1. ABSTRAKT
Dňa 27. novembra 2024 bol v Národnej rade SR schválený nový zákon o kritickej infraštruktúre, cieľom ktorého je transpozícia a implementácia právnych predpisov Európskej únie a má priame väzby a je v súlade s ostatnými legislatívnymi zámermi v oblasti zvýšenia odolnosti civilnej ochrany, priamych zahraničných investícií, kybernetickej bezpečnosti, acquis v oblasti finančných služieb a posilnenia odolnosti a zníženia zraniteľností na zmenu klímy. Nový zákon je tiež v úzkom súlade s kybernetickou bezpečnosťou s cieľom zvýšiť proti všetkým nebezpečenstvám odolnosť informačných a komunikačných technológií, kľúčových subjektov a dôležitých subjektov, ktoré spĺňajú konkrétne prahové hodnoty vo veľkom počte odvetví.
Odo dňa 1. januára 2025, teda odo dňa účinnosti nového zákona, sa zrušuje zákon č. 45/2011 Z. z. o kritickej infraštruktúre, ktorý vymedzoval ochranu len prvkov kritickej infraštruktúry.
Pokiaľ ide o prechodné ustanovenie, rozhodnutia o určení prvku kritickej infraštruktúry a prvku európskej kritickej infraštruktúry oznámené podľa doterajších predpisov zostanú v platnosti do 17. júla 2026. Inak sa v zásade od 1. januára 2025 bude postupovať podľa novej právnej úpravy.
2. ZÁKLADNÝ RÁMEC ZÁKONA A PODSTATNÉ POJMY
Nový zákon o kritickej infraštruktúre upravuje (i) organizáciu a pôsobnosť orgánov štátnej správy na úseku kritickej infraštruktúry, (ii) postup pri identifikácii kritického subjektu a kritického subjektu osobitného európskeho významu, (iii) povinnosti kritického subjektu pri zabezpečovaní odolnosti kritickej infraštruktúry a zabezpečovaní kontinuity poskytovania základnej služby, (iv) zodpovednosť za porušenie
povinností ustanovených týmto zákonom, (v) kontrolu nad dodržiavaním tohto zákona a audit.
Zákon sa nevzťahuje na kritické subjekty v sektore vesmír a nevzťahuje sa na činnosti na úseku obrany Slovenskej republiky, na vyšetrovanie, odhaľovanie a stíhanie trestných činov, na platobné systémy, systémy zúčtovania a vyrovnania cenných papierov a ich infraštruktúry dohliadané alebo prevádzkované Európskou centrálnou bankou alebo Eurosystémom.
Kritickou infraštruktúrou je aktívum, zariadenie, vybavenie, sieť alebo systém, alebo časť aktíva, zariadenia, vybavenia, siete alebo systému, ktoré sú nevyhnutné na poskytovanie základnej služby.
Nový pojem kritická infraštruktúra podľa smernice (EÚ) 2022/2557 predstavuje odklon od fyzickej ochrany prvku k zaisteniu kontinuálneho poskytovania základnej služby.
Základnou službou je služba kritického subjektu, ktorá má zásadný význam z hľadiska zachovania životne dôležitých spoločenských funkcií alebo hospodárskych činností, vrátane ochrany verejného zdravia, bezpečnosti alebo životného prostredia a ktorá je uvedená v prílohe č. 1. Základná služba je tiež nový pojem, ktorý prináša/zavádza smernica (EÚ) 2022/2557 do národnej legislatívy.
Základné služby sú uvedené v prílohe č. 1 nového zákona a ide o základné služby v sektore (i) energetiky, (ii) dopravy, (iii) financií, (iv) poštových služieb, (v) zdravotníctva, (vi) vody a atmosféry, (vii) digitálnej infraštruktúry, (viii) verejnej správy a (ix) vesmíru.
Kritickým subjektom je v zmysle zákona právnická osoba alebo fyzická osoba – podnikateľ, ktorá poskytuje základnú službu podľa prílohy č. 1 a ktorá je postupom podľa tohto zákona identifikovaná ako kritický subjekt.
