1. ABSTRAKT
Zákonom č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov (ďalej len „zákon“ alebo „zákon č. 69/2018 Z. z.“) bola do právneho poriadku Slovenskej republiky transponovaná smernica Európskeho parlamentu a Rady (EÚ) 2016/1148 zo 6. júla 2016 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii (Ú. v. EÚ L 194, 19.7.2016) (ďalej len „smernica NIS 1“).
Vývoj informačných systémov, digitálna transformácia a digitálna prepojenosť odhalili spolu prirodzené nedostatky smernice NIS 1 a potrebu reakcie na tento vývoj.
Novelou zákona, schválenou dňa 28. novembra 2024, sa do právneho poriadku Slovenskej republiky transponuje smernica Európskeho parlamentu a Rady (EÚ) 2022/2555 zo 14. decembra 2022 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, ktorou sa mení nariadenie (EÚ) č. 910/2014 a smernica (EÚ) 2018/1972 a zrušuje smernica (EÚ) 2016/1148 (smernica NIS 2) (Ú. v. EÚ L 333, 27.12.2022) v platnom znení (ďalej len „smernica NIS 2“) a zároveň novela zákona reaguje na potreby a požiadavky aplikačnej praxe. Novela zákona modernizuje existujúcu právnu úpravu, čím sa má zvýšiť celková úroveň kybernetickej bezpečnosti na národnej úrovni a majú sa znížiť riziká, ktoré prichádzajú s rýchlym technologickým vývojom a digitalizáciou.
Najvýraznejšou zmenou v návrhu zákona je zmena prístupu k identifikácii povinných subjektov, tzv. prevádzkovateľov základnej služby.
Novela zákona vzhľadom na transpozíciu smernice NIS 2 prináša rozsiahle zmeny, pre účely nášho bulletinu Vám prinášame základný prehľad, resp. tie, ktoré považujeme za najpodstatnejšie.
2. PREDMET ZÁKONA
S cieľom zaistiť kybernetickú bezpečnosť a zabezpečiť efektívne riešenie kybernetických bezpečnostných incidentov, novela zákona spresňuje v úvode predmet samotného zákona podľa požiadaviek, ktoré vyplynuli zo smernice NIS 2 a praxe. Doterajšie znenie predmetu zákona je pomerne stručné.
Po novom v zmysle § 1 zákona: „Tento zákon upravuje a) podmienky pre riadenie a zabezpečenie kybernetickej bezpečnosti, najmä
1.postavenie a povinnosti prevádzkovateľa základnej služby, 2.bezpečnostné opatrenia, 3.hlásenie kybernetického bezpečnostného incidentu, významnej kybernetickej hrozby, udalosti odvrátenej v poslednej chvíli a zraniteľnosti, 4.riešenie kybernetického bezpečnostného incidentu, 5.opatrenia proti produktom IKT, službám IKT alebo procesom IKT ohrozujúcim kybernetickú bezpečnosť a proti škodlivému obsahu, b) správu v oblasti kybernetickej bezpečnosti, najmä 1. organizáciu, pôsobnosť a povinnosti orgánov verejnej moci v oblasti kybernetickej bezpečnosti, 2. úlohy a pôsobnosť národnej autority pre certifikáciu kybernetickej bezpečnosti, 3. národnú stratégiu kybernetickej bezpečnosti, 4. národný plán reakcie na rozsiahle kybernetické bezpečnostné incidenty a kybernetické krízy, 5. jednotný informačný systém kybernetickej bezpečnosti, 6. súčinnosť a výmenu informácií, c) organizáciu a pôsobnosť jednotiek pre riešenie kybernetických bezpečnostných incidentov (ďalej len „jednotka CSIRT“) a ich akreditáciu, d) audit kybernetickej bezpečnosti a dohľad nad plnením povinností prevádzkovateľa základnej služby podľa tohto zákona alebo povinností uložených na základe tohto zákona (ďalej len „dohľad“).“
3. PÔSOBNOSŤ ZÁKONA
Pôsobnosť zákona bola novelou upravená na základe požiadaviek vyplývajúcich zo smernice NIS 2 a taktiež na základe požiadavky Úradu jadrového dozoru Slovenskej republiky a Ministerstva obrany.
Opätovne je potrebné zopakovať, že doterajšie znenie zákona upravovalo pôsobnosť zákona výrazne stručnejšie.
Po novom na základe ust. § 2 novelizovaného zákona sa tento zákon vzťahuje na informačné systémy zriadené a prevádzkované v pôsobnosti Ministerstva obrany Slovenskej republiky v rozsahu určenom ústredným orgánom spôsobom podľa § 33 ods. 5.
