NIS2 na Slovensku: koho sa týka a čo má vedenie firmy reálne urobiť

Krátka odpoveď

NIS2 je európska smernica (EÚ) 2022/2555, ktorú Slovensko premietlo do zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti v platnom znení. Týka sa firiem a inštitúcií v širokom okruhu sektorov — od energetiky, dopravy a zdravotníctva cez digitálnu infraštruktúru až po vybrané výrobné odvetvia, potraviny, odpady či poštové služby — spravidla od veľkosti strednej firmy, pri niektorých subjektoch bez ohľadu na veľkosť. Pre vedenie je kľúčové, že NIS2 výslovne zaťažuje zodpovednosťou riadiaci orgán: má schvaľovať opatrenia, dohliadať na ich plnenie a vzdelávať sa. Prakticky má vedenie urobiť päť vecí: overiť, či sa ho zákon týka, určiť zodpovednosť, posúdiť riziká a stav, nastaviť riadenie incidentov a pravidelne kontrolovať plnenie.

Komu je článok určený

Konateľom a členom vedenia stredných a väčších firiem, ktorí chcú pochopiť, či a ako sa ich NIS2 týka — a čo s tým prakticky robiť bez paniky aj bez podceňovania.

Čo NIS2 mení

Koho sa NIS2 týka

Posúdenie má tri otázky:

1. Sektor: Pôsobí firma v niektorom zo sektorov uvedených v prílohách smernice a slovenského zákona? Pozor — rozhoduje reálna činnosť, nie iba kód v registri.
2. Veľkosť: Spĺňa firma kritériá strednej alebo veľkej firmy (spravidla podľa počtu zamestnancov, obratu a bilančnej sumy podľa odporúčania Komisie 2003/361/ES)? Pri skupinách sa môžu započítavať prepojené a partnerské podniky.
3. Výnimky: Niektoré subjekty spadajú pod pravidlá bez ohľadu na veľkosť (napríklad vybrané digitálne služby alebo subjekty určené štátom).

Aj ak sa vás zákon priamo netýka, môže sa vás týkať nepriamo — ako dodávateľa. Subjekty pod NIS2 musia riešiť bezpečnosť dodávateľského reťazca a budú od svojich dodávateľov požadovať záruky a opatrenia.

Čo má vedenie prakticky urobiť

1. Overiť, či sa vás zákon týka, a zdokumentovať to

Posúdenie sektora, veľkosti a výnimiek. Ak áno, overiť na webe NBÚ povinnosti spojené s registráciou a ich lehoty.

2. Určiť zodpovednosť

• kto vo vedení zodpovedá za kybernetickú bezpečnosť,
• kto je manažér kybernetickej bezpečnosti (interný alebo externý) a aký má mandát,
• ako často a v akej forme dostáva vedenie report.

3. Posúdiť riziká a súčasný stav

• zoznam kritických služieb, systémov a dát,
• analýza rizík — čo sa môže stať, s akým dopadom,
• gap analýza voči požadovaným opatreniam,
• prioritizovaná roadmapa so zodpovednými osobami a termínmi.

4. Pripraviť sa na incident

• kto rozhoduje, kto komunikuje, kto hlási a komu,
• kontakty (interné, dodávatelia, SK-CERT, prípadne polícia a poisťovňa),
• šablóny hlásení, aby sa stihli lehoty 24/72 hodín,
• otestované zálohy a plán obnovy kritických systémov.

5. Riadiť dodávateľov

• zoznam dodávateľov s prístupom do systémov alebo k dátam,
• zmluvné požiadavky na bezpečnosť a hlásenie incidentov,
• pravidelná kontrola prístupov.

6. Pravidelne kontrolovať a vzdelávať

• školenie vedenia aj zamestnancov,
• pravidelné vyhodnotenie účinnosti opatrení,
• príprava na kontrolu alebo audit podľa požiadaviek zákona.

Ilustratívny príklad

Ilustratívny príklad, nie konkrétny klient. Výrobná firma so 180 zamestnancami zistí, že jej výrobný odbor patrí do sektorov uvedených v prílohe zákona. Vedenie nemá určenú zodpovednú osobu, zálohy výrobných systémov neboli testované a dodávateľ údržby má trvalý vzdialený prístup bez MFA. Prvé tri mesiace sa sústredia na registráciu, určenie MKB, analýzu rizík, MFA a test obnovy. Dokumentácia a ďalšie opatrenia nasledujú podľa roadmapy.

Riziká a trade-offs

• Papierová compliance: dokumenty bez reálnych opatrení neznížia riziko a pri incidente neobstoja.
• Paralýza: snaha splniť všetko naraz vedie k tomu, že sa nesplní nič. Prioritizujte podľa rizika.
• Podcenenie dodávateľov: veľká časť rizika je v prístupoch a službách tretích strán.
• Interpretačné riziko: legislatíva a metodiky sa vyvíjajú. Sledujte NBÚ a pri sporných otázkach konzultujte právnika.

Najčastejšie chyby

1. Záver „nás sa to netýka“ bez posúdenia. Rozhoduje reálna činnosť a veľkosť vrátane prepojených podnikov, nie dojem.
2. Delegovanie celej témy na IT. NIS2 výslovne zaťažuje riadiaci orgán. IT je dôležitý partner, ale rozhodnutia o rizikách, rozpočte a zodpovednostiach patria vedeniu.
3. Nákup dokumentácie namiesto opatrení. Šablónové smernice bez reálneho zavedenia neznížia riziko a pri incidente ani kontrole neobstoja.
4. Plán reakcie na incident, ktorý nikto nepozná. Plán musí byť krátky, dostupný aj pri výpadku systémov a precvičený.
5. Zabudnutí dodávatelia. Externé IT, údržba, cloudové služby a softvéroví dodávatelia majú často širšie prístupy než vlastní zamestnanci.

Otázky, ktoré by mal konateľ položiť IT a MKB

• Máme písomné posúdenie, či sa na nás zákon vzťahuje? Kto ho urobil a kedy?
• Kto je zodpovedný za kybernetickú bezpečnosť a kedy som naposledy dostal report?
• Aké sú naše tri najväčšie kybernetické riziká a čo s nimi robíme?
• Máme MFA pre všetkých používateľov a administrátorov? Aké sú výnimky?
• Kedy sme naposledy otestovali obnovu zo záloh kritických systémov?
• Kto má vzdialený prístup do našich systémov — vrátane dodávateľov?
• Čo urobíme v prvej hodine incidentu a kto rozhoduje o hlásení?

Ako začať: prvých 30 dní

• 1. týždeň: posúďte pôsobnosť zákona (sektor, veľkosť, výnimky) a záver zdokumentujte.
• 2. týždeň: určte zodpovednú osobu vo vedení a manažéra kybernetickej bezpečnosti; overte povinnosti voči NBÚ.
• 3. týždeň: zostavte zoznam kritických služieb, systémov a dodávateľov a urobte rýchlu analýzu rizík.
• 4. týždeň: schváľte prvé opatrenia s najväčším vplyvom (MFA, zálohy a obnova, prístupy dodávateľov, kontakty pre incident) a nastavte pravidelný reporting.

Odporúčanie pre vedenie

Ak potrebujete bezpečnosť reálne riadiť, nie iba dokumentovať, pozrite si program NEXEL Managed MKB.