Nie každý poskytovateľ základnej služby bude aj kritickým subjektom, ale len taký, ktorý bude na základe zákona identifikovaný ako kritický subjekt a to priamo ústredným orgánom. Zákon neustanovuje ohlasovaciu povinnosť ani povinnosť pre kritické subjekty, aby sa „samoidentifikovali“.
V rámci vymedzenia základných pojmov v novom zákone sa kladie osobitný dôraz na technické bezpečnostné zariadenia, ktoré zahŕňajú nielen tradičné elektronické bezpečnostné systémy, ale aj špecializované zariadenia na detekciu bezpilotných lietadiel. Tieto zariadenia sú dôležitou súčasťou ekosystému bezpečnosti kritickej infraštruktúry, keďže neoprávnený prienik bezpilotných lietadiel môže predstavovať významné riziko pre poskytovanie nevyhnutných základných služieb a ochranu limitovaných informácií.
Pojem limitovaná informácia je zavedený súbežne s prijatím nového zákona o kritickej infraštruktúre, a to pridaním ust. § 3a do zákona č. 215/2004 Z. z. o ochrane utajovaných skutočností a o zmene a doplnení niektorých zákonov.
Limitovaná informácia je informácia, ktorá sa týka (i) utajovanej skutočnosti, (ii) organizácie alebo činnosti orgánu verejnej moci alebo subjektu plniaceho úlohy v oblasti zabezpečenia verejného poriadku, bezpečnosti alebo obrany Slovenskej republiky podľa osobitného predpisu a ktorá je spôsobilá jednotlivo alebo v spojení s inou informáciou ohroziť, obmedziť alebo znemožniť plnenie týchto úloh, (iii) skutočnosti, ktorej zverejnenie by na základe posúdenia rizík ohrozilo poskytovanie základnej služby kritickým subjektom.
Limitovanú informáciu nemožno sprístupniť neurčitému okruhu osôb prostredníctvom masovokomunikačných prostriedkov alebo iným obdobným spôsobom.
3. ŠTÁTNA SPRÁVA NA ÚSEKU KRITICKEJ INFRAŠTRUKTÚRY
Štátnu správu na úseku kritickej infraštruktúry vykonáva v zmysle nového zákona (i) vláda Slovenskej republiky (ďalej len „vláda“), (ii) Ministerstvo vnútra Slovenskej republiky (ďalej len „ministerstvo vnútra“), (iii) Ministerstvo hospodárstva Slovenskej republiky, Ministerstvo financií Slovenskej republiky, Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky, Ministerstvo dopravy Slovenskej republiky, Ministerstvo životného prostredia Slovenskej republiky, Ministerstvo zdravotníctva Slovenskej republiky, Ministerstvo pôdohospodárstva a rozvoja vidieka Slovenskej republiky, ministerstvo vnútra, Národný bezpečnostný úrad a Správa štátnych hmotných rezerv Slovenskej republiky (ďalej len „ústredný orgán“).
V ustanovujúcich odsekoch paragrafu 5 nový zákon podrobne a taxatívne špecifikuje, čo všetko spadá do pôsobnosti ministerstva vnútra a jeho postavenia ako jednotného kontaktného miesta pre zabezpečenie odolnosti kritickej infraštruktúry na národnej a európskej úrovni. Ministerstvo vnútra komplexne vedie správu a aktualizáciu verejného a neverejného zoznamu kritických subjektov, ktorý zahŕňa nielen identifikáciu subjektov a základných služieb podľa prílohy č. 1, ale aj proces nahlasovania incidentov, ktoré môžu alebo majú významný vplyv na poskytovanie základnej služby.
