NIS2 v praxi: čo nové pravidlá znamenajú pre tvoju prácu

Autor: ​Dáša Sedláková

TLDR: NIS2 posúva kybernetickú bezpečnosť z IT oddelenia na úroveň celej organizácie. Rozširuje počet regulovaných subjektov, zavádza prísnejšie pravidlá pre riadenie rizík, hlásenie incidentov aj dodávateľské reťazce a väčšiu zodpovednosť dáva priamo vedeniu organizácií. Zároveň vytvára nové pracovné príležitosti, napríklad v oblasti riadenia kybernetických rizík, compliance či na pozícii manažéra kybernetickej bezpečnosti. Ak pracuješ pre regulovanú organizáciu alebo jej dodávateľa, NIS2 sa môže týkať aj tvojej každodennej práce, aj keď nie si „ITčkárka“. 

Skratka NIS2 sa v posledných rokoch v tech svete skloňuje čoraz častejšie. V realite ide o  smernicu Európskej únie, ktorá stanovuje, ako majú firmy a inštitúcie v EÚ riadiť kybernetickú bezpečnosť, ako rýchlo majú hlásiť incidenty a kto za to všetko v konečnom dôsledku zodpovedá. Vznikla ako reakcia na rastúci počet kybernetických útokov na kritickú infraštruktúru, nemocnice, energetiku či verejnú správu. Staršia smernica NIS z roku 2016 už jednoducho nestačila na dostatočné pokrytie novej reality digitálneho sveta. Každý členský štát EÚ si túto smernicu musel implementovať do svojho vlastného legislatívneho systému. Na Slovensku sa tak stalo formou novely zákona o kybernetickej bezpečnosti (69/2018 Z.z.).

Možno sa pýtaš, prečo by ťa to malo zaujímať, aj keď nepracuješ priamo v IT. Pretože NIS2 podstatne rozširuje okruh organizácií, ktoré musia kybernetickú bezpečnosť brať vážne. Posúva zodpovednosť aj tam, kam predtým nesiahala. Napríklad aj k vedeniu firiem a k bežným zamestnancom, ktorí pracujú s citlivými dátami.

O NIS2 počul už takmer každý človek z technologického sveta, no len málokto vie povedať, čo presne znamená pre jeho vlastnú prácu. Poďme si to konečne zrozumiteľne vysvetliť.

Koho sa to týka

Smernica NIS2  je v platnosti už viac ako 3 roky, presnejšie od januára 2023. Členské štáty ju mali do vlastnej legislatívy premietnuť do polovice októbra 2024. Slovensko tento termín nestihlo o niekoľko mesiacov. Novela zákona o kybernetickej bezpečnosti, ktorá NIS2 transponuje do slovenského práva,  nadobudla účinnosť 1. januára 2025. Doplnená bola vykonávacou vyhláškou NBÚ s účinnosťou od septembra 2025.

Podľa dôvodovej správy k zákonu sa nová regulácia  dotýka [google.com] najmenej 3 403 organizácií na Slovensku, naprieč viac ako 80 typmi služieb v 16 odvetviach. V realite však pod zákon môže spadať výrazne viac organizácií, keďže povinnosť overiť si to majú firmy samé formou takzvanej samoidentifikácie. Regulovaným subjektom sa tak môže stať aj zdravotnícke zariadenie, orgán verejnej správy, dopravný podnik, prevádzkovateľ digitálnej infraštruktúry, ale aj výrobca potravín či poskytovateľ poštových služieb. Ak firma dodáva služby niekomu, na koho sa zákon vzťahuje, je celkom možné, že požiadavky sa nepriamo dotknú aj jej, cez zmluvy, audity alebo bezpečnostné dotazníky.

Kto presne je regulovaný subjekt?

Zákon  rozlišuje dva typy takzvaných regulovaných subjektov: prevádzkovateľ základnej služby a prevádzkovateľ kritickej infraštruktúry. Prevádzkovateľ základnej služby (PZS) je organizácia pôsobiaca v niektorom zo 16 regulovaných odvetví, ktorá zároveň spĺňa veľkostné kritériá, spravidla aspoň 50 zamestnancov alebo ročný obrat nad 10 miliónov eur. Prevádzkovateľ kritickej základnej služby (PKZS) je užšia skupina kľúčových subjektov s vyššou mierou kritickosti, napríklad veľké podniky v energetike, doprave, bankovníctve, zdravotníctve či vodnom hospodárstve, na ktoré sa viažu prísnejšie povinnosti aj vyššie pokuty.

Dôležité je, že sa to  netýka [google.com] len súkromných firiem. Bez ohľadu na sektor sa zákon vzťahuje aj na ústredné orgány štátnej správy, ďalšie štátne orgány s celoštátnou pôsobnosťou, vyššie územné celky a za určitých podmienok aj mestá, ak by narušenie ich činnosti mohlo ohroziť verejný poriadok, bezpečnosť alebo verejné zdravie. Verejná správa je navyše aj sama o sebe jedným zo 16 regulovaných odvetví.

Dôležitou súčasťou je už spomenutá samoidentifikácia. NBÚ  neupozorní organizácie, že pod zákon spadajú. Zodpovednosť overiť si to je na každej organizácii, a to bez ohľadu na to, či ide o súkromnú firmu, štátny orgán alebo samosprávu.

