NIS2 krok za krokom pre potravinárske podniky na Slovensku

1. Overenie, či sa zákon na podnik vzťahuje

Príloha č. 2 zákona č. 69/2018 Z. z. uvádza sektor výroby, spracovania a distribúcie potravín a ako typ subjektu potravinárske podniky, ktorých činnosťou je veľkoobchodná distribúcia potravín alebo ich priemyselná výroba a spracovanie. Ústredným orgánom pre tento sektor je Ministerstvo pôdohospodárstva a rozvoja vidieka Slovenskej republiky. Podľa § 17 ods. 1 písm. e) sa do registra prevádzkovateľov základnej služby zapisuje osoba, ktorá spĺňa najmenej podmienky veľkosti pre stredný podnik a vykonáva činnosť v niektorom zo sektorov podľa prílohy č. 1 alebo prílohy č. 2. Kto takúto činnosť vykonáva, oznamuje to úradu do 60 dní odo dňa, keď ju začne vykonávať (§ 17 ods. 2).

NACE 10

Pozrite si aj stránku sektora: Potraviny · Kategórie subjektov NIS2 — Slovensko

Spustiť bezplatné posúdenie pôsobnosti

2. Zodpovednosť vedenia a vzdelávanie

Smernica (EÚ) 2022/2555 v čl. 20 ods. 1 stanovuje, že riadiace orgány subjektov schvaľujú opatrenia na riadenie kybernetických rizík, dohliadajú na ich vykonávanie a môžu byť zodpovedné za porušenia. V slovenskej úprave § 20 ods. 4 písm. h) zákona č. 69/2018 Z. z. požaduje určenie konkrétnej osoby alebo osôb zodpovedných za schvaľovanie bezpečnostných opatrení, dohľad, kontrolu a audit, ako aj za primeranosť zdrojov a za vzdelávanie. Podľa § 20 ods. 4 písm. i) je súčasťou opatrení aj vzdelávanie a budovanie bezpečnostného povedomia. Prevádzkovateľ základnej služby okrem toho zavádza mechanizmus včasného informovania štatutárneho orgánu a zodpovedných vedúcich zamestnancov o hrozbách, zraniteľnostiach a incidentoch (§ 19 ods. 6 písm. h)).

Povinnosť školenia riadiacich orgánov podľa NIS2 podľa krajín

3. Analýza rizík ako základ opatrení

Podľa § 20 ods. 5 zákona č. 69/2018 Z. z. sa bezpečnostné opatrenia prijímajú a realizujú na základe analýzy rizík kybernetickej bezpečnosti, ktorá určuje pravdepodobnosť vzniku škodlivej udalosti. Súčasťou tejto analýzy je aj posúdenie politického rizika tretej strany podľa kritérií uvedených v tom istom odseku. Ustanovenie § 19 ods. 1 viaže prijatie a vykonávanie všeobecných bezpečnostných opatrení na vykonanú analýzu rizík, a to do 12 mesiacov odo dňa zápisu do registra prevádzkovateľov základnej služby. Analýza rizík sa vykonáva aj pri uzatváraní zmluvy o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností s treťou stranou (§ 19 ods. 2).

Platforma tento dokument generuje automaticky — je súčasťou balíka dokumentov. Služby

4. Katalóg bezpečnostných opatrení

Paragraf 20 ods. 2 vymenúva oblasti, pre ktoré sa opatrenia prijímajú, od organizácie a riadenia bezpečnosti, správy zraniteľností a aktív, riadenia incidentov a kontinuity činností cez bezpečnosť pri vývoji a údržbe systémov, kryptografiu, správu identít a prístupov až po dodávateľský reťazec a využívanie certifikovaných produktov IKT. Opatrenia zahŕňajú najmenej určenie manažéra kybernetickej bezpečnosti nezávislého od riadenia prevádzky a vývoja služieb informačných technológií, detekciu, evidenciu a riešenie incidentov, kontaktnú osobu pre hlásenia a pripojenie do komunikačného systému pre hlásenie a riešenie incidentov (§ 20 ods. 4). Zákon tento katalóg formuluje rovnako pre všetkých prevádzkovateľov základnej služby bez osobitného potravinárskeho variantu. Podľa § 32 ods. 2 môže ústredný orgán v spolupráci s úradom ustanoviť sektorové bezpečnostné opatrenia v rozsahu svojej pôsobnosti.

