Aktuálnou a zároveň veľmi dôležitou témou je v súčasnej dobe plnej technických vymožeností bezpochyby bezpečnosť v oblasti kybernetiky. Je to práve oblasť kybernetickej bezpečnosti a jej právna úprava, ktorá počas leta prešla novelizáciou.
Národná rada Slovenskej republiky prijala dňa 29. júna 2021 zákon č. 287/2021 Z. z. (ďalej len „novela“), ktorým sa mení a dopĺňa zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon o kybernetickej bezpečnosti“) a ktorým sa menia a dopĺňajú niektoré zákony. Okrem zákona o kybernetickej bezpečnosti sa novelou menia a dopĺňajú aj (A) zákon Národnej rady Slovenskej republiky č. 145/1995 Z. z. o správnych poplatkoch v znení neskorších predpisov (ďalej len „zákon o správnych poplatkoch“), (B) zákon č. 351/2011 Z. z. o elektronických komunikáciách v znení neskorších predpisov (ďalej len „zákon o elektronických komunikáciách“) a (C) zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon o informačných technológiách“).
Cieľ novely
Cieľom novely je posilniť legislatívnu úpravu v oblasti kybernetickej bezpečnosti, pričom sa zameriava na posilnenie právomocí príslušných vnútroštátnych orgánov. Predmetom novely je precizovanie niektorých definícií, úprava procesného postupu pri certifikácii kybernetickej bezpečnosti, ktorá vyplýva z nariadenia Európskeho parlamentu a Rady (EÚ) 2019/881 zo 17. apríla 2019 o agentúre ENISA (Agentúra Európskej únie pre kybernetickú bezpečnosť) a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií a o zrušení nariadenia (EÚ) č. 526/2013 (akt o kybernetickej bezpečnosti). Ďalej sa zavádza inštitút blokovania, upravuje sa postavenie audítora kybernetickej bezpečnosti. Precizuje sa prevádzkovateľ služieb v podsektore Letecká doprava, upravuje sa sektor Digitálna infraštruktúra a zo sektora Verejná správa sa vypúšťa podsektor spravodajské služby v rozsahu Slovenská informačná služba a Vojenské spravodajstvo. V nasledujúcom texte prinášame prehľad najdôležitejších zmien, ktoré novela do zákona o kybernetickej bezpečnosti a ďalších právnych predpisov priniesla.
Prehľad zmien
(1) Precizovanie negatívneho vymedzenia pôsobnosti zákona o kybernetickej bezpečnosti. Do pôsobnosti zákona o kybernetickej bezpečnosti tak okrem iného po novom nepatria ani „požiadavky na zabezpečenie sietí a informačných systémov v sektore bankovníctva, financií alebo finančného systému podľa osobitných predpisov, vrátane štandardov a zásad vydaných alebo prijatých Európskou centrálnou bankou, Európskym systémom centrálnych bánk, Eurosystémom alebo európskymi orgánmi dohľadu, a ani platobné systémy a systémy zúčtovania a vyrovnania cenných papierov a ich infraštruktúry dohliadané alebo prevádzkované Európskou centrálnou bankou alebo Eurosystémom podľa osobitných predpisov“ (ustanovenie § 2 ods. 2 písm. d) zákona o kybernetickej bezpečnosti).
(2) Úprava právomoci Národného bezpečnostného úradu (ďalej len „úrad“) v oblasti kybernetickej bezpečnosti.