Ak ide o osobu, ktorá poskytuje službu DNS, službu registrácie názvu domény, službu cloud computingu, službu dátového centra, sieť na sprístupňovanie obsahu, riadenú službu, bezpečnostnú službu, službu online trhu, službu internetového vyhľadávača alebo platformu služieb sociálnej siete, možno ju zapísať do registra prevádzkovateľov základnej služby a tento zákon sa na ňu vzťahuje aj vtedy, ak nemá trvalý pobyt, miesto podnikania alebo sídlo na území Slovenskej republiky, (a) má trvalý pobyt, miesto podnikania alebo sídlo v členskom štáte Európskej únie alebo štáte, ktorý je zmluvnou stranou Dohody o Európskom hospodárskom priestore (ďalej len „členský štát Európskej únie“) a na území Slovenskej republiky 1. najčastejšie prijíma rozhodnutia týkajúce sa bezpečnostných opatrení na riadenie rizík, 2. vykonáva opatrenia s cieľom zachovania kybernetickej bezpečnosti, ak nemožno určiť trvalý pobyt, miesto podnikania alebo sídlo podľa písmena a), 3. má prevádzkareň s najvyšším počtom zamestnancov spomedzi prevádzkarní umiestnených v členských štátoch Európskej únie,
(b) nemá trvalý pobyt, miesto podnikania alebo sídlo v členskom štáte Európskej únie a 1. má trvalý pobyt, miesto podnikania alebo sídlo na území Slovenskej republiky jej zástupca podľa § 21 ods. 1, 2. vzťahuje sa na ňu povinnosť podľa § 21 ods. 1, ale nemá určeného zástupcu s trvalým pobytom, miestom podnikania alebo sídlom v Slovenskej republike alebo v inom členskom štáte Európskej únie podľa § 21 ods.1.
Ďalej sa novelizoval negatívny výpočet, kedy sa zákon o kybernetickej bezpečnosti neaplikuje. Po novom sa tento zákon nevzťahuje na (a) požiadavky na zabezpečenie sietí a informačných systémov podľa všeobecného predpisu o ochrane utajovaných skutočností, (b) osobitné ustanovenia o úlohách a oprávneniach spravodajskej služby pri ochrane kybernetického priestoru podľa osobitného predpisu, (c) ustanovenia osobitných predpisov o vyšetrovaní, odhaľovaní a stíhaní trestných činov, (d) požiadavky na zabezpečenie sietí a informačných systémov v sektore bankovníctva, financií alebo finančného systému podľa osobitného predpisu, vrátane štandardov a zásad vydaných alebo prijatých Európskou centrálnou bankou, Európskym systémom centrálnych bánk, Eurosystémom alebo európskymi orgánmi dohľadu, ako aj dohľad a kontrolu plnenia týchto požiadaviek a ani na platobné systémy a na systémy zúčtovania a vyrovnania cenných papierov a ich infraštruktúry dohliadané alebo prevádzkované Európskou centrálnou bankou alebo Eurosystémom podľa osobitných predpisov.
4. DEFINÍCIA NOVÝCH POJMOV
Zásadným spôsobom novela precizuje existujúce pojmy pre účely zákona o kybernetickej bezpečnosti a tiež pridáva nový výpočet doposiaľ nedefinovaných pojmov v zákone.
Ustanovenie § 3 je preto výrazne rozšírené a po novom sa bude deliť na dva odseky, pričom prvý odsek obsahuje výpočet definícií od písmena a) až po písmeno z) a následne aa) a ab).
Výpočet a definícia jednotlivých novelizovaných pojmov je nad rámec rozsahu a účelu bulletinu ULC Čarnogurský Pro Bono, každopádne rozsiahly nový výpočet pojmov novela prevzala zo smernice NIS 2 alebo z dokumentov, na ktoré smernica NIS 2 odkazuje, najmä pojmy vyplývajúce z nariadenia Európskeho parlamentu a Rady (EÚ) 2019/881 zo 17. apríla 2019 o agentúre ENISA (Agentúra Európskej únie pre kybernetickú bezpečnosť) a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií a o zrušení nariadenia (EÚ) č. 526/2013 (akt o kybernetickej bezpečnosti) (Ú. v. EÚ L 151, 7.6.2019) (ďalej len „nariadenie (EÚ) 2019/881“). Ide o vymedzenie základných pojmov na účely zákona č. 69/2018 Z. z. a transpozíciu smernice NIS 2.
5. NÁRODNÝ BEZPEČNOSTNÝ ÚRAD A NOVÉ PODMIENKY
Zo smernice NIS 2 vyplynula požiadavka, aby každý členský štát prijal národný plán reakcie na rozsiahle kybernetické incidenty a krízy. V Slovenskej republike bude v zmysle novelizovaného ust. § 5 ods. 1 písm. d) tento strategický dokument vypracovávať Národný bezpečnostný úrad (ďalej len „úrad“) v spolupráci s príslušnými štátnymi orgánmi. Národný bezpečnostný úrad je zároveň určený ako orgán pre riadenie kybernetických kríz, ktorý plní úlohy národného koordinátora rozsiahlych kybernetických bezpečnostných incidentov a kybernetických kríz.
Podľa novelizovaného ust. § 5 ods. 1 písm. d) „Úrad v oblasti kybernetickej bezpečnosti vypracúva národnú stratégiu kybernetickej bezpečnosti a ročnú správu o stave kybernetickej bezpečnosti v Slovenskej republike a národný plán reakcie na rozsiahle kybernetické krízy, je orgánom pre riadenie kybernetických kríz a plní úlohu národného koordinátora riadenia rozsiahlych kybernetických bezpečnostných incidentov a kybernetických kríz v spolupráci s príslušnými štátnymi orgánmi.“
Pokiaľ ide o spoluprácu úradu s inými subjektmi, novela zákona v ust. § 5 ods. 1 písm. i) vypustila pojem „poskytovateľ digitálnych služieb“ a namiesto neho sa doplnili medzi subjekty, s ktorými Národný bezpečnostný úrad spolupracuje pri plnení úloh podľa tohto zákona, „vedecké a akademické inštitúcie“ ako dôležitý článok zabezpečujúci pokrok vo vývoji kybernetickej bezpečnosti. Smernicou NIS2 sa upustilo od delenia medzi poskytovateľom digitálnej služby a prevádzkovateľom základnej služby a tak ako smernica NIS2, aj návrh zákona operuje už len s pojmom prevádzkovateľ základnej služby.