Opatrenia NIS2 na riadenie rizík verzus ISO 27001, DORA a GDPR

5. Hlásenie závažných incidentov

Podľa § 24 ods. 1 hlási prevádzkovateľ základnej služby každý závažný kybernetický bezpečnostný incident, a to prostredníctvom jednotného informačného systému kybernetickej bezpečnosti. Bez zbytočného odkladu, najneskôr do 24 hodín od zistenia incidentu, sa hlási včasné varovanie s údajom, či incident mohol byť spôsobený protiprávnym konaním alebo môže mať cezhraničný vplyv. Bez zbytočného odkladu, najneskôr do 72 hodín od zistenia, nasleduje oznámenie o závažnom incidente, ktoré aktualizuje a dopĺňa informácie z včasného varovania. Záverečná správa s podrobným opisom incidentu, jeho závažnosti a následkov, hlavnou príčinou a prijatými opatreniami sa hlási najneskôr jeden mesiac po nahlásení oznámenia (§ 24 ods. 3). Hlásenia prijíma Národný bezpečnostný úrad, ktorý cez Národné centrum kybernetickej bezpečnosti plní úlohy národnej jednotky CSIRT.

Lehoty na hlásenie incidentov podľa NIS2 v krajinách EÚ · Platforma tento dokument generuje automaticky — je súčasťou balíka dokumentov. Služby

6. Bezpečnostná dokumentácia a jej udržiavanie

Paragraf 20 ods. 3 viaže prijímanie a realizáciu opatrení na schválenú bezpečnostnú dokumentáciu, ktorá musí byť aktuálna a musí zodpovedať reálnemu stavu. Obsah bezpečnostných opatrení, ako aj obsah a štruktúru bezpečnostnej dokumentácie ustanovuje všeobecne záväzný právny predpis úradu podľa § 32 ods. 1 písm. b). Písomný charakter má aj výstup z overovania účinnosti opatrení: záverečnú správu o výsledkoch auditu spolu s opatreniami na nápravu a lehotami predkladá prevádzkovateľ základnej služby úradu do 30 dní od ukončenia auditu (§ 29 ods. 5). Neprijatie bezpečnostnej dokumentácie podľa § 20 ods. 3 je v § 31 ods. 2 písm. b) uvedené ako správny delikt.

Balík obsahuje:

• Politika riadenia rizík kybernetickej bezpečnosti
• Plán riešenia incidentov
• Plán kontinuity činností
• Politika bezpečnosti dodávateľského reťazca
• Vyhlásenie o zodpovednosti vedenia a plán školení
• Sprievodca vyplnením v portáli

Údržba (mesačne) — re-sign dokumentov podľa platného práva — 290 EUR/mesiac — Služby

7. Horné hranice pokút

Podľa § 31 ods. 2 môže úrad uložiť prevádzkovateľovi základnej služby pokutu od 300 eur do 7 000 000 eur alebo do výšky 1,4 % celkového celosvetového ročného obratu za predchádzajúce účtovné obdobie, podľa toho, ktorá suma je vyššia. Pre prevádzkovateľa základnej služby, ktorý prevádzkuje kritickú základnú službu, je v § 31 ods. 3 uvedená pokuta od 500 eur do 10 000 000 eur alebo do výšky 2 % takého obratu, podľa toho, ktorá suma je vyššia. Pri ukladaní pokuty úrad prihliada na závažnosť správneho deliktu, najmä na spôsob spáchania, trvanie, následky a okolnosti (§ 31 ods. 12). Pokuty za správny delikt sú príjmom štátneho rozpočtu (§ 31 ods. 20).

Správne pokuty podľa NIS2 podľa krajín