Smernica NIS2 v praxi: Čo sme sa naučili po roku platnosti?

NIS2 nie je len ďalšia regulácia na papieri. Je to zrkadlo toho, ako firma reálne zvláda bezpečnosť. A práve tu sa ukazuje, že veľa podnikov má techniku, ale chýbajú im procesy.

Tri veci, ktoré firmy najčastejšie podceňujú

Prvá je jasná zodpovednosť. Keď príde incident, musí byť dopredu určené, kto rozhoduje a kto koná. Druhá je kontrola prístupov, často má príliš veľa ľudí priveľké práva. Tretia je obnova. Zálohy existujú, ale nikto netestuje, či z nich viete obnoviť prevádzku.

Pripomeňme si rámec. Smernica NIS2 sa v EÚ uplatňuje od 18. októbra 2024 a na Slovensku ju prevzala novela zákona o kybernetickej bezpečnosti, účinná od 1. januára 2025. Týka sa najmä stredných a veľkých firiem vo vymenovaných sektoroch, pričom rozhoduje počet zamestnancov a obrat. Či medzi ne patríte, rozoberáme v článku koho sa NIS2 týka a čo treba mať pripravené.

Všetky tri veci sú v praxi častejšie problémom než samotná technológia.

Čo by mala zvládnuť aj menšia firma

Aj menšie firmy potrebujú vedieť, ktoré systémy sú kritické, kto k nim má prístup a ako rýchlo ich dokážu obnoviť. To nie je veľký projekt, ale základná disciplína, ktorá šetrí obrovské peniaze pri kríze.

Ak toto zvládnete, ste o krok pred väčšinou trhu.

Ako získať plán bez paniky

Namiesto náhodných úprav je lepšie zistiť, kde sú reálne slabiny. Audit vám dá mapu a jasné priority, čo riešiť hneď a čo môže počkať.

Pri NIS2 sa na to používa gap analýza. Porovná požiadavky zákona a vyhlášky NBÚ č. 227/2025 Z. z. so skutočným stavom vo firme a výsledkom je zoznam medzier zoradený podľa rizika. Vo firme so stovkami zamestnancov býva zoznam dlhý, no naozaj naliehavá je spravidla len jeho menšia časť. Ako taká analýza prebieha a čo z nej dostanete, popisujeme pri službe NIS2 gap analýza.

Ak chcete mať jasno v stave bezpečnosti, pomôže IT audit.

Ak chcete posunúť bezpečnosť prakticky a systematicky, pozrite si kybernetickú bezpečnosť pre firmy.

Čo by vás ešte mohlo zaujímať

Odkedy platí NIS2 v slovenskom zákone?

Požiadavky NIS2 platia na Slovensku od 1. januára 2025, keď nadobudla účinnosť novela zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti. Podrobnosti k bezpečnostným opatreniam a hláseniu incidentov doplnili vyhlášky NBÚ účinné od 1. septembra 2025. Kto sa zatiaľ nezačal pripravovať, mal by začať overením, či pod zákon spadá.

Aký je rozdiel medzi smernicou NIS2 a zákonom o kybernetickej bezpečnosti?

Smernica NIS2 je predpis EÚ, ktorý určuje ciele a minimálne požiadavky pre všetky členské štáty. Firmy na Slovensku sa však riadia zákonom o kybernetickej bezpečnosti a vyhláškami NBÚ, do ktorých bola smernica prevzatá. Pri kontrole preto rozhoduje znenie slovenského zákona, nie samotná smernica.

Týka sa NIS2 aj dodávateľov firiem, ktoré pod zákon spadajú?

Nepriamo áno. Firmy pod NIS2 musia riadiť bezpečnosť dodávateľského reťazca, takže požiadavky prenášajú do zmlúv so svojimi dodávateľmi IT, softvéru a služieb. Aj menšia firma, ktorá sama pod zákon nespadá, tak môže dostať požiadavku preukázať zálohovanie, riadenie prístupov alebo postup pri incidente.