Národný bezpečnostný úrad je určený ako orgán pre riadenie kybernetických kríz, ktorý plní úlohy národného koordinátora rozsiahlych kybernetických bezpečnostných incidentov a kybernetických kríz. Na základe uvedeného novela zákona precizovala, že úrad okrem iného podľa ust. § 5 ods. 1 písm. r) „zasiela a vyhlasuje včasné varovania, výstrahy alebo vyhlasuje stav kybernetickej krízy“ a podľa písm. s) „prijíma vnútroštátne hlásenia o kybernetických bezpečnostných incidentoch, kybernetických hrozbách, udalostiach odvrátených v poslednej chvíli a o zraniteľnostiach.“
Novelizovaným písmenom u) v ust. § 5 ods. 1 zákona sa precizoval text a pod jednotný pojem „vykonáva dohľad“ sa subsumovali práva a povinnosti úradu v rozsahu kontroly, vydávania rozhodnutí o uložení opatrení na nápravu a ukladaní pokút za priestupok alebo iný správny delikt.
Národný bezpečnostný úrad doteraz dohľad ako taký nevykonával, pričom smernica NIS 2 nabáda na efektívnejší spôsob dohliadania a kontroly plnenia povinností. Dohľadom je dohľad nad plnením povinností prevádzkovateľa základnej služby podľa tohto zákona alebo povinností uložených na základe tohto zákona (ďalej len „dohľad“).
V rámci novej kompetencie úradu v oblasti vyhlasovania stavu kybernetickej krízy sa upravil celý proces tak, aby nedochádzalo k zamieňaniu tohto stavu s vyhlasovaním ústavného stavu. Ustanovením § 27 ods. 11 a 12 sa stanovujú postupy pred samotným vyhlásením stavu kybernetickej krízy, informačná povinnosť zo strany úradu voči zainteresovaným subjektom ako aj postupy jeho odvolania.
Úrad vyhlási stav kybernetickej krízy v nevyhnutnom rozsahu a na nevyhnutný čas. O zámere a dôvodoch vyhlásenia stavu kybernetickej krízy ako aj o postupoch jej riešenia úrad informuje výbor Bezpečnostnej rady Slovenskej republiky pre kybernetickú bezpečnosť. Pred formálnym vyhlásením stavu kybernetickej krízy úrad včas upovedomí Vojenské spravodajstvo a Slovenskú informačnú službu o tejto skutočnosti, aby tým nedošlo k mareniu plnenia úloh podľa osobitných predpisov a informuje príslušný ústredný orgán a toho, kto prevádzkuje príslušnú jednotku CSIRT. Úrad odvolá stav kybernetickej krízy, keď pominú dôvody, pre ktoré bol stav kybernetickej krízy vyhlásený. Vyhlásenie a odvolanie stavu kybernetickej krízy sa vykonáva prostredníctvom masovokomunikačných prostriedkov. Opatrenia a činnosti počas stavu kybernetickej krízy definuje Národný plán reakcie na rozsiahle kybernetické bezpečnostné incidenty a krízy.
Považujeme za podstatné uviesť, že novela zákona pokiaľ ide o kompetencie úradu, doplnila zákon o ustanovenia § 29a až 29n. Predmetné ustanovenia podrobne upravujú kompetencie úradu pokiaľ ide o dohľad nad (a) vybavovaním sťažností, (b) kontrolou, (c) ukladaním opatrení na zastavenie porušovania povinností a nápravu nezákonného stavu, (d) schvaľovaním dohody o náprave, (e) prejednávaním správnych deliktov a ukladaním poriadkových pokút a pokút.
Predmetné ustanovenia sú vyčerpávajúce a komplexne upravujúce postupy úradu v rámci kontroly plnenia povinností na úseku kybernetickej bezpečnosti. Pre podrobnosti odkazujeme na uvedené ustanovenia a v prípade otázok sme Vám k dispozícii.
6. NÁRODNÁ JEDNOTKA CSIRT
Ustanovenie § 6 zákona sa novelou dopĺňa odsekmi 5 až 8. Na základe nich sa na účely koordinovaného zverejňovania zraniteľností Národným bezpečnostným úradom zriaďuje národná jednotka CSIRT – Národné centrum kybernetickej bezpečnosti.
Národná jednotka CSIRT sa určuje ako koordinátor vo veciach komunikácie o zistených alebo nahlásených zraniteľnostiach medzi prevádzkovateľom základnej služby, výrobcom alebo dodávateľom produktu informačných a komunikačných technológií (ďalej len „IKT“) alebo služby IKT a inými dotknutými osobami. Zo smernice NIS 2 vyplynula pre koordinátora povinnosť zabezpečiť, aby oznamovateľ mohol oznamovať zraniteľnosti aj anonymne (ak o to požiada oznamovateľ). Koordinátor zabezpečuje aj postupovanie informácií o zraniteľnostiach základných služieb, ku ktorým vykonáva služby jednotka CSIRT iného členského štátu Európskej únie, tzn. oznámi zraniteľnosť jednotke CSIRT iného členského štátu Európskej únie a informuje o tom oznamovateľa tejto zraniteľnosti.
