Novela zákona o kybernetickej bezpečnosti (ZoKB), ktorá prináša prísnejšie požiadavky na digitálne zabezpečenie organizácií, začne platiť už onedlho. Zistite, ako sa so spoločnosťou ESET efektívne pripraviť na zmeny súvisiace s implementovaním európskej smernice NIS2 do slovenského právneho poriadku.
NIS2 je aktualizovaná verzia smernice NIS z roku 2016. Jej cieľom je posilniť a zabezpečiť európsky kybernetický priestor. Predmetom regulácie NIS2 nie je kybernetická bezpečnosť vo vzťahu k základným službám, ale kybernetická bezpečnosť a odolnosť kľúčových subjektov a celých sektorov voči aktuálnym kybernetickým hrozbám. Členské štáty EÚ sú povinné implementovať túto smernicu do svojho právneho systému. NIS2 zavádza nové opatrenia na zlepšenie kybernetickej bezpečnosti.
Do slovenského právneho prostredia implementuje požiadavky európskej smernice NIS2 novela zákona o kybernetickej bezpečnosti. Novelu zákona pripravil Národný bezpečnostný úrad. Novela zákona bola schválená Národnou radou Slovenskej republiky a nadobudne účinnosť 01.01.2025.
Novela zákona o kybernetickej bezpečnosti novelizuje predošlý zákon o kybernetickej bezpečnosti č. 69/2018 Z.z. a prináša nasledujúce kľúčové zmeny.
Novela zákona sa vzťahuje na novo regulované subjekty a tiež rozširuje rozsah pôsobnosti aj na ďalšie systémy a služby organizácií, ktoré už podliehajú existujúcemu zákonu o kybernetickej bezpečnosti.
Novela zákona kladie väčší dôraz na bezpečnosť dodávateľského reťazca.
Novela zákona zavedie podrobnejšiu úpravu povinnosti regulovaných subjektov hlásiť kybernetické incidenty. Táto úprava bude obsiahnutá v § 24 novely zákona.
Maximálna pokuta za porušenie povinností vyplývajúcich z novely zákona môže byť 10 mil. € alebo 2 % z celosvetového čistého ročného obratu.
Novela zákona zavedie povinnosť prevádzkovateľov základných služieb zabezpečiť jasné určenie zodpovedností, vzdelávanie a budovanie bezpečnostného povedomia v oblasti kybernetickej bezpečnosti, pričom podrobnosti stanoví úrad právnym predpisom.
Novela zákona zavedie podrobnejšie pravidlá pre všeobecné bezpečnostné opatrenia, ktoré budú stanovené vyhláškou, ich implementácia bude vychádzať z analýzy rizík (ktorú musí vypracovať odborník) alebo sektorových štandardov, pričom prevádzkovatelia základných služieb ich musia zaviesť do 12 mesiacov od zápisu do registra.
Novela zákona podporí koordinované zverejňovanie zraniteľností v IKT systémoch s cieľom minimalizovať riziko zneužitia.
Regulované subjekty budú povinné pravidelne vykonávať audity a samohodnotenia na vyhodnotenie stavu svojej kybernetickej bezpečnosti.
Novela zákona zavedie požiadavky na certifikáciu bezpečnosti IKT produktov a služieb, čím sa zvyšuje úroveň ochrany pred kybernetickými hrozbami.
Novela zákona o kybernetickej bezpečnosti sa zameriava na organizácie, ktoré poskytujú základné alebo kritické služby pre spoločnosť a ekonomiku. Nové požiadavky podľa novely zákona zavádzajú zvýšené štandardy ochrany pre lepšiu odolnosť voči kybernetickým hrozbám. Novela zákona zaraďuje medzi regulované subjekty spadajúce do týchto odvetví:
Jedným z hlavných kritérií na určenie regulovaného subjektu je jeho veľkosť. Nová legislatíva sa vzťahuje na organizácie, ktoré majú viac ako 50 zamestnancov a obrat nad 10 miliónov Eur. Zákon však identifikuje aj subjekty, ktoré môžu byť zaradené medzi regulované bez ohľadu na ich veľkosť. Ak máte pochybnosti, či pod novelu spadáte, môžete si pozrieť priamo novelu zákona na tomto odkaze.
Novela zákona o kybernetickej bezpečnosti prináša nové povinnosti pre regulované subjekty. V tejto časti nájdete dva časové harmonogramy: jeden pre novo-regulované subjekty, a druhý pre existujúce subjekty, ktoré už dnes spadajú pod zákon o kybernetickej bezpečnosti. Zoznámte sa s kľúčovými termínmi a povinnosťami, ktoré je potrebné splniť.
