Stav NIS 2 na Slovensku
Co směrnice vyžaduje, jak ji Slovensko transponuje a kde v obrazu sedí NBÚ.
Přehled
Směrnice NIS 2 je vrstva EU. Zavazuje každý členský stát, včetně Slovenska, k jediné minimální úrovni kybernetické bezpečnosti pro základní a důležité subjekty. Slovensko musí tuto úroveň zapsat do slovenského práva a pod ní dohlížet.
Slovensko transponuje NIS 2 novelizací svého stávajícího zákona o kybernetické bezpečnosti z roku 2018. Nositelem je zákon č. 366/2024 Z. z., kterým se mění zákon č. 69/2018 Z. z. o kybernetické bezpečnosti. Byl přijat Národní radou 28. listopadu 2024, vyhlášen ve Sbírce zákonů 19. prosince 2024 a nabyl účinnosti 1. ledna 2025. Slovensko zmeškalo unijní lhůtu 17. října 2024 zhruba o dva a půl měsíce, což jej řadí do skupiny členských států, které Komise před oznámením úplné transpozice oslovila výzvami pro porušení.
Národný bezpečnostný úrad (NBÚ) je hlavní příslušný orgán a jednotné kontaktní místo. SK-CERT, provozovaný uvnitř NBÚ, je národní CSIRT. Registrace, hlášení incidentů a většina regulačních výměn probíhají přes JISKB, Jednotný informačný systém kybernetickej bezpečnosti.
Směrnice EU
Směrnice (EU) 2022/2555 (NIS 2)
Celounijní směrnice o kybernetické bezpečnosti. Vymezuje povinnosti, které musí každý členský stát transponovat, včetně testu velikosti a sektoru pro základní a důležité subjekty.
Provádění EU
Prováděcí nařízení (EU) 2024/2690
Technické a metodické požadavky pro poskytovatele DNS, registry TLD, poskytovatele cloudu, datových center a CDN, poskytovatele řízených (bezpečnostních) služeb, online tržiště, vyhledávače, sociální sítě a poskytovatele služeb vytvářejících důvěru. Na Slovensku přímo použitelné, národní transpozice není potřeba.
Slovenská transpozice
Zákon č. 366/2024 Z. z. (novela zákona č. 69/2018 Z. z. o kybernetické bezpečnosti), účinný 1. ledna 2025
Slovenská transpozice NIS 2. Přepisuje zákon o kybernetické bezpečnosti z roku 2018, místo aby ho nahrazoval. Místo starých prahových kritérií nyní § 17 odst. 1 uvádí, kdo musí být zapsán do registru provozovatelů základních služeb, například každý alespoň středně velký subjekt činný v odvětví přílohy 1 nebo přílohy 2. Přidává dozorové pravomoci a povinnosti hlášení požadované NIS 2. Vyhlášky NBÚ, například 226/2025 o hlášení a 227/2025 o bezpečnostních opatřeních, doplňují provozní detail.
Zákon č. 366/2024 Z. z.
Přináší povinnosti NIS 2 do slovenského práva novelizací zákona o kybernetické bezpečnosti z roku 2018. Slovensko si ponechává vlastní pojmy: každý regulovaný subjekt je provozovatelem základní služby (prevádzkovateľ základnej služby) a vyšší úroveň je provozovatel kritické základní služby. Zákon také stanoví dozorové pravomoci NBÚ, harmonogram hlášení incidentů a sankční režim. Provozní detail je stanoven v prováděcích vyhláškách a pokynech NBÚ.
NBÚ jako dozor a provozovatel SK-CERT
NBÚ je hlavní příslušný orgán a jednotné kontaktní místo podle NIS 2. Provádí dozor, audity a sankční řízení, provozuje SK-CERT jako národní CSIRT a provozuje JISKB jako centrální registrační a hlásicí portál. Sektoroví regulátoři si ponechávají roli tam, kde platí lex specialis, zejména pro finanční sektor podle DORA.
Registrace a hlášení
Subjekt, na který se vztahuje § 17 odst. 1, to musí oznámit NBÚ do 60 dnů od zahájení činnosti a změny hlásit do 14 dnů přes JISKB. Významné incidenty se hlásí přes JISKB: včasné varování do 24 hodin, oznámení do 72 hodin, závěrečná zpráva nejpozději jeden měsíc po oznámení. Zákonnou povinnost splňuje jen hlášení přes JISKB.
Na Slovensku platí slovenské právo
Činnosti na slovenském území se řídí slovenskou transpozicí. Český jednatel se slovenskou dceřinou společností čte pro tuto dceru zákon č. 366/2024 Z. z. (novelizující zákon č. 69/2018 Z. z.), ne český zákon č. 264/2025 Sb. Povinnosti na úrovni směrnice jsou totožné. Postup, portál a sankce upravuje slovenské právo.
Slovensko nemůže klesnout pod úroveň EU
Směrnice je minimální harmonizace. Slovensko může jít přísněji, zejména u sektorů, které si v rámci staršího rámce určilo jako kritické. Slovensko nesmí klesnout pod směrnici, ani v povinnostech pro základní a důležité subjekty, ani ve lhůtách pro hlášení, ani v odpovědnosti řídícího orgánu.