Preventívne služby poskytované jednotnou CSIRT sa novelizovaným ust. § 15 ods. 2 pridávajú o písmená h) až l), ktoré sa obsahovo zameriavajú na prevenciu, predchádzanie vzniku kybernetických bezpečnostných incidentov. Do preventívnych služieb sa dopĺňajú ďalšie úlohy jednotiek CSIRT podľa požiadaviek smernice NIS 2, napríklad ide o monitorovanie siete a informačného systému alebo vykonávanie takéhoto monitorovania po dohode so správcom siete alebo prevádzkovateľom siete alebo prevádzkovateľom informačného systému, ide o vykonávanie neinvazívneho zisťovania a hodnotenie zraniteľností verejne prístupnej siete a informačného systému v rozsahu pôsobnosti jednotky CSIRT, vykonávanie hodnotenia zraniteľností, využívanie podnetov, skúseností a spolupráce s osobami pôsobiacimi v oblasti kybernetickej bezpečnosti.
Jednotky CSIRT môžu pri výkone svojich úloh uprednostňovať podľa novela zákona konkrétne úlohy na základe prístupu založeného na rizikách
Pre toho, kto plní úlohy jednotky CSIRT, sa novelou dopĺňa povinnosť zabezpečovať vnútroštátnu spoluprácu (medzi ním, Národným bezpečnostným úradom, ústrednými orgánmi podľa zákona, ostatnými jednotkami CSIRT). Okrem toho ten, kto plní úlohy jednotky CSIRT, zabezpečuje účasť na partnerských preskúmaniach organizovaných v rámci spolupráce medzi členskými štátmi Európskej únie, Európskou komisiou a Agentúrou Európskej únie pre kybernetickú bezpečnosť (ENISA).
7. PREVÁDZKOVATEĽ ZÁKLADNEJ SLUŽBY
Mechanizmus identifikácie prevádzkovateľa základnej služby sa smernicou NIS 2 mení oproti právnej úprave vyplývajúcej zo smernice NIS 1.
Novela zákona mení identifikáciu prevádzkovateľa základnej služby z ustanovenia § 3 na taxatívne vymenovanie subjektov v § 17 ods. 1 zákona, teda podniky, ktoré možno zapísať do registra prevádzkovateľov základnej služby sú priamo identifikovateľné zo zákona bez potreby vydania ďalšieho usmerňujúceho vykonávacieho predpisu.
Komplexne, podľa novelizovaného ust. § 17 zákona: „Do registra prevádzkovateľov základnej služby sa zapisuje (a) ústredný orgán štátnej správy a iný štátny orgán s celoštátnou pôsobnosťou, (b) kritický subjekt, (c) osoba bez ohľadu na splnenie podmienok veľkosti pre stredný podnik, ktorá vykonáva činnosť v niektorom zo sektorov podľa prílohy č. 1 alebo prílohy č. 2 a ktorá
1. je podnikom poskytujúcim verejnú elektronickú komunikačnú sieť alebo verejnú elektronickú komunikačnú službu,
2. je poskytovateľom dôveryhodnej služby,
3. je správcom TLD,
4. poskytuje službu DNS,
5. je v Slovenskej republike jediným poskytovateľom služby, ktorá je kľúčovou službou,
6. poskytuje službu, ktorej narušenie by mohlo mať významný vplyv na verejný poriadok, bezpečnosť alebo verejné zdravie,
7. poskytuje službu alebo má také postavenie, že narušenie poskytovania služby alebo zásah do postavenia by mohli vyvolať významné systémové riziko najmä v sektore, v ktorom by takéto narušenie alebo zásah mohli mať cezhraničný vplyv,
8. je vzhľadom na svoj osobitný význam na vnútroštátnej alebo regionálnej úrovni kritická pre konkrétny sektor, alebo
9. je subjektom hospodárskej mobilizácie, ktorému bolo uložené opatrenie podľa osobitného predpisu, (d) štátny orgán vykonávajúci pôsobnosť v najmenej dvoch okresoch a vyšší územný celok, ak by narušenie ich činnosti mohlo mať významný vplyv na verejný poriadok, bezpečnosť alebo verejné zdravie; ustanovenie písmena a) tým nie je dotknuté, (e) osoba, ktorá spĺňa najmenej podmienky veľkosti pre stredný podnik a vykonáva činnosť v niektorom zo sektorov podľa prílohy č. 1 alebo prílohy č. 2, (f) mesto, ak by narušenie výkonu jeho pôsobnosti mohlo mať významný vplyv na verejný poriadok, bezpečnosť alebo verejné zdravie, (g) správca informačnej technológie verejnej správy, (h) osoba, ktorá poskytuje službu registrácie názvu domény bez ohľadu na splnenie podmienok veľkosti pre stredný podnik alebo (i) tretia strana, ktorá má významný vplyv pri zabezpečovaní kybernetickej bezpečnosti, a má uzatvorenú zmluvu s prevádzkovateľom základnej služby, ktorý prevádzkuje kritickú základnú službu.
Ten, kto vykonáva činnosť podľa odseku 1 je povinný do 60 dní odo dňa, kedy činnosť začne vykonávať, oznámiť to úradu. Oznámenie podľa predchádzajúcej vety musí obsahovať (a) názov, sídlo a kontaktné údaje vrátane elektronických adries, verejných IP adries a telefónnych čísel, (b) zoznam členských štátov Európskej únie, v ktorých vykonáva činnosť alebo poskytuje službu, (c) názov, sídlo a kontaktné údaje zástupcu podľa § 21 ods. 1.