Podľa novelizovanej právnej úpravy tak platí, že úrad v oblasti kybernetickej bezpečnosti okrem iného „(1) je vnútroštátnym orgánom pre certifikáciu kybernetickej bezpečnosti a orgánom posudzovania zhody podľa osobitného predpisu, (2) plní úlohy kompetenčného a odvetvového centra podľa osobitného predpisu, (3) odníma certifikát kybernetickej bezpečnosti, (4) v rámci systému certifikácie kybernetickej bezpečnosti vydáva bezpečnostné štandardy, certifikačné schémy a postupy, (5) plní úlohy ústredného orgánu podľa prílohy č. 1 zákona o kybernetickej bezpečnosti, (6) vedie a zverejňuje na svojom webovom sídle zoznam orgánov posudzovania zhody v systéme certifikácie kybernetickej bezpečnosti, zoznam certifikačných orgánov audítorov kybernetickej bezpečnosti a zoznam právnických osôb, prostredníctvom ktorých je možné realizovať audity kybernetickej bezpečnosti, (7) posudzuje bezpečnostné riziká dodávateľa na výkon činností, ktoré priamo súvisia s prevádzkou sietí a informačných systémov pre prevádzkovateľa základnej služby (ďalej len „tretia strana“) pre kybernetickú bezpečnosť Slovenskej republiky a správu o tomto posúdení predkladá Bezpečnostnej rade Slovenskej republiky, (8) predkladá príslušnému osobitnému kontrolnému výboru Národnej rady Slovenskej republiky každoročne správu o dodržiavaní noriem týkajúcich sa ochrany telekomunikačného tajomstva a osobných údajov občanov Slovenskej republiky“ (ustanovenie § 5 ods. 1 zákona o kybernetickej bezpečnosti).
(3) Úprava systému certifikácie kybernetickej bezpečnosti.
„Systémom certifikácie kybernetickej bezpečnosti je komplexný súbor pravidiel, technických požiadaviek, noriem a postupov, ktoré sa uplatňujú na certifikáciu alebo posudzovanie zhody konkrétnych produktov, služieb alebo procesov v oblasti sietí a informačných systémov, informačných a komunikačných technológií a kybernetickej bezpečnosti podľa osobitného predpisu“ (ustanovenie § 5a ods. 1 zákona o kybernetickej bezpečnosti). „Úrad v rámci systému certifikácie kybernetickej bezpečnosti certifikuje produkty, služby a procesy ako orgán posudzovania zhody podľa osobitného predpisu“ (ustanovenie § 5a ods. 2 zákona o kybernetickej bezpečnosti). „Certifikačný orgán orgánu posudzovania zhody podľa osobitného predpisu, ktorý je verejným subjektom a nie je vnútroštátnym orgánom pre certifikáciu kybernetickej bezpečnosti certifikuje produkty, služby a procesy podľa osobitného predpisu v rámci systému certifikácie kybernetickej bezpečnosti“ (ustanovenie § 5a ods. 3 zákona o kybernetickej bezpečnosti). „Úrad odníme európske certifikáty kybernetickej bezpečnosti, ktoré vydal alebo európske certifikáty kybernetickej bezpečnosti vydané podľa ustanovenia čl. 56 ods. 6 nariadenia Európskeho parlamentu a Rady (EÚ) 2019/881 o agentúre ENISA (Agentúra Európskej únie pre kybernetickú bezpečnosť) a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií a o zrušení nariadenia (EÚ) č. 526/2013 (akt o kybernetickej bezpečnosti) (ďalej len „nariadenie (EÚ) 2019/881″) orgánmi posudzovania zhody, ktoré nie sú v súlade s nariadením (EÚ) 2019/881 alebo s európskym systémom certifikácie kybernetickej bezpečnosti“ (ustanovenie § 5a ods. 4 zákona o kybernetickej bezpečnosti).
(4) Zriadenie Národného centra kybernetickej bezpečnosti.
