko odhadu je naše. Práve preto trváme na GAP analýze pred podpisom väčšieho balíka: aby sme obaja vedeli, do čoho ideme.

Doplatky vznikajú len vtedy, keď sa mení zadanie – napríklad ak počas projektu pribudne nová pobočka alebo systém.

Pri GAP analýze a dokumentácii nie – pracujeme s podkladmi, rozhovormi a tým, čo nám ukážete. Pri technických službách (nastavenie Microsoft 365, audit ERP, zálohovanie) prístup potrebujeme, spravidla na čítanie. Vždy vopred povieme, aký prístup a načo, a po skončení práce ho zrušíme.

Nie v zmysle § 29 zákona. Zákonný audit smie vykonať len certifikovaný audítor kybernetickej bezpečnosti akreditovaný podľa vyhlášky 493/2022 a jeho výstupom je hodnotenie súlad / čiastočný súlad / nesúlad.

My robíme prípravu na audit – GAP analýzu, odstránenie medzier a nácvik toho, čo bude audítor chcieť vidieť. Ak audítora potrebujete, vieme vám ho odporučiť.

Ak vám niekto ponúka „audit“ a nie je certifikovaný audítor, ponúka vám presne to, čo my, len tomu hovorí inak.

Áno. Testujeme weby, e-shopy, siete a servery, vždy s písomným súhlasom a vymedzeným rozsahom. Dostanete správu s nálezmi, závažnosťou a návodom na opravu a opravy potom overíme.

Viac na stránke Penetračné testy.

Áno, v balíku Obrana nonstop. V pracovnom čase hlásenia vyhodnocujú naši ľudia, mimo neho ich dopĺňa nepretržitá služba dohľadu a zásahu výrobcu ochrany. V balíku Obrana je dohľad v pracovné dni 8:00 – 17:00.

Ak vás napadnú, volajte +421 951 671 063. Čo robiť v prvej hodine po útoku, nájdete na stránke Zásah pri útoku.

Nie, certifikát vydáva akreditovaný certifikačný orgán. Vieme vás na certifikáciu pripraviť – a keďže ISO 27001 a zákon o kybernetickej bezpečnosti sa z veľkej časti prekrývajú, robí sa to spravidla naraz.

Áno. Útočníkovi je jedno, čo hovorí zákon – vydieračský softvér sa nepýta na počet zamestnancov a podvodná faktúra funguje na firmu s desiatimi ľuďmi rovnako dobre ako na firmu so stovkou.

Malým firmám spravidla stačí zlomok toho, čo musia regulované subjekty: zálohy, ktoré niekto raz za čas naozaj obnoví, dvojfaktorové prihlásenie, ochrana domény a ľudia, ktorí nekliknú na hocičo.