Zákon o kybernetickej bezpečnosti

Čo to znamená

Zákon o kybernetickej bezpečnosti je slovenský zákon, ktorý preberá európsku smernicu NIS2. Ukladá vybraným firmám a inštitúciám povinnosť zaviesť bezpečnostné opatrenia, hlásiť závažné kybernetické incidenty a podrobiť sa kontrole zo strany štátu.

Zákon sa vzťahuje na prevádzkovateľov základných a dôležitých služieb v odvetviach, ako sú energetika, doprava, bankovníctvo, zdravotníctvo, digitálna infraštruktúra, verejná správa, ale aj výroba, potravinárstvo či poštové a kuriérske služby. Rozhodujúca je veľkosť a odvetvie subjektu.

Ústredným orgánom pre kybernetickú bezpečnosť je Národný bezpečnostný úrad, ktorý vedie register prevádzkovateľov, prijíma hlásenia incidentov, metodicky usmerňuje a kontroluje plnenie povinností. Smernica NIS2 výrazne rozšírila okruh povinných subjektov oproti pôvodnej úprave.

Ako to funguje v praxi

Povinné subjekty musia zaviesť riadenie rizík a bezpečnostné opatrenia, napríklad bezpečnostnú politiku, riadenie prístupov, zálohovanie, šifrovanie, zabezpečenie dodávateľského reťazca a plán reakcie na incidenty. Opatrenia majú byť primerané rizikám a veľkosti subjektu.

Závažné incidenty treba hlásiť v krátkych zákonných lehotách, najprv včasným varovaním a potom podrobnejším hlásením. Firma by preto mala mať pripravený postup, kto incident vyhodnotí, kto ho nahlási a ako bude komunikovať so zákazníkmi a úradmi.

Zákon kladie dôraz aj na zodpovednosť vedenia, ktoré musí bezpečnostné opatrenia schvaľovať a dohliadať na ich plnenie. Súčasťou je aj pravidelné školenie zamestnancov aj manažmentu, pretože ľudský faktor je častou príčinou incidentov.

Na čo si dať pozor

Za porušenie povinností hrozia vysoké pokuty, ktoré sa môžu odvíjať aj od obratu firmy, a zodpovednosť môže niesť aj vedenie. Firmy by si mali overiť, či spadajú pod zákon, a ak áno, včas sa zaregistrovať a začať plniť povinnosti.

Aj firmy, ktoré priamo pod zákon nespadajú, môžu byť dotknuté nepriamo, ak dodávajú povinným subjektom. Tie od svojich dodávateľov čoraz častejšie vyžadujú preukázanie bezpečnostných opatrení. Doplnkovou ochranou môže byť kybernetické poistenie.