Úrad zapíše do registra prevádzkovateľov základnej služby osobu podľa odseku 1 (a) po predchádzajúcej konzultácii s príslušným ústredným orgánom, a to z vlastnej iniciatívy alebo na základe odôvodnenej žiadosti osoby podľa odseku 1, alebo (b) na návrh príslušného ústredného orgánu.
Zápis do registra prevádzkovateľov základnej služby oznámi úrad bezodkladne prevádzkovateľovi základnej služby prostredníctvom jednotného informačného systému kybernetickej bezpečnosti a doručí do elektronickej schránky podľa osobitného predpisu; osobitné rozhodnutie sa nevydáva.
Práva a povinnosti prevádzkovateľa základnej služby vznikajú prevádzkovateľovi základnej služby dňom uvedeným v oznámení o zápise do registra prevádzkovateľov základnej služby, najskôr však tridsiaty deň nasledujúci po dni tohto zápisu.
Ak dôjde k zmene zapísaných skutočností, úrad vykoná zmenu v registri prevádzkovateľov základnej služby, a to aj bez návrhu. Prevádzkovateľ základnej služby je povinný každú zmenu zapísaných skutočností, ktorá nie je referenčným údajom, oznámiť najneskôr do 14 dní prostredníctvom jednotného informačného systému kybernetickej bezpečnosti úradu. Na vykonanie zmeny a povinnosť jej oznamovania sa primerane použijú odseky 3 až 5.
Úrad môže vymazať prevádzkovateľa základnej služby z registra prevádzkovateľov základnej služby (a) na základe odôvodnenej žiadosti prevádzkovateľa základnej služby, po predchádzajúcej konzultácií s príslušným ústredným orgánom, najneskôr do 60 dní odo dňa doručenia odôvodnenej žiadosti, (b) na základe oznámenia ústredného orgánu, alebo (c) z vlastnej iniciatívy v odôvodnených prípadoch.
Úrad o výmaze prevádzkovateľa základnej služby z registra prevádzkovateľov základnej služby informuje prevádzkovateľa základnej služby.“
8. KRITICKÁ ZÁKLADNÁ SLUŽBA
Podľa novelizovaného ust. § 18 zákon definuje pojem kritická základná služba.
„Kritickou základnou službou je (a) výkon pôsobnosti ústredného orgánu štátnej správy alebo iného štátneho orgánu s celoštátnou pôsobnosťou, (b) činnosť v sektore podľa prílohy č. 1, okrem sektoru verejná správa, ak ju vykonáva osoba, ktorá prekračuje limity veľkosti určené pre stredný podnik, (c) kvalifikovaná dôveryhodná služba, (d) správa TLD, (e) služba DNS, (f) poskytovanie verejnej elektronickej komunikačnej siete alebo verejnej elektronickej komunikačnej služby osobou, ktorá dosahuje najmenej podmienky veľkosti pre stredný podnik, (g) vykonávanie činnosti alebo existencia postavenia podľa § 17 ods. 1 písm. c) piateho až deviateho bodu, (h) poskytovanie základnej služby kritickým subjektom, alebo (i) informačná činnosť a elektronické služby, vykonávané s použitím informačnej technológie verejnej správy, určených úradom.
Ak prevádzkovateľ základnej služby vykonáva aspoň jednu z kritických základných služieb, je prevádzkovateľom kritickej základnej služby a túto skutočnosť je povinný oznámiť úradu.
Skutočnosť, že prevádzkovateľ základnej služby prevádzkuje kritickú základnú službu, ako aj každú zmenu v týchto skutočnostiach, zapíše úrad do registra prevádzkovateľov základnej služby; na toto oznámenie a spôsob zápisu, ako aj na povinnosť oznamovania zmien a na ich zápis sa primerane použije § 17 ods. 3
9. POVINNOSTI PREVÁDZKOVATEĽA ZÁKLADNEJ SLUŽBY
Ustanovenie § 19 sa novelou zákona rozširuje aj v časti upravujúcej práva a povinnosti prevádzkovateľa základnej služby.
Novela odstraňuje duplicitu pri prijímaní bezpečnostných opatrení (§ 20 zákona). Aby prevádzkovateľ základnej služby nemusel prijímať všeobecné bezpečnostné opatrenia a ešte následne aj duplicitne sektorové bezpečnostné opatrenia, pristúpilo sa k právnej úprave, že ak sú osobitným predpisom ustanovené sektorové bezpečnostné opatrenia, prevádzkovateľ základnej služby má povinnosť ich (sektorové bezpečnostné opatrenia) prijať, dodržiavať a vykonávať.
V súlade so smernicou NIS2 sa posilňuje bezpečnosť a kontrola celého dodávateľského reťazca. V praxi totiž dochádzalo k neželaným situáciám, kedy dodávateľ nebol prevádzkovateľom základnej služby nijako kontrolovaný a prevádzkovateľ základnej služby si nemohol plnenie bezpečnostných opatrení prostredníctvom dodávateľa overiť. Tretia strana – dodávateľ, je počas trvania zmluvného vzťahu povinná vykonávať a realizovať bezpečnostné opatrenia v súlade s písomnou zmluvou a týmto zákonom a je povinná podrobiť sa kontrole plnenia týchto opatrení zo strany prevádzkovateľa základnej služby ako aj úradu, ak ide o prevádzkovateľa kritickej základnej služby.
