NIS2 · Zákon č. 366/2024 Z. z.
NIS2 a zákon o kybernetickej bezpečnosti: čo to znamená pre vašu firmu
Od 1. januára 2025 platí novela zákona o kybernetickej bezpečnosti (zákon č. 366/2024 Z. z.), ktorá do slovenského práva preniesla európsku smernicu NIS2. Vtiahla pod reguláciu vyše 3 400 organizácií, ktoré predtým žiadne bezpečnostné povinnosti nemali.
Prechodné obdobie končí 31. decembra 2026. Táto stránka je prehľad toho, čo od vás zákon chce, dokedy a čo sa stane, ak to nesplníte.
Preskočiť na: Koho sa to týka · Povinnosti · Termíny · Pokuty · Ako to riešime
Rozsah
Koho sa to týka
Zákon sa vás týka, ak spĺňate súčasne obe podmienky:
Podmienka 1 – sektor
Podnikáte v jednom zo 16 sektorov uvedených v prílohách zákona:
Sektory s vysokou kritickosťou
- Energetika
- Doprava
- Bankovníctvo
- Infraštruktúra finančného trhu
- Zdravotníctvo
- Pitná voda a odpadová voda
- Digitálna infraštruktúra
- Správa IKT služieb
- Verejná správa
- Vesmír
Ostatné kritické sektory
- Poštové a kuriérske služby
- Odpadové hospodárstvo
- Chemický priemysel
- Potravinárstvo
- Výroba (stroje, vozidlá, elektronika, zdravotnícke pomôcky)
- Digitálni poskytovatelia (trhoviská, vyhľadávače, siete)
- Výskum
Podmienka 2 – veľkosť
Ste aspoň stredný podnik, čo znamená 50 a viac zamestnancov, alebo ročný obrat či bilančná suma nad 10 miliónov eur. Stačí splniť jedno z toho.
Výnimka: niektoré subjekty spadajú pod zákon bez ohľadu na veľkosť – poskytovatelia DNS, registre domén najvyššej úrovne, poskytovatelia cloudových služieb, ústredné orgány štátnej správy a kritické subjekty.
| Kľúčový subjekt | Dôležitý subjekt | |
|---|---|---|
| Kto to je | sektory s vysokou kritickosťou, väčšie subjekty | ostatné regulované sektory |
| Dohľad | priebežný, aj bez podnetu | na základe podnetu alebo incidentu |
| Overenie súladu | povinný audit certifikovaným audítorom | postačuje samohodnotenie |
| Maximálna pokuta | 10 mil. € alebo 2 % obratu | 7 mil. € alebo 1,4 % obratu |
Pozor – nikto vám nenapíše
Zákon stojí na samoidentifikácii. Národný bezpečnostný úrad nemá povinnosť zisťovať, kto pod zákon spadá, a nikoho neupozorňuje. Je na vás, aby ste sa vyhodnotili a prihlásili sami.
Znie to ako drobnosť, ale je to najčastejší dôvod, prečo firmy prídu neskoro. Za samotné neprihlásenie je pokuta 300 000 až 500 000 eur – a to bez ohľadu na to, či ste inak zabezpečení dobre alebo zle.
Povinnosti
Čo presne musíte splniť
1
Zaregistrovať sa na NBÚ
Do 60 dní od začatia poskytovania služby, cez portál JISKB. Existujúce subjekty mali povinnosť do 2. marca 2025 – kto to nestihol, mal by to riešiť okamžite.
2
Určiť manažéra kybernetickej bezpečnosti
Podľa § 19 zákona. Musí mať priamy prístup k štatutárnemu orgánu a byť nezávislý od riadenia IT prevádzky. Zákon výslovne pripúšťa, aby ním bola externá osoba alebo organizácia.
3
Vypracovať analýzu rizík
Nie univerzálnu tabuľku z internetu, ale posúdenie rizík vašej konkrétnej firmy. Z nej sa odvíja rozsah opatrení aj dokumentácie.
4
Zaviesť bezpečnostné opatrenia
Do 12 mesiacov od zápisu, podľa vyhlášky NBÚ č. 227/2025 Z. z.: riadenie prístupov a dvojfaktorové overenie, segmentácia siete, monitorovanie, klasifikácia údajov, ochrana e-mailu, zálohovanie, kybernetická hygiena, kryptografia, bezpečnosť dodávateľov.