Úrad zriadil Národné centrum kybernetickej bezpečnosti SK-CERT transformáciou Národnej jednotky SK CERT. Vytvorením Národného centra kybernetickej bezpečnosti SK-CERT úrad plní úlohu Akčného plánu realizácie Koncepcie kybernetickej bezpečnosti Slovenskej republiky na roky 2015-2020. Budovanie spôsobilostí Slovenskej republiky v oblasti kybernetickej bezpečnosti je pre úrad najvyššou prioritou. Cieľom Národného centra kybernetickej bezpečnosti SK-CERT bude nielen rozvíjanie spôsobilostí pri riešení kybernetických bezpečnostných incidentov na celonárodnej úrovni, ale aj rozšírenie a zdieľanie vedomostí a skúseností v tejto oblasti a aktívna spolupráca s verejnosťou, profesijnými organizáciami a akademickým sektorom. Národné centrum kybernetickej bezpečnosti SK-CERT zabezpečuje nielen služby spojené s riadením kybernetických bezpečnostných incidentov, odstraňovaním ich následkov a následnou obnovou činnosti informačných systémov v spolupráci s vlastníkmi a prevádzkovateľmi týchto systémov, ale aj výkon analytických činností, výskumu, rozširovania bezpečnostného povedomia a vzdelávania v oblasti kybernetickej bezpečnosti (ustanovenie § 6 ods. 1 zákona o kybernetickej bezpečnosti).
(5) Zavedenie všeobecnej povinnosti poskytovať úradu súčinnosť v rámci kybernetickej bezpečnosti.
„Orgán verejnej moci, prevádzkovateľ základnej služby, právnická osoba a fyzická osoba sú povinní poskytnúť úradu na plnenie jeho úloh podľa zákona o kybernetickej bezpečnosti požadovanú súčinnosť a informácie získané z vlastnej činnosti dôležité na zabezpečenie kybernetickej bezpečnosti; informácie sa poskytujú len za podmienky, že ich poskytnutím nedôjde k ohrozeniu plnenia konkrétnej úlohy podľa osobitného predpisu alebo spravodajskej služby podľa osobitného predpisu alebo k odhaleniu jej zdrojov, prostriedkov, totožnosti osôb, ktoré konajú v jej prospech, alebo k ohrozeniu medzinárodnej spravodajskej spolupráce“ (ustanovenie § 10a ods. 1 zákona o kybernetickej bezpečnosti). „Žiadosť o súčinnosť musí byť riadne odôvodnená a musí obsahovať konkrétny rozsah požadovanej súčinnosti podľa zákona o kybernetickej bezpečnosti“ (ustanovenie § 10a ods. 2 zákona o kybernetickej bezpečnosti).
(6) Úprava povinnosti prevádzkovateľov základných služieb požadovať od dodávateľa služieb na výkon činností, ktoré priamo súvisia s prevádzkou sietí a informačných systémov pre prevádzkovateľa základnej služby, dodatočné bezpečnostné opatrenia v súlade s požiadavkami zákona o kybernetickej bezpečnosti.
Táto povinnosť má byť vykonaná prostredníctvom zmluvných záväzkov, dohôd o zabezpečení plnenia povinností podľa zákona o kybernetickej bezpečnosti. Pri uzatvorení zmluvy s treťou stranou podľa ustanovenia § 19 ods. 2 zákona o kybernetickej bezpečnosti sa analyzujú riziká, zmyslom ktorých je koordinovať využívanie zdrojov a monitorovať, kontrolovať a minimalizovať pravdepodobnosť a dopad kybernetických incidentov, ktoré by mohli ohroziť samotné hodnotenie rizika. Hodnotenia rizika môže poskytnúť cenné informácie na vypracovanie, vykonanie a vyhodnotenie stratégie. Vyhodnotenie rizika sa tak týka určenia a porozumenia významu úrovne rizika. Ustanovenie § 19 ods. 3 zákona o kybernetickej bezpečnosti zároveň reaguje na možné prípady duplicity, kedy v situácii, ak by bol zmluvnou stranou samotný prevádzkovateľ základnej služby alebo poskytovateľ digitálnej služby, by došlo k neprimeranej požiadavke v súvislosti so zabezpečením plnenia bezpečnostných opatrení a notifikačných povinností, ktoré sú tieto subjekty už povinné plniť podľa zákona o kybernetickej bezpečnosti (ustanovenie § 19 ods. 2 a 3 zákona o kybernetickej bezpečnosti).
(7) Zavedenie inštitútu automatizovaného zasielania systémových informácií zo sietí a informačných systémov.