V tomto smere sa ust. § 19 ods. 2 novelizovalo nasledovne: „Prevádzkovateľ základnej služby je povinný pri výkone činnosti, ktorá priamo súvisí s dostupnosťou, dôvernosťou a integritou prevádzky sietí a informačných systémov prevádzkovateľa základnej služby prostredníctvom tretej strany, uzatvoriť zmluvu o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností podľa tohto zákona počas celej doby výkonu tejto činnosti; pri uzatvorení zmluvy sa vykonáva analýza rizík. Tretia strana je počas trvania zmluvného vzťahu povinná vykonávať a realizovať bezpečnostné opatrenia v súlade s písomnou zmluvou a týmto zákonom a je povinná podrobiť sa kontrole plnenia týchto opatrení zo strany prevádzkovateľa základnej služby. Ak ide o zmluvu podľa prvej vety uzatvorenú s prevádzkovateľom základnej služby, ktorý prevádzkuje kritickú základnú službu, kontrolu môže vykonávať aj úrad; na tento účel má tretia strana postavenie prevádzkovateľa základnej služby. Uzatvorenie zmluvy podľa prvej vety nesmie brániť v hospodárskej súťaži.“
Ustanovujú sa tiež ďalšie povinnosti prevádzkovateľovi základnej služby vyplývajúce zo smernice NIS 2 ako aj bezpečnostných štandardov v oblasti kybernetickej bezpečnosti s cieľom vytvoriť efektívny systém riadenia kybernetickej bezpečnosti.
V tomto smere sa ďalej ust. § 19, odsek 6 dopĺňa písmenami f) až i), z ktorých vyplývajú ďalšie povinnosti, a to: „(f) analyzovať závislosti svojich aktív, informačných systémov, využívaných produktov IKT a služieb IKT tretích strán v dodávateľskom reťazci a poskytovaných služieb s cieľom identifikovať možné dopady kybernetického bezpečnostného incidentu, (g) prijať, dodržiavať a vykonávať bezpečnostné opatrenia s prihliadnutím na bezpečnostné metodiky a politiky úradu, najnovšie bezpečnostné trendy, príklady dobrej praxe a medzinárodné normy, h) vytvoriť a zaviesť účinný mechanizmus včasného informovania štatutárneho orgánu a zodpovedných vedúcich zamestnancov o kybernetických hrozbách, zraniteľnostiach, kybernetických bezpečnostných incidentoch, udalostiach odvrátených v poslednej chvíli, možných dopadoch kybernetických bezpečnostných incidentov, výsledkoch analýzy rizík a stavu implementácie ošetrenia rizík s cieľom dodržiavania tohto zákona, (i) oznamovať úradu menovanie alebo zmenu štatutárneho orgánu, ak táto zmena nie je referenčným údajom.“
Ďalšia povinnosť sa precizuje novelizovaným ust. § 19 ods. 7, na základe ktorého po novom „Prevádzkovateľ základnej služby je povinný hlásiť zmeny v zapísaných údajoch okrem referenčných údajov do 30 dní odo dňa ich vzniku prostredníctvom jednotného informačného systému kybernetickej bezpečnosti a ak prevádzkovateľ základnej služby prevádzkuje kritickú základnú službu, je povinný hlásiť úradu aj informáciu o uzatvorení zmluvy s treťou stranou o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností, ktorá má významný vplyv pri zabezpečovaní kybernetickej bezpečnosti a aj informáciu o jej ukončení. Úrad vykoná zmenu v registri prevádzkovateľov základnej služby, a to aj bez návrhu.“
10. BEZPEČNOSTNÉ OPATRENIA
Novela upravuje a precizuje bezpečnostné opatrenia v zmysle § 20 tak, aby reflektovali nové bezpečnostné štandardy, vrátane kladenia dôrazu na riešenie rizík vyplývajúcich z dodávateľského reťazca subjektu a jeho vzťahu s dodávateľmi, pretože sa vyskytli incidenty, keď sa subjekty stali obeťami kybernetických útokov spôsobom, že páchatelia dokázali ohroziť bezpečnosť sietí a informačných systémov subjektu využitím zraniteľností v produktoch a službách tretích strán.
Bezpečnostnými opatreniami na účely tohto zákona sú úlohy, procesy, role a technológie v organizačnej, personálnej, fyzickej a technologickej oblasti, ktorých cieľom je dosiahnutie, zaručenie a udržanie kybernetickej bezpečnosti počas životného cyklu sietí a informačných systémov a operačných technológií.
Bezpečnostné opatrenia sú realizované na základe vykonanej analýzy rizík a s prihliadnutím na bezpečnostné metodiky a politiky úradu, najnovšie bezpečnostné trendy a medzinárodné normy a v súlade s bezpečnostnými štandardami v oblasti kybernetickej bezpečnosti a prijímajú sa s cieľom (a) identifikovať zraniteľnosti, kybernetické hrozby a riziká, (b) chrániť preventívne informačné aktíva pred kybernetickou hrozbou a zabrániť vzniku kybernetického bezpečnostného incidentu, (c) detegovať kybernetické bezpečnostné incidenty, (d) reagovať na identifikované zraniteľnosti a kybernetické bezpečnostné incidenty a minimalizovať ich vplyv na siete a informačné systémy a (e) obnoviť siete a informačné systémy, napraviť negatívne dopady po vzniku kybernetického bezpečnostného incidentu a uviesť poskytované služby do stavu plynulého a nerušeného poskytovania.