5
Spracovať bezpečnostnú dokumentáciu
Podľa § 28 vyhlášky 227/2025: bezpečnostná politika, politika riadenia rizík, klasifikačný poriadok, plán kontinuity, plán reakcie na incidenty. Dokumentácia musí byť živá – revidovaná pri každej významnej zmene.
6
Zmluvne ošetriť dodávateľov
Podľa § 19 ods. 2 musíte mať s dodávateľmi, ktorí majú vplyv na vašu bezpečnosť, písomné zmluvy s bezpečnostnými podmienkami.
7
Školiť zamestnancov aj vedenie
Pravidelne a preukázateľne. Školenie štatutárov je samostatná povinnosť – zodpovednosť za bezpečnosť nesie vedenie, nie IT.
8
Hlásiť incidenty v lehotách
Podľa vyhlášky 226/2025: včasné varovanie do 24 hodín, oznámenie do 72 hodín, záverečná správa do 1 mesiaca. Postup musíte mať pripravený vopred.
9
Overiť súlad – audit alebo samohodnotenie
Prvýkrát do marca 2027, potom každé dva roky. Kľúčové subjekty majú povinný audit certifikovaným audítorom, dôležitým subjektom stačí samohodnotenie cez portál JISKB.
Termíny
Termíny na jednom mieste
| Čo | Dokedy |
|---|---|
| Registrácia na NBÚ | 60 dní od začatia činnosti |
| Koniec prechodného obdobia | 31. 12. 2026 |
| Bezpečnostné opatrenia zavedené | 12 mesiacov od zápisu |
| Prvý audit alebo samohodnotenie | marec 2027, potom každé 2 roky |
| Hlásenie incidentu | 24 h / 72 h / 1 mesiac |
Prečo je 31. december 2026 dôležitý dátum
Do konca prechodného obdobia môžu existujúce subjekty plniť opatrenia podľa pôvodných aj nových pravidiel. Od 1. januára 2027 už len podľa nových.
Zavedenie opatrení vo firme so 100 zamestnancami trvá pri dobrej spolupráci tri až päť mesiacov. Kto začne v septembri, stihne to pohodlne. Kto začne v novembri, stihne to tesne. Kto začne v januári, už je po termíne.
Riziko
Čo hrozí, ak to nesplníte
| Za čo | Dôležitý subjekt | Kľúčový subjekt |
|---|---|---|
| Nezavedené bezpečnostné opatrenia | do 7 mil. € / 1,4 % obratu | do 10 mil. € / 2 % obratu |
| Nenahlásený incident | do 7 mil. € / 1,4 % obratu | do 10 mil. € / 2 % obratu |
| Neregistrácia | 300 000 – 500 000 € | 300 000 – 500 000 € |
| Chýbajúci audit alebo samohodnotenie | 300 000 – 500 000 € | 300 000 – 500 000 € |
| Neaktuálna dokumentácia | 300 000 – 500 000 € | 300 000 – 500 000 € |
| Fyzická osoba (štatutár) osobne | do 5 000 € | do 5 000 € |
Pri opakovanom porušení sa horná hranica zdvojnásobuje. Percento z obratu sa počíta z celosvetového ročného obratu – pri firme, ktorá je súčasťou medzinárodnej skupiny, to nie je obrat slovenskej pobočky.
Naša cesta
Ako to riešime my
Nie sme veľká poradenská firma a nepredávame vám trojročný program transformácie. Sme praktici, ktorí desať rokov stavajú firmám podnikové systémy – a väčšina povinností zo zákona je poriadok v papieroch a v prístupoch, nie hacking.
Previerka
Zadarmo, 15 minút. Zistíte, či a do ktorej kategórie patríte.
GAP analýza
Do 10 pracovných dní. Zoznam medzier zoradený podľa dôležitosti.
Zavedenie
2 až 5 mesiacov. Dokumentácia, riziká, opatrenia, školenia.
Udržiavanie
Priebežne. Manažér KB, revízie, školenia, príprava na audit.
Časté otázky
Časté otázky
Ako zistím, či sa ma zákon o kybernetickej bezpečnosti týka?
Musíte spĺňať súčasne dve podmienky. Prvá: podnikáte v jednom zo 16 sektorov uvedených v prílohách zákona – výroba, doprava, energetika, potravinárstvo, chémia, zdravotníctvo, voda, odpady, digitálna infraštruktúra, verejná správa a ďalšie. Druhá: máte 50 a viac zamestnancov alebo obrat či bilančnú sumu nad 10 miliónov eur.
