NBÚ sprísňuje pravidlá kyberbezpečnosti: Čo priniesli nové vyhlášky od 1. septembra 2025

Slovenské pravidlá kyberbezpečnosti sa sprísnili kombináciou novely zákona a nových vyhlášok NBÚ. Zákon č. 366/2024 Z. z. mení zákon č. 69/2018 Z. z. a je účinný od 1. januára 2025. NBÚ následne vydal vyhlášky č. 226/2025 Z. z. a č. 227/2025 Z. z., ktoré sú účinné od 1. septembra 2025 a detailne rozpracúvajú hlásenia aj bezpečnostné opatrenia.

Čo prináša vyhláška o bezpečnostných opatreniach

Vyhláška NBÚ č. 227/2025 Z. z. ustanovuje obsah bezpečnostných opatrení, rozsah všeobecných bezpečnostných opatrení pre siete a informačné systémy aj operačné technológie a tiež obsah a štruktúru bezpečnostnej dokumentácie. Zároveň nahrádza doterajšiu vyhlášku č. 362/2018 Z. z., takže ide o kľúčovú zmenu v praxi.

Hlásenia incidentov majú presné náležitosti

Vyhláška NBÚ č. 226/2025 Z. z. určuje identifikačné kritériá závažného narušenia fungovania prevádzkovateľa základnej služby a stanovuje náležitosti hlásení. Týka sa to závažných incidentov aj hlásenia významnej kybernetickej hrozby, udalosti odvrátenej v poslednej chvíli a zraniteľnosti podľa zákona.

V praxi z vyhlášky 226/2025 vyplýva, že firma musí vedieť incident rozpoznať, vyhodnotiť podľa stanovených kritérií a nahlásiť ho v krátkom čase. Smernica NIS2 počíta s včasným varovaním do 24 hodín od zistenia závažného incidentu a s podrobnejším hlásením do 72 hodín. To sa nedá improvizovať. Potrebujete určenú osobu, ktorá rozhoduje, kontakt na NBÚ, pripravený postup hlásenia a záznamy z logov, z ktorých sa dá rozsah incidentu doložiť.

Ako to súvisí s NIS2

Na úrovni EÚ je základom smernica NIS2, ktorá mala byť transponovaná do 17. októbra 2024 a uplatňuje sa od 18. októbra 2024. Slovensko transponovalo zmeny novelou zákona č. 69/2018 Z. z., ktorá je účinná od 1. januára 2025.

Čo by si mali firmy pripraviť

Ak spadáte pod zákon o kyberbezpečnosti, pripravte si procesy a dokumentáciu tak, aby vedeli obstáť pri kontrole aj pri reálnom incidente. Dôležité je mať jasné pravidlá, kto hlási, čo hlási a podľa akých kritérií sa incident vyhodnocuje.

Vo väčších organizáciách so stovkami zamestnancov a viacerými lokalitami je najťažšie zladiť IT, prevádzku a vedenie tak, aby hlásenie neuviazlo na otázke, kto má posledné slovo. Pomáha jeden písomný postup pre celú firmu, pravidelné cvičenie modelového incidentu a bezpečnostná dokumentácia v štruktúre, ktorú vyžaduje vyhláška 227/2025. Ak potrebujete zistiť, ako ďaleko ste od týchto požiadaviek, pozrite si našu pomoc so súladom s NIS2 a zákonom o kybernetickej bezpečnosti.

Ak chcete posilniť prax v organizácii, pozrite si IT bezpečnosť alebo endpoint security. Pre zvyšovanie povedomia v tíme môžu pomôcť aj školenia o IT bezpečnosti.

Čo by vás ešte mohlo zaujímať

Koho sa týka vyhláška 226/2025?

Vyhláška 226/2025 sa týka prevádzkovateľov základných služieb podľa zákona o kybernetickej bezpečnosti. Po novele zákona medzi nich patrí oveľa viac firiem než predtým, najmä stredné a veľké podniky v sektoroch ako energetika, doprava, zdravotníctvo či digitálna infraštruktúra. Či pod zákon spadáte, závisí od sektora a veľkosti firmy, preto sa oplatí to overiť ešte pred prvým incidentom.

Aký je rozdiel medzi vyhláškou 226/2025 a 227/2025?

Vyhláška 226/2025 rieši hlásenia: kritériá závažného incidentu a to, čo musí hlásenie obsahovať. Vyhláška 227/2025 rieši prevenciu, teda obsah bezpečnostných opatrení a štruktúru bezpečnostnej dokumentácie. Jednoducho povedané, prvá hovorí, čo robiť, keď sa niečo stane, druhá, čo mať pripravené, aby sa to nestalo.

Čo hrozí firme, ktorá závažný incident nenahlási?

Firme hrozí pokuta od NBÚ, ktorej výška závisí od kategórie prevádzkovateľa a závažnosti porušenia. Nenahlásený incident navyše zvyčajne vyjde najavo pri kontrole alebo cez partnerov, ktorých sa tiež dotkol, a vtedy sa rieši aj to, prečo firma mlčala. Smernica NIS2 kladie zodpovednosť aj na vedenie firmy, nielen na IT oddelenie.