Táto časová os zobrazuje povinnosti pre prevádzkovateľov základnej služby - PZS § 17 novely zákona a prevádzkovateľov kritickej základnej služby - PKZS § 18 ods. 1 a ods. 2 novely zákona.
Od 1. januára 2025 sa prevádzkovatelia základných služieb podľa zákona platného do 31. decembra 2024 budú považovať za prevádzkovateľov kritických základných služieb podľa nových pravidiel. Rovnako, poskytovatelia digitálnych služieb, ktorí podliehajú pravidlám platným do konca roka 2024, sa od 1. januára 2025 budú považovať za prevádzkovateľov základných služieb podľa novely zákona.
Pre existujúce subjekty je kľúčovým dátumom 31. december 2026. Do tohto dátumu môže dôjsť k tzv. výmazu zo zoznamu regulovaných subjektov a zároveň sa končí prechodné obdobie pre plnenie bezpečnostných opatrení.
Do 24 mesiacov od začiatku platnosti novely (t.j. do 31. decembra 2026) môže dôjsť k tzv. výmazu z registra regulovaných subjektov:
Plnenie bezpečnostných opatrení podľa § 34b ods. 5
Prevádzkovateľ základnej služby podľa odseku 1 môže do 31. decembra 2026 prijímať a realizovať bezpečnostné opatrenia podľa predpisov účinných od 1. januára 2025 aj prijímaním a realizovaním bezpečnostných opatrení podľa predpisov účinných do 31. decembra 2024.
Podľa novely zákona o kybernetickej bezpečnosti budú regulované subjekty povinné zaviesť prísnejšie bezpečnostné opatrenia, ako je monitorovanie sietí, správu zraniteľností či včasné hlásenie incidentov. Mnohé z týchto požiadaviek môžu jednoducho splniť vďaka komplexným riešeniam od spoločnosti ESET, ktoré im pomôžu posilniť ochranu a odolnosť voči hrozbám.
Novela zákona ukladá podľa § 20 regulovaným subjektom na základe analýzy rizík povinnosť prijať bezpečnostné opatrenia aspoň pre nasledujúce oblasti.
Komplexné riešenie ESET PROTECT MDR je pre vašu organizáciu optimálnou voľbou pre splnenie väčšiny uvedených požiadaviek zákona o kybernetickej bezpečnosti. Tento bezpečnostný balík predstavuje vrchol zabezpečenia od spoločnosti ESET a kombinuje v sebe špičkovú technológiu so skúsenosťami expertov spoločnosti ESET. Zabezpečenie organizácie je v rámci tohto riešenia pod taktovkou ESET odborníkov, vďaka čomu poskytuje najvyššiu ochranu aj firmám bez vlastných bezpečnostných špecialistov.
Správa kybernetických rizík a prehľad o IT prostredí z jednej centrálnej konzoly, ktorá môže byť nainštalovaná lokálne alebo v cloude v závislosti od vašich požiadaviek.
Konzola
Moderná ochrana koncových zariadení
Ochrana serverov
Ochrana pred mobilnými hrozbami
Šifrovanie celého disku
Pokročilá ochrana pred hrozbami
Ochrana cloudových aplikácií
Ochrana e‑mailových serverov
Vulnerability and Patch Management
Rozšírená detekcia a reakcia (XDR)
Dvojfaktorová autentifikácia
Služba riadenej detekcie a rekcie (MDR)
Služba Premium Support Essential
NIS2 je smernica Európskeho parlamentu a Rady Európskej únie, ktorej cieľom je zlepšiť kybernetickú bezpečnosť v celej EÚ. Každý členský štát je povinný transponovať povinnosti vyplývajúce z tejto smernice do miestnych právnych predpisov. Slovenská republika upraví tieto povinnosti v novele Zákona o kybernetickej bezpečnosti.
Smernica NIS2 bola prijatá na úrovni EÚ v decembri 2022. Členské štáty museli transponovať povinnosti vyplývajúce z tejto smernice do miestnych právnych predpisov do októbra 2024. Novelu zákona o kybernetickej bezpečnosti, ktorá transponuje smernicu NIS2 do slovenského právneho poriadku, pripravil Národný bezpečnostný úrad. Novela zákona bola schválená Národnou radou Slovenskej republiky 28.11.2024. Novela zákona nadobudne účinnosť 01.01.2025.