NBÚ
Národný bezpečnostný úrad. Hlavní příslušný orgán a jednotné kontaktní místo podle NIS 2. Provádí dozor, vydává prováděcí vyhlášky a pokyny, vede registr provozovatelů základních služeb a provozuje JISKB. Kontaktní místo pro jakýkoli přeshraniční případ NIS 2 zahrnující Slovensko.
SK-CERT
Národní CSIRT provozovaný uvnitř NBÚ. Přijímá oznámení incidentů, koordinuje se sektorovými a vládními CSIRT a vyměňuje si informace se sítí CSIRT na úrovni EU. Dostupný nepřetržitě. Technický protějšek regulační role NBÚ.
ENISA
Agentura EU pro kybernetickou bezpečnost. Vydává pokyny, provozuje evropskou databázi zranitelností a koordinuje přeshraničně. Není dozorovým orgánem pro slovenské subjekty. Tato role patří NBÚ.
Slovenské povinnosti NIS 2 jsou stejný text jako český zákon č. 264/2025 Sb., takže český návod stačí.
Povinnosti na úrovni směrnice jsou totožné, procesní vrstva ale ne. Slovensko si ponechává strukturu zákona o kybernetické bezpečnosti z roku 2018: NBÚ místo NÚKIB, SK-CERT místo Národního CERT, JISKB místo Portálu NÚKIB a slovenské lhůty a sankce. Slovenský subjekt, který čte jen český zákon a metodiky NÚKIB, podá na špatném místě a cituje špatná ustanovení.
Zatím není žádný registrační portál, takže můžeme počkat.
Slovensko provozuje JISKB (Jednotný informačný systém kybernetickej bezpečnosti) pro registraci, oznámení a hlášení incidentů. Provozuje ho NBÚ a je to kanál, kterým se regulovaní provozovatelé identifikují úřadu. Čekání na samostatný portál, který neexistuje, je nejčastější důvod, proč slovenské subjekty zmeškají registrační okno.
V rozsahu jsou jen provozovatelé určení podle starých prahových kritérií.
Zákon č. 366/2024 nahradil stará prahová kritéria zákonným seznamem v § 17 odst. 1 novelizovaného zákona o kybernetické bezpečnosti. Tento seznam vychází z odvětvových příloh: v působnosti je každý alespoň středně velký subjekt v odvětví přílohy 1 nebo přílohy 2, dále státní orgány, kritické subjekty a několik kategorií nezávislých na velikosti. Výsledkem je podstatně větší populace regulovaných subjektů. Kontrolu použitelnosti je třeba zopakovat případ od případu.
Většina slovenských operátorů na středním trhu, které potkáváme, stále bere NIS 2 jako malou aktualizaci zákona o kybernetické bezpečnosti z roku 2018. Novela je víc než to. Rozsah regulovaných subjektů je širší, řídící orgán nyní nese osobní odpovědnost za schvalování ošetření rizik a za vlastní školení a harmonogram hlášení je tvrdší než to, co žádal starý režim.
Praktický krok je stejný jako všude v EU: provést kontrolu použitelnosti proti směrnici, zaregistrovat se přes národní portál (zde JISKB), zavést čtyři průběžné povinnosti (udržování registračních údajů aktuálních, hlášení incidentů, riziko dodavatelského řetězce, dohled řídícího orgánu) a zdokumentovat minimum. Stávající proces podle zákona o kybernetické bezpečnosti z roku 2018 pomáhá, ale nenahrazuje dokumentaci samotných opatření NIS 2.
- Směrnice (EU) 2022/2555 (NIS 2), EUR-Lex
- Prováděcí nařízení (EU) 2024/2690
- Zákon č. 366/2024 Z. z., kterým se mění zákon č. 69/2018 Z. z. o kybernetické bezpečnosti, Slov-Lex
- Zákon č. 69/2018 Z. z. o kybernetické bezpečnosti (konsolidované znění), Slov-Lex
- Národný bezpečnostný úrad (NBÚ), oficiální stránka
- SK-CERT, národní tým pro reakci na bezpečnostní incidenty
- JISKB, Jednotný informačný systém kybernetickej bezpečnosti, provozovaný NBÚ
- Evropská komise, stránka o provádění NIS 2 pro Slovensko
V praxi
Co mění národní zákon a co ne
Národní zákon mimo jiné určuje, kde se registrujete a komu hlásíte incidenty. Samotná opatření vycházejí ve všech členských státech ze stejného minimálního seznamu (čl. 21 NIS 2). Průvodce vás jimi provede krok za krokem:
Řízení rizik
Sepište, co vaše firma má
Seznam procesů, programů a zařízení, se kterými pracujete.
Řešení incidentů
Naplánujte, co se stane při incidentu
Kdo rozhoduje, komu voláte, jak se spojíte.
Posouzení účinnosti
Zapište přezkoumání vedením
Vedení kontroluje, zda opatření fungují, a schvaluje vaše dokumenty.
Máte se postarat o NIS2?
Provedeme vás krok za krokem. Vy vyplňujete, my vysvětlujeme každý bod srozumitelně a na konci podepisuje vedení.