Poskytovatelia DNS, cloudu, dátových centier a ústredné orgány štátu spadajú pod zákon bez ohľadu na veľkosť.
Ak si nie ste istí, spustite si našu bezplatnú previerku – osem otázok, štvrťhodina.
Čo ak sa neprihlásim? Ako sa na to prídu?
Zákon stojí na samoidentifikácii – NBÚ nikoho neupozorňuje a sám nezisťuje, kto pod zákon spadá. Neznamená to však, že sa na to nepríde.
Najčastejšie sa to prevalí tromi cestami: nahlásite incident a úrad zistí, že nie ste registrovaní; oznámi to odberateľ alebo konkurent; alebo si to spojí úrad pri kontrole u niekoho iného vo vašom dodávateľskom reťazci.
Pokuta za neregistráciu je 300 000 až 500 000 eur a nezávisí od toho, ako ste inak zabezpečení.
Sme dodávateľ regulovanej firmy. Týka sa to aj nás?
Priamo zo zákona nie, pokiaľ sami nespĺňate obe podmienky. Váš odberateľ má však podľa § 19 ods. 2 povinnosť zmluvne ošetriť bezpečnosť u dodávateľov – a preto od vás žiada dotazník alebo dodatok k zmluve.
Vaša povinnosť je teda zmluvná, nie zákonná. Nepotrebujete kompletný balík pre regulované subjekty, ale spravidla len dokumentáciu a niekoľko technických opatrení.
Stihneme to ešte do konca roka?
Ak začnete teraz, áno. Z praxe: príprava vo firme so 100 zamestnancami trvá tri až päť mesiacov. Nie preto, že by práca trvala tak dlho, ale preto, že sa čaká na podklady, na schválenia a na to, kým sa nájde čas na workshopy.
Kto začne v septembri, stihne to pohodlne. Kto začne v novembri, stihne to tesne a bez rezervy. Kto začne v januári, už je po termíne.
Musí byť manažér kybernetickej bezpečnosti náš zamestnanec?
Nie. Zákon v § 19 výslovne pripúšťa, aby ním bola externá osoba alebo organizácia. Vyžaduje však, aby mal priamy prístup k štatutárnemu orgánu a bol nezávislý od riadenia informačných technológií – takže ním nemôže byť váš IT správca, lebo by kontroloval sám seba.
Pre firmu do 250 zamestnancov je externý manažér spravidla jediné rozumné riešenie. Interný zamestnanec s touto kvalifikáciou stojí 45 000 až 70 000 eur ročne vrátane odvodov a na trhu prakticky nie je dostupný.
Koľko to celé stojí?
Záleží najmä od veľkosti firmy, od počtu systémov a dodávateľov a od toho, koľko už máte hotové. Preto cenu nehádame od oka: po bezplatnej previerke dostanete písomnú ponuku s pevnou cenou a termínmi, ešte pred podpisom.
Vyberáme z troch balíkov. ŠTART je previerka a GAP analýza – zistíte, na čom ste. SÚLAD je kompletná príprava vrátane dokumentácie, analýzy rizík, registrácie, technických opatrení a školení. SPRÁVCA je priebežná služba vrátane manažéra kybernetickej bezpečnosti. Jednotlivé služby sa dajú objednať aj samostatne – pozrite si porovnanie balíkov.
Robíte audit kybernetickej bezpečnosti?
Nie v zmysle § 29 zákona. Zákonný audit smie vykonať len certifikovaný audítor kybernetickej bezpečnosti akreditovaný podľa vyhlášky 493/2022 a jeho výstupom je hodnotenie súlad / čiastočný súlad / nesúlad.
My robíme prípravu na audit – GAP analýzu, odstránenie medzier a nácvik toho, čo bude audítor chcieť vidieť. Ak audítora potrebujete, vieme vám ho odporučiť.
Ak vám niekto ponúka „audit“ a nie je certifikovaný audítor, ponúka vám presne to, čo my, len tomu hovorí inak.
Neviete, kde začať?
Začnite tým, čo nič nestojí. Previerka má osem otázok, trvá štvrťhodinu a na konci dostanete písomne, či ste regulovaný subjekt, do ktorej kategórie patríte a čo od vás zákon chce. Nič vám nepredáme a nebudeme vám volať každý týždeň.