Čo to v praxi znamená

Poďme sa pozrieť na to, čo sa v praxi  zmení a čo novela zákona prinesie. Prvou zmenou je, že vedenie organizácie nesie priamu zodpovednosť. Zákon explicitne posilňuje zodpovednosť štatutárov a vrcholového manažmentu, ako aj vedúcich predstaviteľov štátnych orgánov či samospráv. Tí musia byť do riadenia kybernetických rizík aktívne zapojení, nielen informovaní. Pri závažnom porušení hrozí dokonca dočasný zákaz výkonu riadiacej funkcie.

Každý regulovaný subjekt  musí mať určeného manažéra kybernetickej bezpečnosti, buď interného zamestnanca, alebo externého dodávateľa, ktorý spĺňa kvalifikačné požiadavky stanovené NBÚ. Táto pozícia má na starosti riadenie rizík, dokumentáciu aj komunikáciu s úradom.

Incidenty sa musia hlásiť promptne. Zákon  zaviedol takzvanú trojstupňovú kaskádu: závažný incident treba nahlásiť Národnému bezpečnostnému úradu do 24 hodín od zistenia, podrobnejšiu aktualizáciu do 72 hodín a záverečnú správu do jedného mesiaca. Čas sa počíta od momentu, keď sa o incidente niekto v organizácii dozvie.

Dodávateľský reťazec je súčasťou hodnotenia rizika. Organizácie si musia  posudzovaťbezpečnosť aj u svojich dodávateľov a v niektorých prípadoch s nimi uzatvárať zmluvy pokrývajúce bezpečnostné opatrenia. Aj organizácia, ktorá sama priamo nespĺňa kritériá sa môže stať regulovaným subjektom, ak ju regulovaný subjekt označí za svojho kritického dodávateľa.

Plnenie povinností  sa overuje auditom, alebo samohodnotením podľa typu subjektu. PKZS prechádzajú pravidelným auditom kybernetickej bezpečnosti, ostatní PZS môžu splnenie požiadaviek zatiaľ preukazovať samohodnotením.

A pokuty už nie sú symbolické. Za nesplnenie povinností  hrozí kritickým subjektom pokuta až do 10 miliónov eur, alebo 2 % ich celosvetového obratu. Pre ostatné regulované subjekty je to suma do 7 miliónov eur alebo 1,4 % ich obratu. Aj jednotlivci, teda štatutári alebo manažéri kybernetickej bezpečnosti, môžu byť sankcionovaní, a to až do výšky 5 000 eur. Oneskorenie registrácie na NBÚ môže organizáciu stáť od 300 do 500 000 eur.

NIS2 ako nová príležitosť

NIS2 okrem iného vytvára konkrétnu pracovnú príležitosť: rolu manažéra kybernetickej bezpečnosti, ktorú musí mať zavedenú každý regulovaný subjekt. Táto rola v sebe spája riadenie rizík, dokumentáciu, komunikáciu s vedením aj znalosť legislatívy. Teda kombináciu zručností, ktorú si ľudia prinášajú z rôznych smerov vrátane práva, projektového manažmentu či auditu. Podľa prieskumu ISC2  patria ženy medzi tých, ktorí do kyberbezpečnosti často prichádzajú práve touto netradičnou cestou.

To ale neznamená, že by táto rola bola "vhodnejším miestom" pre ženy ako iné technickejšie pozície. V komunite Women4Cyber Slovakia máme ženy naprieč celým spektrom odborov, od penetračného testovania a SOC analýzy, po riadenie rizík a compliance. NIS2 pridáva ďalšiu vstupnú bránu do odboru popri tých, ktoré už existovali. Ak si právnička, projektová manažérka, alebo prichádzaš z úplne iného prostredia, táto nová rola môže byť zaujímavým miestom na štart kariéry v kybernetickej bezpečnosti, presne tak ako by ním mohol byť aj kurz penetračného testovania.

Čo to znamená pre teba

Toto všetko platí rovnako, či už pracuješ v súkromnej firme, štátnej správe, alebo samospráve, zákon medzi nimi v otázke zodpovednosti nerozlišuje. Ak si v bezpečnostnom alebo IT tíme, pribudla povinnosť dokumentácie a formálne procesy, ale aj väčšia váha tvojho hlasu pri rozhodovaní. Vedenie sa totiž musí zaujímať o otázky kyberbezpečnosti a bez teba o tom nemá potrebné informácie.

Ak si v manažmente, oplatí sa vedieť aspoň základné pojmy a mať prehľad, kde organizácia reálne stojí. Zodpovednosť sa nedá len delegovať, a zákon navyše počíta aj s osobnými sankciami. Ak pracuješ mimo IT s citlivými dátami alebo systémami, pravdepodobne si sa už stretla s novými internými pravidlami alebo školeniami. Nie je to len  nejaká zbytočná byrokracia, ale súčasť toho, ako organizácia spĺňa svoje zákonné povinnosti. 

Rýchly checklist na zapamätanie  Čo to znamená pre teba

NIS2 nie je jednorazová povinnosť, ktorú raz splníš a zabudneš na ňu. Je to spôsob, akým sa dnes v Európe robí kybernetická bezpečnosť. Týka sa čoraz väčšieho okruhu ľudí, nielen IT oddelení. Legislatíva nemá prinášať zbytočnú byrokraciu, no má pomáhať vytvoriť bezpečnejší digitálny priestor pre nás všetkých.

Ak si v tejto oblasti nová, alebo zvažuješ prechod do rolí v oblasti kybernetickej bezpečnosti, komunita Women4Cyber Slovakia je dobré miesto, kde začať.