V ustanovení § 6 nového zákona je taxatívne vymedzená pôsobnosť príslušných ministerstiev a ostatných ústredných orgánov štátnej správy na úseku kritickej infraštruktúry. Tieto ústredné orgány štátnej správy budú vykonávať štátnu správu vrátane kontrolnej činnosti v oblasti kritickej infraštruktúry v rámci svojej pôsobnosti, najmä vo vzťahu k opatreniam na zabezpečenie odolnosti kritických subjektov.
Ústredné orgány štátnej správy v rámci tzv. decentralizácie identifikujú kritické subjekty a ich zaradenie alebo vyradenie zo sektora a podsektora podľa prílohy č. 1 a informujú kritický subjekt o tom, že bol identifikovaný ako kritický subjekt resp. vyradený zo sektora a podsektora podľa prílohy č. 1. O identifikácii kritického subjektu a jeho zaradení a vyradení zo sektora a podsektora podľa prílohy č. 1 informuje ústredný orgán ministerstvo vnútra. Zároveň vedie neverejnú časť zoznamu identifikovaných kritických subjektov v stanovenom rozsahu.
Smernica (EÚ) 2022/2557 zaväzuje členské štáty Európskej únie, aby prijali stratégiu zameranú na zvýšenie odolnosti kritických subjektov. Najdôležitejší mechanizmus pri tvorbe stratégie je podľa nového zákona proces, ktorým sa kritické subjekty identifikujú, vrátane určenia prahových hodnôt významnosti vplyvu pre každý sektor a podsektor a pre každú základnú službu podľa prílohy č. 1). Jednotlivé prahové hodnoty, kritéria významnosti vplyvu, v procese tvorby stratégie budú navrhovať ústredné orgány samy, pričom ale ústredné orgány budú vykonávať konzultácie so združeniami podnikateľov.
4. POSÚDENIE RIZIKA ÚSTREDNÝM ORGÁNOM
Podľa § 8 ods. 1 nového zákona ústredný orgán predkladá ministerstvu vnútra správy o posúdení rizika v sektoroch a podsektoroch podľa prílohy č. 1. Posúdenie rizika sa vykonáva podľa potreby, najmenej raz za štyri roky. Ústredný orgán aktualizuje posúdenie rizika vždy, keď dôjde k zmene v posudzovaných rizikách.
Pri posudzovaní rizika sa zohľadňujú všetky relevantné prírodné riziká a riziká spôsobené ľudskou činnosťou vrátane rizík medzisektorovej povahy alebo rizík cezhraničnej povahy, nehôd, prírodných katastrof, ohrození verejného zdravia, hybridných hrozieb alebo iných hrozieb vrátane trestných činov terorizmu.
5. IDENTIFIKÁCIA KRITICKÝCH SUBJEKTOV
Zákon ustanovením § 9 nového zákona nezavádza povinnosť hlásiť ústrednému orgánu začatie poskytovania základnej služby, ani samoidentifikáciu kritickým subjektom.
Avšak podľa predmetného ustanovenia ústredný orgán identifikuje subjekt ako kritický subjekt, ak (i) subjekt poskytuje jednu alebo viacero základných služieb podľa prílohy č. 1, (ii) subjekt pôsobí a jeho kritická infraštruktúra sa nachádza na území Slovenskej republiky a (iii) incident u kritického subjektu by mal na základe splnenia aspoň jedného kritéria významnosti vplyvu podľa § 14 ods. 3 významný rušivý vplyv na poskytovanie jednej alebo viacerých základných služieb kritickým subjektom alebo na poskytovanie iných základných služieb v sektoroch a podsektoroch uvedených v prílohe č. 1, ktoré závisia od uvedenej základnej služby alebo od uvedených základných služieb.
Ústredný orgán na úseku kritickej infraštruktúry, priebežne podľa potreby a aspoň raz za štyri roky preskúmava a aktualizuje zoznam kritických subjektov.
6. OPATRENIA NA ZABEZPEČENIE ODOLNOSTI KRITICKÝCH SUBJEKTOV
Každý kritický subjekt je v zmysle ust. § 10 povinný mať vypracovaný a implementovaný aktuálny bezpečnostný plán.
