NIS2 na Slovensku: zákon o kybernetickej bezpečnosti

Koho sa zákon týka, aké má lehoty a pokuty a čo z neho vyplýva pre firemný web. Podľa aktuálneho znenia zákona č. 69/2018 Z. z., vyhlášok NBÚ a stránok nbu.gov.sk, overené 11. novembra 2026.

V skratke:

Smernicu NIS2 prevzala na Slovensku novela č. 366/2024 Z. z. zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti, účinná od 1. januára 2025. Dohľad má Národný bezpečnostný úrad (NBÚ).
Týka sa najmä stredných a väčších podnikov v sektoroch z príloh zákona. Či sa týka vás, orientačne spočíta naša NIS2 kalkulačka.
Kto pod zákon spadá, oznámi to NBÚ do 60 dní od začatia činnosti, do 12 mesiacov od zápisu prijme bezpečnostné opatrenia a hlási závažné incidenty: včasné varovanie do 24 hodín, oznámenie do 72 hodín.
V registri NBÚ bolo k 9. novembra 2026 zapísaných 2 653 prevádzkovateľov základnej služby.

Čo robiť teraz

Zistite, či pod zákon spadáte a či ide o kritickú základnú službu.Rozhoduje sektor a typ subjektu z príloh zákona, veľkosť podniku a niekoľko osobitných prípadov bez ohľadu na veľkosť.
Oznámte činnosť NBÚ do 60 dní od jej začatia.Formulár sa posiela elektronicky cez ústredný portál verejnej správy, NBÚ potom zapíše firmu do registra.
Určte manažéra kybernetickej bezpečnosti a ďalšie zodpovedné osoby.Manažér musí byť nezávislý od prevádzky IT a spĺňať znalostný štandard z vyhlášky 492/2022 Z. z.
Urobte analýzu rizík.Najmenej raz ročne ju preskúmajte, NBÚ na to vydal vlastnú metodiku.
Prijmite bezpečnostné opatrenia do 12 mesiacov od zápisu do registra.Rozsah určuje vyhláška NBÚ 227/2025 Z. z., zvlášť pre PZS a PKZS.
Pripravte postup na hlásenie incidentov cez JISKB.Včasné varovanie do 24 hodín, oznámenie do 72 hodín, záverečná správa do mesiaca.

Koho sa zákon týka

Do registra prevádzkovateľov základnej služby (PZS) sa zapisuje firma, ktorá je aspoň stredným podnikom a pôsobí v niektorom sektore z prílohy č. 1 alebo č. 2 zákona (§ 17 ods. 1 písm. e):

Príloha č. 1, sektory s vysokou úrovňou kritickosti: energetika, doprava, financie, zdravotníctvo, voda a atmosféra, digitálna infraštruktúra, riadenie služieb IKT medzi podnikmi, verejná správa a vesmír.
Príloha č. 2, iné kritické sektory: poštové a kuriérske služby, odpadové hospodárstvo, chemické látky, potraviny, výroba (zdravotnícke pomôcky, elektronika, elektrické zariadenia, stroje, vozidlá a dopravné prostriedky), online trhy, vyhľadávače, sociálne siete a výskum.

Stredný podnik je podľa odporúčania Komisie 2003/361/ES firma s menej ako 250 zamestnancami a obratom do 50 mil. eur alebo bilančnou sumou do 43 mil. eur. Pod týmito hranicami je malý podnik (menej ako 50 zamestnancov, obrat alebo bilancia do 10 mil. eur) a mikropodnik.

Bez ohľadu na veľkosť sa do registra zapisuje (§ 17 ods. 1):

ústredný orgán štátnej správy a kritický subjekt,
operátor verejnej elektronickej komunikačnej siete alebo služby, poskytovateľ dôveryhodnej služby, správca TLD, poskytovateľ služby DNS a registrátor domén,
jediný poskytovateľ kľúčovej služby na Slovensku, služba s významným vplyvom na verejný poriadok, bezpečnosť alebo zdravie, služba so systémovým rizikom, subjekt kritický pre sektor a subjekt hospodárskej mobilizácie.

Zapísaný je ten, koho NBÚ zapíše do registra (§ 3 ods. 2). Práva a povinnosti vznikajú dňom uvedeným v oznámení o zápise, najskôr 30. deň po zápise (§ 17 ods. 5). Verejný register PZS vedie NBÚ na svojom webe.