Bezpečnostné opatrenia sa prijímajú aspoň pre (a) organizáciu a riadenie informačnej bezpečnosti a kybernetickej bezpečnosti, (b) správu zraniteľností a kybernetických hrozieb, (c) správu aktív a riadenie kybernetických hrozieb a rizík, (d) riadenie udalostí a kybernetických bezpečnostných incidentov, (e) riadenie kontinuity činností, zálohovanie, obnovu systémov po havárii a krízové riadenie, (f) bezpečnosť pri nadobúdaní, vývoji a údržbe siete, informačných systémov, aplikácií a konfigurácií, (g) postupy posudzovania účinnosti opatrení, riadenie súladu a kontrolné činnosti, (h) kryptografické opatrenia a zásady používania kryptografie, (i) bezpečnosť a spôsobilosti ľudských zdrojov, (j) správu identít a prístupov, (k) bezpečnosť pri prevádzke sietí a informačných systémov, (l) ochranu proti škodlivému kódu a nežiaducemu obsahu, (m) systémovú bezpečnosť, sieťovú bezpečnosť a komunikačnú bezpečnosť, (n) monitorovanie, zaznamenávanie a hlásenie udalostí, (o) fyzickú bezpečnosť, bezpečnosť prostredia a správu koncových zariadení, (p) ochranu záznamov, súkromia a označovanie informácií, (q) dodávateľský reťazec, (r) obstarávanie a využívanie certifikovaných produktov IKT, služieb IKT a procesov IKT.
Bezpečnostné opatrenia musia zahŕňať najmenej (a) určenie manažéra kybernetickej bezpečnosti, ktorý je pri návrhu, prijímaní a presadzovaní bezpečnostných opatrení nezávislý od štruktúry riadenia prevádzky a vývoja služieb informačných technológií a ktorý spĺňa znalostné štandardy pre výkon roly manažéra kybernetickej bezpečnosti, (b) detekciu kybernetických bezpečnostných incidentov, (c) evidenciu kybernetických bezpečnostných incidentov, (d) postupy riešenia a riešenie kybernetických bezpečnostných incidentov, (e) určenie kontaktnej osoby pre prijímanie a evidenciu hlásení, (f) pripojenie do komunikačného systému pre hlásenie a riešenie kybernetických bezpečnostných incidentov a centrálneho systému včasného varovania, (g) určenie a pridelenie úloh, rolí a zodpovednosti podľa podmienok prevádzkovateľa základnej služby a zabezpečenie primeraného vzdelávania a preškoľovania pre všetky zavedené roly, (h) určenie konkrétnej osoby alebo konkrétnych osôb zodpovedných za schvaľovanie bezpečnostných opatrení, dohľad, kontrolu a audit, zabezpečenie primeranosti zdrojov na riadenie kybernetickej bezpečnosti a za vzdelávanie, (i) vzdelávanie a budovanie bezpečnostného povedomia v oblasti kybernetickej bezpečnosti.
11. HLÁSENIA
Povinnosť prevádzkovateľa základnej služby hlásiť všetky závažné kybernetické incidenty zostáva nezmenená oproti predchádzajúcej právnej úprave. V ust. § 24 ods. 2 zákona sa však novelou mení definícia závažného kybernetického incidentu. Zrušilo sa delenie závažných kybernetických incidentov na kategórie.
Za závažný kybernetický bezpečnostný incident sa po novom považuje rozsiahly kybernetický bezpečnostný incident a kybernetický bezpečnostný incident, ktorý (i) spôsobil alebo môže spôsobiť závažné narušenie fungovania prevádzkovateľa základnej služby, alebo škodu, inú ujmu na majetku alebo ušlý zisk vo veľkom rozsahu, (ii) zasiahol alebo môže zasiahnuť iné osoby tým, že im spôsobí škodu, inú ujmu alebo ušlý zisk v značnom rozsahu.
V ust. § 24 ods. 3 sa ustanovuje spôsob hlásenia kybernetického bezpečnostného incidentu, prostredníctvom jednotného informačného systému kybernetickej bezpečnosti, pričom sa určujú lehoty na hlásenie kybernetického bezpečnostného incidentu v súlade so smernicou NIS2.
Hlásenie závažného kybernetického bezpečnostného incidentu sa vykonáva prostredníctvom jednotného informačného systému kybernetickej bezpečnosti(i) bez zbytočného odkladu, avšak najneskôr do 24 hodín od jeho zistenia sa hlási včasné varovanie, v ktorom sa uvádza najmä, či závažný kybernetický bezpečnostný incident mohol byť spôsobený protiprávnym konaním, alebo či môže mať cezhraničný vplyv, a ak ide o prevádzkovateľa základnej služby, ktorý je poskytovateľom dôveryhodných služieb, uvádza sa tiež vplyv na poskytovanie dôveryhodných služieb, (ii) bez zbytočného odkladu, avšak najneskôr do 72 hodín od jeho zistenia sa hlási oznámenie o závažnom kybernetickom bezpečnostnom incidente, v ktorom sa aktualizujú a dopĺňajú informácie z včasného varovania, najmä sa uvádza prvotné posúdenie kybernetického bezpečnostného incidentu, jeho závažnosti a následkov ak ide o prevádzkovateľa základnej služby, ktorý je poskytovateľom dôveryhodných služieb bez zbytočného odkladu, avšak najneskôr do 24 hodín od jeho zistenia, (iii) na žiadosť toho, kto prevádzkuje jednotku CSIRT, sa v určenej lehote hlásia aktualizované alebo iné vyžiadané informácie o priebehu závažného kybernetického bezpečnostného incidentu, (iv) najneskôr jeden mesiac po nahlásení oznámenia podľa bodu ii sa hlási záverečná správa, ktorá obsahuje najmä podrobný opis závažného kybernetického bezpečnostného incidentu vrátane jeho závažnosti a následkov, druh kybernetickej hrozby alebo hlavnú príčinu, ktorá pravdepodobne kybernetický bezpečnostný incident spôsobila, zavedené a prebiehajúce opatrenia a cezhraničný vplyv, ak existuje, (v) ak ide o závažný kybernetický bezpečnostný incident s cezhraničným vplyvom, ktorý v lehote podľa bodu iv stále trvá, hlási sa do 30 dní odo dňa obnovy riadnej prevádzky siete a informačného systému aktualizovaná záverečná správa v rozsahu podľa bodu iv; ak v čase predkladania záverečnej správy podľa bodu iv závažný kybernetický bezpečnostný incident ešte prebieha, hlásia sa ďalšie aktualizované alebo iné vyžiadané informácie a aktualizovaná záverečná správa do 30 dní odo dňa, keď sa závažný kybernetický bezpečnostný incident vyriešil.