Kritický subjekt je povinný do desiatich mesiacov odo dňa doručenia oznámenia o jeho identifikovaní ako kritického subjektu prijať a následne dodržiavať bezpečnostný plán, ktorý obsahuje popis a umiestnenie kritickej infraštruktúry prostredníctvom GPS súradníc a technické opatrenia, organizačné opatrenia, personálne opatrenia a kontrolné opatrenia na zabezpečenie odolnosti kritickej infraštruktúry, najmä opatrenia potrebné na (i) predchádzanie vzniku incidentov, (ii) zabezpečenie primeranej fyzickej ochrany a ochrany prostredníctvom mechanických zábranných prostriedkov a technických zabezpečovacích prostriedkov, (iii) reakciu na incidenty, odolávanie incidentom a zmierňovanie ich následkov, , vrátane protokolov riadenia rizík a krízového riadenia a postupov spojených s bezpečnostnými varovaniami, (iv) zotavenie sa z incidentov s náležitým zohľadnením opatrení, (v) zabezpečenie primeraného riadenia bezpečnosti v súvislosti so zamestnancami a externými pracovníkmi, (vi) zvyšovanie informovanosti príslušných zamestnancov o opatreniach s náležitým zohľadnením kurzov odbornej prípravy, informačných materiálov a cvičení, a určenie požiadaviek na odbornú prípravu a kvalifikácie.
7. POVINNOSTI KRITICKÉHO SUBJEKTU
Ustanovenia v § 11 nového zákona sa zameriavajú a kladú dôraz na špecifikáciu zodpovedností kritických subjektov na úseku kritickej infraštruktúry, pričom kľúčovým aspektom je zodpovednosť kritických subjektov za proces zvyšovania ich odolnosti.
Základnou charakteristikou týchto povinností je, že kritický subjekt, ktorý bol identifikovaný podľa kritérií, je povinný vykonať komplexné posúdenie všetkých relevantných rizík, ktoré by mohli ohroziť poskytovanie jeho základných služieb, a to do deviatich mesiacov od prijatia tohto oznámenia a potom opakovane podľa budúcich potrieb, najmenej však raz za štyri roky.
V tomto posúdení sa zohľadňuje široká škála rizík vrátane prírodných katastrof, nehôd a rizík súvisiacich s ľudskou činnosťou, ako sú napríklad teroristické útoky. Posudzujú sa v ňom aj potenciálne vplyvy incidentov v jednom sektore na iné sektory alebo podsektory, pričom sa zohľadňujú aj možné cezhraničné vplyvy.
Opatrenia na zabezpečenie ochrany kritickej infraštruktúry zahŕňajú okrem iného povinnosť udržiavať technológiu, ktorá zabezpečuje ochranu a funkčnosť kritickej infraštruktúry, poskytovanie pokynov zamestnancom o bezpečnostnom pláne a pravidelné prehodnocovanie ochranných opatrení. Kritické subjekty musia tiež úzko spolupracovať s príslušnými štátnymi orgánmi, a to aj poskytovaním potrebných informácií o svojej infraštruktúre a prijatých ochranných opatreniach. Je tiež ich zodpovednosťou reagovať na incidenty a zabezpečiť, aby sa čo najrýchlejšie obnovila kontinuita poskytovaných základných služieb.
Ďalšou dôležitou povinnosťou je povinnosť informovať o zmenách, ktoré by mohli ovplyvniť identifikáciu a klasifikáciu subjektu ako kritického subjektu, vrátane možného prevodu kontroly nad kritickou infraštruktúrou na iný subjekt, ak by takýto prevod alebo prechod spôsobil dopad v poskytovaní základnej služby kritickým subjektom.