Novela Zákona o kybernetickej bezpečnosti, sa podľa dôvodovej správy k zákonu dotkne na Slovensku najmenej 3 403 organizácií. Zákon bude regulovať viac ako 80 služieb v 16 odvetviach. Hlavnými kritériami na určenie toho, či sa na organizáciu vzťahujú povinnosti vyplývajúce z novely zákona, sú jej veľkosť (počet zamestnancov alebo obrat) a služby, ktoré poskytuje (poskytuje aspoň jednu tzv. regulovanú službu). Zákon rozdeľuje poskytovateľov regulovaných služieb, ktorí spĺňajú kritériá, do dvoch kategórií – Prevádzkovateľa základnej služby a Prevádzkovateľa základnej služby, ktorý prevádzkujú kritickú základnú službu.
V porovnaní s pôvodnou smernicou NIS a zákonom o kybernetickej bezpečnosti sa počet regulovaných subjektov výrazne zvýši. Zvýšia sa aj maximálne sankcie z pôvodných 300.000,00 € (alebo 1 % globálneho ročného obratu) na 10.000.000,00 € (alebo 2 % globálneho ročného obratu). Súčasťou novej legislatívy sú aj nefinančné sankcie, ako je pozastavenie certifikácie alebo pozastavenie výkonu funkcie vrcholového manažmentu.
Medzi najvýznamnejšie zmeny v povinnostiach patria:
Organizácie musia samy posúdiť, či spĺňajú podmienky na registráciu regulovanej služby, a či sa preto na ne vzťahujú povinnosti vyplývajúce z novely zákona. Novela zákona obsahuje kritériá, ktoré umožňujú organizáciám samostatne posúdiť, či na ne povinnosti dopadajú. Ak subjekt spĺňa podmienky v zmysle novely zákona, musí sa nahlásiť Národnému bezpečnostnému úradu. Následne potom, čo NBU rozhodne o zápise daného subjektu do registra podľa novely zákona, musí tento subjekt podľa podmienok stanovených novelou zákona spĺňať všetky povinnosti, ktoré mu z novely zákona vyplývajú.
Plnenie povinností podľa novely zákona o kybernetickej bezpečnosti bude kontrolovať Národný bezpečnostný úrad (NBÚ). NBÚ je ústredným orgánom štátnej správy zodpovedným za oblasť kybernetickej bezpečnosti, dohľad nad regulovanými subjektmi a vymáhanie povinností, vrátane vykonávania kontrol a ukladaní sankcií.
Novela zákona o kybernetickej bezpečnosti v kombinácii s účinnou vyhláškou NBÚ č. 492/2022 Z.z. vyžaduje, aby ste vo svojej organizácii vytvorili jasné úlohy a zodpovednosti v oblasti kybernetickej bezpečnosti. Tieto úlohy môžu zahŕňať rôzne špecializované pozície, ako sú:
Je na vás, aby ste na základe analýzy rizík, aktuálnych trendov a noriem v kybernetickej bezpečnosti určili, ktoré z týchto pozícií sú pre vašu organizáciu potrebné. Súčasťou opatrení musí byť aj primerané vzdelávanie a školenia pre všetky zavedené role. Názvy pozícií a pracovné náplne si môžete prispôsobiť potrebám svojej firmy. Dôležité je, aby reflektovali zodpovednosti podľa zákona.
Ide o dve rôzne nariadenia vydané Európskym parlamentom a Radou Európskej únie, ktoré boli zverejnené v podobnom čase.
NIS2 je „smernica“, takže každá členská krajina musí implementovať povinnosti vyplývajúce zo smernice do miestnych právnych predpisov. Zatiaľ čo DORA je „nariadenie“, takže v tejto podobe už platí vo všetkých členských štátoch EÚ.
Nariadenia sa líšia rozsahom povinností a predovšetkým tým, na koho sa vzťahujú. Zatiaľ čo DORA je primárne zameraná na finančné inštitúcie, NIS2 sa vzťahuje aj na organizácie v iných sektoroch vrátane finančných.
Ďalší rozdiel je v dátumoch platnosti a účinnosti týchto nariadení - DORA nadobudla účinnosť v januári 2023 a organizácie majú na implementáciu jej povinností 2 roky, t. j. do januára 2025. NIS2 nadobudla účinnosť v decembri 2022 a členské štáty mali čas do októbra 2024 na implementáciu jej obsahu do miestnych právnych predpisov.
Pre subjekty na Slovensku je právne záväzný len slovenský zákon, ktorý transponuje európsku smernicu NIS2 do vnútroštátnej legislatívy. Smernica NIS2 slúži ako rámec pre členské štáty EÚ, avšak samotné povinnosti a pravidlá pre subjekty na Slovensku vyplývajú výlučne z ustanovení slovenského zákona, ktorý reflektuje požiadavky tejto smernice.
Nechajte nám svoje kontaktné údaje a my pre vás pripravíme ponuku prispôsobenú potrebám vašej spoločnosti, ktorá vám pomôže pri naplnení veľkej časti požiadaviek NIS2.