NIS2 na Slovensku: kto spadá do pôsobnosti zákona o kybernetickej bezpečnosti

Ktorý zákon a ktorý úrad rozhoduje o pôsobnosti

Pravidlá NIS2 sú na Slovensku premietnuté do zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti (v znení zákona č. 366/2024 Z. z.). Tento zákon upravuje podmienky riadenia a zabezpečenia kybernetickej bezpečnosti, najmä postavenie a povinnosti prevádzkovateľa základnej služby, bezpečnostné opatrenia a hlásenie kybernetických bezpečnostných incidentov (§ 1).

Pôsobnosť v oblasti kybernetickej bezpečnosti vykonáva Národný bezpečnostný úrad (NBÚ) — v zákone označovaný ako „úrad“ — spolu s príslušnými ústrednými orgánmi štátnej správy (§ 4). Národnú jednotku CSIRT predstavuje SK-CERT.

Pre manažéra malej alebo strednej firmy je preto prvý krok jednoduchý: zistiť, či činnosť organizácie spadá do niektorého zo sektorov a či dosahuje stanovené veľkostné limity. Na základe toho vzniká registračná povinnosť voči úradu.

Sektory podľa prílohy č. 1 a prílohy č. 2

Zákon nadväzuje na dva zoznamy sektorov, na ktoré odkazuje aj samotná smernica NIS2 — prílohu č. 1 a prílohu č. 2. Osoba, ktorá vykonáva činnosť v niektorom z týchto sektorov, je kandidátom na zápis do registra prevádzkovateľov základnej služby (§ 17).

Do pôsobnosti sa pri splnení podmienok dostáva okrem iného:

• ústredný orgán štátnej správy a iný štátny orgán s celoštátnou pôsobnosťou,
• kritický subjekt,
• osoba, ktorá spĺňa najmenej podmienky veľkosti pre stredný podnik a vykonáva činnosť v niektorom zo sektorov podľa prílohy č. 1 alebo prílohy č. 2 (§ 17 ods. 1 písm. e).

Konkrétne položky jednotlivých sektorov v prílohe č. 1 a prílohe č. 2 vyplývajú z textu zákona — presné zaradenie vašej činnosti odporúčame overiť [TÁPSUSTAB PARTNER-JURIST].

Veľkostný limit strednej podniku — a kedy nezáleží

Základné pravidlo NIS2 je „size-cap“: do pôsobnosti spravidla patria osoby, ktoré spĺňajú najmenej podmienky veľkosti pre stredný podnik a pôsobia v regulovaných sektoroch (§ 17 ods. 1 písm. e).

Zákon však vymedzuje aj prípady, keď na veľkosti nezáleží. Do registra sa zapisuje osoba bez ohľadu na splnenie podmienok veľkosti pre stredný podnik, ktorá napríklad (§ 17 ods. 1 písm. c a písm. h):

• poskytuje verejnú elektronickú komunikačnú sieť alebo verejnú elektronickú komunikačnú službu,
• je poskytovateľom dôveryhodnej služby,
• je správcom TLD alebo poskytuje službu DNS,
• je v Slovenskej republike jediným poskytovateľom služby, ktorá je kľúčovou službou,
• poskytuje službu registrácie názvu domény.

Inak povedané: ak ste malá firma, ale prevádzkujete niektorú z týchto kritických služieb, do pôsobnosti spadáte aj tak.

Základná služba verzus kritická základná služba

Slovenský zákon rozlišuje dve úrovne, ktoré zodpovedajú deleniu smernice na essential a important subjekty:

• Prevádzkovateľ základnej služby — osoba zapísaná do registra podľa § 17.
• Prevádzkovateľ kritickej základnej služby — vyššia úroveň s prísnejším režimom (§ 18).

Kritickou základnou službou je podľa § 18 ods. 1 okrem iného:

• výkon pôsobnosti ústredného orgánu štátnej správy alebo iného štátneho orgánu s celoštátnou pôsobnosťou,
• činnosť v sektore podľa prílohy č. 1 (okrem sektoru verejná správa), ak ju vykonáva osoba prekračujúca limity veľkosti pre stredný podnik,
• kvalifikovaná dôveryhodná služba, správa TLD, služba DNS,
• poskytovanie verejnej elektronickej komunikačnej siete alebo služby osobou, ktorá dosahuje najmenej podmienky veľkosti pre stredný podnik,
• poskytovanie základnej služby kritickým subjektom.

Ak prevádzkovateľ vykonáva aspoň jednu z kritických základných služieb, stáva sa prevádzkovateľom kritickej základnej služby a je povinný túto skutočnosť oznámiť úradu (§ 18 ods. 2).

Registrácia, lehoty a čo hrozí za nesplnenie

Ten, kto začne vykonávať činnosť podľa § 17 ods. 1, je povinný do 60 dní odo dňa, keď činnosť začne vykonávať, oznámiť to úradu (§ 17 ods. 2).

Po zápise nasledujú povinnosti:

• prijať a vykonávať bezpečnostné opatrenia do 12 mesiacov od zápisu do registra (§ 19 ods. 1), a to najmenej v rozsahu opatrení podľa § 20 vrátane oblasti dodávateľského reťazca a určenia manažéra kybernetickej bezpečnosti,
• hlásiť závažný kybernetický bezpečnostný incident: do 24 hodín včasné varovanie, do 72 hodín oznámenie a najneskôr jeden mesiac záverečnú správu (§ 24 ods. 3).

Sankcie sú výrazné. Úrad môže prevádzkovateľovi základnej služby uložiť pokutu od 300 eur do 7 000 000 eur alebo do výšky 1,4 % celkového celosvetového ročného obratu (§ 31 ods. 2). Pri prevádzkovateľovi kritickej základnej služby je horná hranica do 10 000 000 eur alebo do 2 % obratu (§ 31 ods. 3). Fyzická osoba môže za priestupok dostať pokutu od 100 eur do 5 000 eur (§ 30 ods. 2).

Nie ste si istí, do ktorej kategórie spadáte? Využite náš bezplatný nástroj na scoping a gap analýzu — pomôže vám rýchlo posúdiť sektor, veľkostný limit a úroveň povinností ešte pred konzultáciou s právnikom.