Úrad na základe získaných poznatkov a z dôvodu dopytu jednotlivých prevádzkovateľov základnej služby zavádza inštitút automatizovaného zasielania systémových informácií zo sietí a informačných systémov. Ide o zasielanie takých údajov, ktoré sú potrebné pri riešení kybernetického bezpečnostného incidentu. Automatizované hlásenie sa realizuje na rozhraní siete Internet a siete prevádzkovateľa základnej služby, nezasahuje ani nezaznamenáva obsah správ alebo prenášaných údajov, ale vytvára bezpečnostný perimeter, ktorý svojim účinkom napomáha prevádzkovateľovi základnej služby úspešne zaznamenať a riešiť kybernetický bezpečnostný incident. Na tento účel ustanovenie§ 24a zákona o kybernetickej bezpečnosti jasne vymedzuje, že nedotknuteľnosť tajomstva a osobných údajov zostáva zachovaná. Úrad z tohto dôvodu pridal do svojich úloh aj povinnosť vypracovávať ročnú správu o dodržiavaní ochrany osobných údajov, ako jeden z nástrojov verejnej kontroly, aby nevznikali pochybnosti o účele a transparentnosti výkonu činností. Zavedením tejto povinnosti sa zabezpečuje prenos všetkých relevantných informácií nevyhnutných pre rýchle a efektívne riešenie kybernetických bezpečnostných incidentov alebo ich hrozby (ustanovenie § 24a zákona o kybernetickej bezpečnosti).
(8) Zavedenie oprávnenia úradu zakázať alebo obmedziť prevádzkovateľovi základnej služby využívať konkrétny produkt, proces alebo službu z dôvodu bezpečnostných záujmov štátu a z dôvodu závažných okolností predpokladaných zákonom o kybernetickej bezpečnosti.
Ide o krajné riešenie v prípadoch, kedy absentujú iné zákonné možnosti zabezpečenia a realizácie kybernetickej bezpečnosti. Ustanovenie § 27a zákona o kybernetickej bezpečnosti je pokračovaním implementácie EÚ Toolbox. Platí, že obmedzenie alebo zákaz možno realizovať len na základe podrobnej analýzy rizík a len na základe vyjadrenia Bezpečnostnej rady Slovenskej republiky. Dvojstupňovosť sa zvádza z dôvodu predchádzania pochybnostiam o výkone takéhoto zásahu. Pre účely dodržania záväznosti takéhoto aktu sa konkrétne rozhodnutie zverejní v Zbierke zákonov Slovenskej republiky, pričom sa musí určiť aj primeraná doba na odstránenie nežiaduceho produktu a jeho nahradenie novým. Pred vydaním rozhodnutia na účely transparentnosti úrad zverejní začatie konania na svojom webovom sídle ako aj v jednotnom informačnom systéme kybernetickej bezpečnosti. Po zverejnení rozhodnutia je prevádzkovateľ základnej služby povinný zdržať sa používania konkrétneho produktu, procesu alebo služby alebo ich používať obmedzeným spôsobom v zmysle rozhodnutia (ustanovenie § 27a zákona o kybernetickej bezpečnosti).
(9) Zavedenie inštitútu blokovania.