Z povinností kritického subjektu podľa § 11 nového zákona uvádzame, že kritický subjekt je povinný ochraňovať kritickú infraštruktúru poskytujúcu základnú službu pred narušením alebo zničením a na ten účel je povinný (i) udržiavať technológiu, ktorá zabezpečuje ochranu a funkčnosť, (ii) oboznámiť svojich zamestnancov v nevyhnutnom rozsahu s bezpečnostným plánom, (iii) precvičiť podľa bezpečnostného plánu aspoň raz za štyri roky modelovú situáciu hrozby narušenia alebo zničenia kritickej infraštruktúry a poskytovania základnej služby, (iv) určiť kontaktnú osobu a oprávnenú osobu a rozsah ich oprávnení, (v) poskytnúť ústrednému orgánu a ministerstvu vnútra súčinnosť na základe žiadosti a v určenej lehote doklady a vysvetlenia potrebné na identifikáciu všetkých rozhodujúcich skutočnosti podľa tohto zákona (napr. popis a umiestnenie kritickej infraštruktúry, posúdenie ochrany, posúdenie rizika, a iné), (vi) postupovať podľa bezpečnostného plánu v prípade rizika narušenia alebo zničenia kritickej infraštruktúry a zabezpečiť obnovu kontinuity poskytovania základnej služby, (vii) oznámiť ústrednému orgánu všetky incidenty, ktoré významne narúšajú alebo majú potenciál významne narušiť poskytovanie základných služieb, (viii) poskytnúť ústrednému orgánu a ministerstvu vnútra na základe žiadosti a v určenej lehote limitovanú informáciu; kritický subjekt poskytne ústrednému orgánu a ministerstvu vnútra limitovanú informáciu aj vtedy, ak je to potrebné vzhľadom k zabezpečeniu odolnosti kritického subjektu, alebo z iných dôležitých dôvodov, (ix) do 30 dní odo dňa vzniku skutočnosti písomne oznámiť ústrednému orgánu zmenu v predmete činnosti, ktorá môže mať vplyv na identifikáciu kritického subjektu, (x) do 30 dní odo dňa vzniku skutočnosti písomne oznámiť ústrednému orgánu taký prevod alebo prechod kritickej infraštruktúry na iný subjekt, ktorý môže mať vplyv na poskytovanie základnej služby kritickým subjektom, (xi) do 30 dní odo dňa vzniku skutočnosti písomne oznámiť ústrednému orgánu vstup do likvidácie, začatie konkurzného konania, reštrukturalizačného konania alebo iného obdobného konania, exekúcie alebo iného obdobného vykonávacieho konania, ako aj začatie výkonu záložného práva alebo iného obdobného práva vo vzťahu ku kritickému subjektu alebo jeho majetku, (xii) na základe písomnej žiadosti ústredného orgánu poskytnúť ústrednému orgánu informácie, podklady a vysvetlenia.
Kritický subjekt bude musieť určiť kontaktnú osobu a oprávnenú osobu kritického subjektu, a to podľa § 12 nového zákona. Kontaktná osoba je oprávnená osoba, ktorá zabezpečuje styk medzi kritickým subjektom, ústredným orgánom, ministerstvom vnútra a medzi kritickými subjektmi pri zabezpečovaní odolnosti kritickej infraštruktúry a pri zabezpečovaní kontinuity poskytovania základnej služby, najmä výmenu informácií o riziku jej narušenia alebo zničenia.
8. OZNAMOVANIE INCIDENTOV
Ustanovenie § 14 nového zákona stanovuje kritickému subjektu oznamovacie povinnosti vo vzťahu k ústrednému orgánu štátnej správy príslušnému pre jednotlivé sektory kritickej infraštruktúry.
Kritický subjekt je povinný podľa nového zákona oznámiť ústrednému orgánu každý incident, ktorý spĺňa prahové hodnoty incidentu podľa § 8 ods. 3 písm. e).
Pokiaľ ide o prahové hodnoty, určenie významnosti incidentu je založené na kritériách, napríklad počet a podiel používateľov dotknutých narušením, trvanie narušenia, vplyv, ktorý by mohli mať incidenty na hospodárske a spoločenské činnosti, životné prostredie, verejnú ochranu a bezpečnosť a zdravie obyvateľstva, geografické územie dotknuté narušením s prihliadnutím na to, či je toto územie geograficky izolované.