PZS a PKZS: dve úrovne povinností

Prevádzkovateľ kritickej základnej služby (PKZS) je PZS, ktorý vykonáva aspoň jednu službu z § 18 ods. 1. Najčastejšie ide o veľký podnik, teda nad hranicami stredného podniku, v sektore z prílohy č. 1 okrem verejnej správy. Kritickou službou je vždy aj služba DNS, správa TLD, kvalifikovaná dôveryhodná služba a verejná komunikačná sieť alebo služba od stredného podniku vyššie. Firmy zo sektorov prílohy č. 2 sú podľa veľkosti len PZS.

	Prevádzkovateľ základnej služby (PZS)	Prevádzkovateľ kritickej základnej služby (PKZS)
Kto typicky	stredné podniky v sektoroch z príloh 1 a 2, veľké podniky z prílohy 2	veľké podniky z prílohy 1, DNS, TLD, kvalifikované dôveryhodné služby, väčší operátori
Posudzovanie zraniteľností	najmenej raz ročne	najmenej raz za 6 mesiacov
Zálohy	v logicky, fyzicky a geograficky oddelených priestoroch	pravidlo 3 kópií na 2 typoch médií, 1 kópia oddelene
Kedy je výpadok závažný incident	úplný výpadok nad 60 minút, obmedzenie nad 180 minút	úplný výpadok nad 30 minút, obmedzenie nad 60 minút
Audit	môže nahradiť samohodnotením cez JISKB, audit do 5 rokov od zápisu	audit certifikovaným audítorom do 2 rokov od zápisu, ďalší do konca 3. kalendárneho roka po predchádzajúcom
Najvyššia pokuta	7 mil. eur alebo 1,4 % celosvetového obratu	10 mil. eur alebo 2 % celosvetového obratu

Opatrenia podľa prílohy č. 1 vyhlášky 227/2025 Z. z. (položky 14, 15, 31, 32), výpadky podľa prílohy č. 1 vyhlášky 226/2025 Z. z., audit podľa § 29 zákona a prílohy č. 2 vyhlášky 493/2022 Z. z., pokuty podľa § 31 ods. 2 a 3 zákona. Pri pokute platí vyššia z oboch súm. Kto bol PZS už pred 1. 1. 2025, považuje sa za PKZS (§ 34b ods. 1), NBÚ to môže do konca roka 2026 zmeniť.

Lehoty

Oznámenie činnosti NBÚ: do 60 dní odo dňa, keď ju začnete vykonávať (§ 17 ods. 2).
Bezpečnostné opatrenia: prijať do 12 mesiacov odo dňa zápisu do registra (§ 19 ods. 1).
Hlásenie závažného incidentu: včasné varovanie najneskôr do 24 hodín od zistenia, oznámenie do 72 hodín, záverečná správa najneskôr mesiac po oznámení (§ 24 ods. 3).
Audit alebo samohodnotenie: do 2 rokov od zápisu do registra; PZS, ktorý nie je PKZS, môže namiesto auditu urobiť samohodnotenie a audit podstúpiť do 5 rokov (§ 29 ods. 1 a 8).

Čo to znamená pre web

Zákon nepredpisuje konkrétny produkt. Chce, aby ste poznali svoje aktíva, riadili riziká a mali proti nim opatrenia. Firemný web, e-shop alebo klientsky portál medzi aktíva patrí. Pri webe to podľa prílohy č. 1 vyhlášky 227/2025 Z. z. znamená najmä:

Logy o prevádzke a bezpečnostných udalostiach uchovávané najmenej 12 mesiacov a chránené pred zmenou (položka 116).
Viacfaktorové overovanie pri vzdialenom prístupe, teda aj do administrácie webu a hostingu (položka 73).
Zálohy v oddelenom priestore, aspoň raz ročne vyskúšané (položky 28, 31 a 32).
Pravidelné aktualizácie a ochranu proti škodlivému kódu (položky 98 a 99).
Oddelený sieťový segment pre systémy prístupné z internetu (položka 109).
Zmluvu s dodávateľom: ak web prevádzkuje hosting alebo iná firma, ktorá má vplyv na jeho bezpečnosť, musí s ňou byť zmluva podľa § 19 ods. 2 zákona a pred ňou analýza rizík (položky 146 a 147). Vzor zmluvy zverejnil NBÚ.