V záujme zabezpečenia dôveryhodnosti služieb a aktivít poskytovaných prostredníctvom internetu a ochrany práv osôb zúčastňujúcich sa na týchto aktivitách, ako aj ochrany konečného užívateľa týchto služieb bola vznesená spoločenská požiadavka efektívneho zamedzovania škodlivých aktivít alebo škodlivého obsahu na internete. Škodlivých aktivít na internete z roka na rok pribúda. Zároveň rastie sofistikovanosť útokov a s neustále prebiehajúcou informatizáciou spoločnosti aj riziká spojené s úspešne vykonanými útokmi. Reakcie na rôzne typy škodlivých aktivít spadajú do kompetencie rôznych štátnych orgánov. Množstvo útokov je vykonávaných buď plošne (napr. phishingové kampane lákajúce veľké množstvo používateľov kliknúť na rozoslaný link), alebo na svoju činnosť využíva identifikovateľný škodlivý obsah alebo sieťovú infraštruktúru (napr. riadiace servery botnet sietí, DNS servery k nim smerujúce, zariadenia vykonávajúce DDOS útoky a pod.). Z tohto dôvodu mnohé krajiny zavádzajú legislatívne podmienky a technické prostriedky na blokovanie nežiadúceho obsahu, IP adries, domén, URL, súborov a podobne. Úrad na túto potrebu adekvátne reaguje a svoje odborné schopnosti a kompetencie, ktoré využíva pri riešení kybernetických bezpečnostných incidentov primerane aplikuje aj na iné škodlivé aktivity na internete. Blokovanie infikovaných domén a IP adries je nutné považovať za reaktívne opatrenie vedúce k zamedzeniu prístupu k škodlivému obsahu. Úrad vykonáva blokovanie v rámci riešenia kybernetického bezpečnostného incidentu. V rámci riešenia kybernetického bezpečnostného incidentu vydá úrad rozhodnutie o blokovaní, v ktorom určí metódu (spôsob) blokovania a blokovanie vykoná. Spôsob blokovania musí vychádzať z metód uvedených vo všeobecne záväznom právnom predpise, ktorý vydá úrad. Samozrejme, ide o krajný prostriedok, nástroj, ktorý predstavuje zásah do práv subjektov, ale zároveň predstavuje aj riešenie kybernetického bezpečnostného incidentu v prípade, kedy sú iné nástroje neúčinné a protiprávna, resp. škodlivá aktivita naďalej pokračuje a ohrozuje konečného užívateľa. Zodpovednosť za prípadnú škodu znáša úrad (ustanovenie § 27b zákona o kybernetickej bezpečnosti).
(10) V rámci zákona o správnych poplatkoch novelou dochádza doplneniu sadzobníka správnych poplatkov v časti „Kybernetická bezpečnosť“ o položky v súvislosti s certifikáciou.
(11) V zákone o elektronických komunikáciách dochádza najmä k (A) zjednoteniu regulácie pri povinnosti podniku, ktorý poskytuje verejné siete alebo verejné služby prijatím bezpečnostných opatrení podľa zákona o kybernetickej bezpečnosti (ustanovenie § 64 ods. 1 zákona o elektronických komunikáciách) a (B) ustanoveniu, že priestupky a správne delikty za porušenie bezpečnostných opatrení prejednáva úrad (ustanovenie § 73 ods. 10 zákona o elektronických komunikáciách).
(12) V rámci zákona o informačných technológiách sa novelou zavádzajú najmä nasledovné zmeny: (A) zjednotenie regulácie bezpečnostných opatrení tak, aby sa na všetky dotknuté subjekty vzťahovali opatrenia podľa zákona o kybernetickej bezpečnosti a následne, aby zákon o informačných technológiách obsahoval iba tie bezpečnostné opatrenia, ktoré sú špecifické pre sektor verejnej správy. Účelom novely je teda zjednotenie regulácie s cieľom odstrániť administratívnu záťaž pri zabezpečovaní kybernetickej bezpečnosti a jednoduchšiu a prehľadnejšiu prax (ustanovenie § 18 ods. 2 zákona o informačných technológiách), (B) precizovanie viacerých ustanovení zákona o informačných technológiách v nadväznosti na zjednotenie regulácie bezpečnostných opatrení tak, aby sa na všetky dotknuté subjekty vzťahovali opatrenia podľa zákona o kybernetickej bezpečnosti a následne, aby zákon o informačných technológiách obsahoval iba tie bezpečnostné opatrenia, ktoré sú špecifické pre sektor verejnej správy (napr. ustanovenia § 19, § 20 alebo § 21 zákona o informačných technológiách).
Plné znenie novely so všetkými zmenami a doplneniami je dostupné v Zbierke zákonov Slovenskej republiky.
Účinnosť novely
Novela nadobudla účinnosť dňa 01. augusta 2021.