Ďalej sa novelou dopĺňa prevádzkovateľovi základnej služby povinnosť hlásiť okrem závažných kybernetických incidentov aj povinnosť hlásiť (i) významnú kybernetickú hrozbu, (ii) udalosť odvrátenú na poslednú chvíľu, ktorá mohla spôsobiť závažný kybernetický incident a (iii) zraniteľnosť ním prevádzkovaných verejne dostupných sietí a informačných systémov, ktorá podľa dostupných informácií a technických znalostí by mohla byť zneužitá na spôsobenie závažného kybernetického incidentu a prevádzkovateľ základnej služby nemohol v primeranom čase prijať opatrenia na jej odstránenie alebo zníženie rizika. Prevádzkovateľovi základnej služby a iným osobám, a to aj nad rozsah povinného hlásenia, sa umožňuje dobrovoľne hlásiť kybernetické bezpečnostné incidenty, kybernetické hrozby a udalosti odvrátené na poslednú chvíľu.
12. ROZSAH PRÍLOH ZÁKONA A KRITICKÉ SEKTORY
Pôvodné prílohy č. 1 a č. 2 sa nahrádzajú novými prílohami podľa požiadaviek smernice NIS 2.
Prílohy č. 1 a č. 2 slúžia na identifikáciu prevádzkovateľov základnej služby podľa § 17 ods. 1 zákona.
V prílohe č. 1 sú uvedené (i) sektory s vysokou úrovňou kritickosti, (ii) podsektory, (iii) typy subjektov a (iv) ústredný orgán, ktorý tieto subjekty zastrešuje. V poznámke sú uvedené právne predpisy Slovenskej republiky upravujúce problematiku sektorov, podsektorov, prípadne typov subjektov. Väčšina sektorov, podsektorov a typov subjektov s vysokou úrovňou kritickosti bola identifikovaná už v prílohe č. 1 zákona v znení účinnom do 31. decembra 2024. Príloha č. 1 slúži aj na identifikáciu kritickej základnej služby, pretože činnosti uvedené v prílohe č. 1, okrem sektoru verejná správa, sa považujú za kritickú základnú službu, ak ju vykonáva osoba, ktorá presahuje podmienky veľkosti pre stredný podnik.
Príloha č. 1 k novelizovanému zákonu uvádza ako sektory s vysokou úrovňou kritickosti sektor (i) energetiky, (ii) dopravy, (iii) financií, (iv) zdravotníctva, (v) vody a atmosféry, (vi) digitálnej infraštruktúry, (vii) riadenia služieb informačných a komunikačných technológií, (viii) verejnej správy a (ix) sektor vesmíru.
V prílohe č. 1 poznámke sú uvedené príklady príslušných právnych predpisov v danej oblasti. Ide o pomôcku pre užívateľa zákona č. 69/2018 Z. z. a nejde o finálny výpočet právnych predpisov.
V prílohe č. 2 sú uvedené iné kritické sektory, vrátane ich podsektorov, typov subjektov a ústredných orgánov, ktoré tieto typy subjektov zastrešujú. V poznámke sú uvedené právne predpisy Slovenskej republiky upravujúce problematiku sektorov, podsektorov, prípadne typov subjektov.
Príloha č. 2 k novelizovanému zákonu uvádza ako iné kritické sektory sektor (i) poštových a kuriérskych služieb, (ii) odpadového hospodárstva, (iii) výroby a distribúcie chemických látok, (iv) výroby, spracovania a distribúcie potravín, (v) výroby, (vi) poskytovateľov digitálnych služieb a (vii) sektor výskumu.
V prípade prílohy č. 3 ide iba o legislatívnotechnickú úpravu k zoznamu preberaných právne záväzných aktov Európskej únie.
13. SÚVISIACA NOVELIZÁCIA ŽIVNOSTENSKÉHO ZÁKONA
Súvisiaca novelizácia, ktorú považujeme za dôležitú, je novelizácia zákona č. 455/1991 Zb. živnostenského zákona v platnom znení.
Novelizáciou sa medzi viazané živnosti do skupiny 214 – Ostatné, dopĺňa živnosť s poradovým číslom 99., a to tzv. „Certifikovaný audítor kybernetickej bezpečnosti“.
Odborná spôsobilosť sa preukazuje Certifikátom audítora kybernetickej bezpečnosti, ktorý je vydaný v súlade s § 29 ods. 3 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov.
Účinnosť novely zákona je nastavená na deň 1. január 2025.
Publikované dňa 16.12.2024