Oznamovanie incidentov sa vykoná elektronicky spôsobom určeným ústredným orgánom zverejneným na jeho webovom sídle.
Ak to je z prevádzkového hľadiska možné, kritické subjekty budú povinné predložiť prvé oznámenie o incidente najneskôr do 24 hodín po tom, ako nadobudnú vedomosť o incidente.
Po prijatí oznámenia o incidente ústredný orgán poskytne kritickému subjektu ďalšie relevantné informácie ohľadom incidentu na základe jeho posúdenia a vo verejnom záujme môže informovať verejnosť o významnom narušení poskytovania základnej služby. Ústredný orgán vedie zoznam všetkých incidentov, ktoré ovplyvnili poskytovanie základných služieb, a informuje o nich ministerstvo vnútra. Následne ministerstvo vnútra informuje ďalšie relevantné bezpečnostné zložky štátu a medzinárodných partnerov.
9. KONTROLA A AUDIT
Ustanovením § 16 sa novým zákonom zavádzajú právomoci ústredných orgánov, ktoré zahŕňajú najmä právomoc vykonávať kontroly, kde sa postupuje ako pri výkone kontroly v štátnej správe. Kontrolu kritických subjektov bude vykonávať ministerstvo a ostatné ústredné orgány štátnej správy u tých kritických subjektov, ktoré zaradili do zoznamu kritických subjektov a ktoré tak patria do ich vecnej pôsobnosti.
V prípade dôvodného podozrenia, že kritický subjekt nedodržiava povinnosti podľa nového zákona o kritickej infraštruktúre, vrátane prijatia požadovaných opatrení, môže ústredný orgán vykonať u kritického subjektu aj audit, alebo nariadiť jeho vykonanie inou osobou na základe písomného a odôvodneného poverenia; v poverení ústredný orgán určí rozsah činností inej osoby, ktoré neprekročia rozsah pôsobnosti ústredného orgánu.
10. PRIESTUPKY A INÉ SPRÁVNE DELIKTY
Ako uvádza dôvodová správa, na úseku kritickej infraštruktúry majú finančné sankcie zásadný význam pre zabezpečenie dodržiavania stanovených povinností kritickými subjektmi. Nový zákon v ust. § 17 a § 18 určuje mechanizmy posudzovania vzniku priestupkov a správnych deliktov za porušenia zákona o kritickej infraštruktúry.
Fyzická osoba sa v prípade porušenia zákona o kritickej infraštruktúre dopustí priestupku jedine v prípade, ak poruší povinnosť ako osoba oprávnená za kritickú osobu, a to vtedy, ak neoznámi kritickému subjektu každú zmenu skutočností rozhodujúcich na posúdenie bezúhonnosti. Za taký priestupok hrozí pokuta do 3000 eur.
Porušenia ostatných a iných ustanovení zákona o priestupkoch bude považované za tzv. iný správny delikt na úseku kritickej infraštruktúry.
V závislosti od subjektu porušujúceho povinnosť a od závažnosti porušenia povinnosti v zmysle nového zákona hrozia pokuty v rozsahu od 5000 eur do 300000 eur.
Ak do jedného roka odo dňa nadobudnutia právoplatnosti rozhodnutia o uložení pokuty za správne delikty dôjde k opätovnému porušeniu povinnosti, za ktorú bola pokuta za správne delikty uložená, ústredný orgán, v ktorého sektore a podsektore došlo k porušeniu povinnosti, uloží pokutu až do dvojnásobku výšky súm.
Pokutu možno uložiť do dvoch rokov odo dňa, keď sa ústredný orgán dozvedel o porušení povinnosti, najneskôr však do troch rokov odo dňa, keď k porušeniu povinnosti došlo.
Publikované dňa 16.12.2024