Národný bezpečnostný úrad

Čo to znamená

Národný bezpečnostný úrad je slovenský ústredný orgán štátnej správy pre kybernetickú bezpečnosť, ochranu utajovaných skutočností a dôveryhodné služby. Pod jeho správu patrí aj národné centrum SK-CERT, ktoré funguje ako národný CSIRT a prijíma hlásenia o kybernetických incidentoch.

V oblasti kybernetickej bezpečnosti úrad uplatňuje zákon o kybernetickej bezpečnosti, ktorý do slovenského práva prenáša európsku smernicu NIS2. Určuje, ktoré subjekty majú povinnosti, kontroluje ich plnenie a môže ukladať pokuty.

Úrad je tiež orgánom dohľadu nad dôveryhodnými službami podľa nariadenia eIDAS. Dohliada na poskytovateľov, ktorí vydávajú certifikáty pre kvalifikovaný elektronický podpis, kvalifikované časové pečiatky či služby elektronického doručovania.

Ako to funguje v praxi

Firmy, ktoré patria medzi regulované subjekty podľa zákona o kybernetickej bezpečnosti, sa musia registrovať, zaviesť bezpečnostné opatrenia a hlásiť závažné incidenty. Po prenesení NIS2 sa okruh povinných subjektov výrazne rozšíril aj na stredne veľké firmy vo vybraných odvetviach.

Pri incidente, napríklad útoku ransomvérom alebo úniku dát, sa hlásenie podáva v prísnych lehotách. Okrem NBÚ môže byť potrebné informovať aj úrad na ochranu osobných údajov, ak incident zasiahol osobné údaje. Pripravený postup reakcie na incident šetrí čas.

Aj firmy, na ktoré sa zákon priamo nevzťahuje, môžu využiť verejné odporúčania, varovania a metodiky, ktoré úrad a SK-CERT zverejňujú. Bežných podnikateľov sa úrad dotýka najmä pri kvalifikovaných elektronických podpisoch a overovaní dôveryhodnosti certifikátov.

Na čo si dať pozor

Firmy si často neuvedomujú, že spadajú pod zákon o kybernetickej bezpečnosti, najmä ak sú dodávateľmi pre regulované odvetvia alebo prekročili veľkostné kritériá. Je vhodné vopred posúdiť, či sa firma nestala regulovaným subjektom, pretože povinnosti platia aj bez upozornenia úradu.

Bezpečnostné previerky osôb a firiem pre prístup k utajovaným skutočnostiam sú samostatnou agendou úradu a sú potrebné najmä pri zákazkách pre obranu či bezpečnostné zložky. Proces trvá dlho, preto ho treba začať s dostatočným predstihom pred súťažou.