Ako sa web chráni pred útokmi, vysvetľujeme na stránke Ochrana webu.

WEDOS NIS2 Standard: ochrana webu s logmi pre NIS2

WEDOS predáva na slovenskej stránke v eurách ochranu webu s parametrami nastavenými podľa NIS2. Funguje s webom na akomkoľvek hostingu, prepojíte len DNS domény. Názvy tarifov sú podľa smernice, nie podľa slovenského zákona.

Tarif	Cena mesačne	Uchovanie logov	Obsahuje
NIS2 Standard Dôležité	199 € bez DPH244,77 € s DPH	6 mesiacovmenej ako 12 mesiacov z vyhlášky 227/2025	ochrana proti DDoS (L3, L4), WAF, anycast DNS, CDN, HTTPS, SLA 100 %, podpora 24/7, mesačné reporty	Na web WEDOS
NIS2 Standard Kľúčové	400 € bez DPH492 € s DPH	18 mesiacov	všetko z Dôležité, navyše blokovanie podľa krajín (GeoIP), pokročilé nastavenie cache, týždenné reporty a upozornenia na incidenty	Na web WEDOS

Ceny zo stránky wedos.eu/sk/web-protection/ a slovenského porovnania tarifov z 11. novembra 2026, platba ročne, pri mesačnej platbe o 10 % viac. Anglický cenník wedos.protection v ten istý deň uvádzal pri ročnej platbe 165 € a 340 € mesačne; stránky WEDOS sa teda líšia, platí cena v objednávke. DPH počítame slovenskou sadzbou 23 %, firma platiteľ DPH si ju odpočíta. Na odkazy na WEDOS máme partnerskú zmluvu, cenu pre vás nemení.

Firmám, na ktoré sa zákon nevzťahuje, stačí lacnejšia ochrana: WEDOS Protection má tarif Free zadarmo a NoLimit za 99 € ročne.

Časté otázky

Ktorý slovenský zákon zavádza NIS2?

Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení novely č. 366/2024 Z. z., ktorá smernicu NIS2 prevzala s účinnosťou od 1. januára 2025. Povinnosti ukladá tento zákon a vyhlášky Národného bezpečnostného úradu (NBÚ), nie priamo smernica.

Týka sa NIS2 malých firiem?

Väčšinou nie. Zákon sa vzťahuje na stredné a väčšie podniky v sektoroch z príloh č. 1 a 2. Bez ohľadu na veľkosť však zapisuje do registra napríklad operátorov verejných sietí, poskytovateľov dôveryhodných služieb, služby DNS, správcu TLD, registrátorov domén a jediného poskytovateľa kľúčovej služby na Slovensku (§ 17 ods. 1 písm. c a h).

Aký je rozdiel medzi PZS a PKZS?

Prevádzkovateľ základnej služby (PZS) je každý, kto je zapísaný v registri NBÚ. Prevádzkovateľ kritickej základnej služby (PKZS) je PZS, ktorý vykonáva aspoň jednu kritickú základnú službu podľa § 18, typicky veľký podnik v sektore z prílohy č. 1. PKZS má prísnejšie bezpečnostné opatrenia, povinný audit a vyššie pokuty.

Používa slovenský zákon pojmy kľúčový a dôležitý subjekt?

Nie. Tie sú zo smernice NIS2. Slovenský zákon rozlišuje prevádzkovateľa základnej služby a prevádzkovateľa kritickej základnej služby.

Stačí na splnenie zákona ochrana webu?

Nie. Ochrana proti DDoS, WAF a uchovávanie logov pokryjú časť technických opatrení. Zákon chce aj analýzu rizík, manažéra kybernetickej bezpečnosti, bezpečnostnú dokumentáciu, zmluvy s dodávateľmi, školenia, zálohy, hlásenie incidentov a audit.

Čo ak sme lehotu na oznámenie zmeškali?

Lehota je 60 dní odo dňa, keď ste činnosť začali vykonávať (§ 17 ods. 2). Neoznámenie je správny delikt s pokutou od 300 do 500 000 eur (§ 31 ods. 1 písm. a). Oznámenie podajte čo najskôr cez ústredný portál verejnej správy, postup je na stránke NBÚ o registrácii PZS.