Bezpečnostné opatrenia podľa NIS2

Čo musí prevádzkovateľ základnej služby zaviesť podľa § 20 zákona č. 69/2018 Z. z. a vyhlášky NBÚ č. 227/2025 Z. z. a čím sa líšia povinnosti PZS a PKZS. Overené 11. novembra 2026.

V skratke:

Opatrenia prijmete do 12 mesiacov od zápisu do registra, na základe analýzy rizík a schválenej bezpečnostnej dokumentácie.
Vyhláška 227/2025 Z. z. má 151 položiek v 18 oblastiach a pri každej uvádza, či platí pre PZS, PKZS, IT a operačné technológie.
Pre web sú najdôležitejšie logy najmenej 12 mesiacov, viacfaktorové overovanie pri vzdialenom prístupe, testované zálohy a zmluva s hostingom podľa § 19 ods. 2.

Minimum, ktoré platí vždy

Podľa § 20 ods. 4 zákona musia opatrenia zahŕňať najmenej:

manažéra kybernetickej bezpečnosti, nezávislého od prevádzky a vývoja IT, so znalostným štandardom (viac na stránke Manažér kybernetickej bezpečnosti),
detekciu, evidenciu a postupy riešenia kybernetických incidentov,
kontaktnú osobu na prijímanie a evidenciu hlásení a pripojenie do komunikačného systému NBÚ,
rozdelenie úloh, rolí a zodpovedností a vzdelávanie pre všetky roly,
osobu zodpovednú za schvaľovanie opatrení, dohľad, kontrolu, audit a dostatok zdrojov,
vzdelávanie a budovanie bezpečnostného povedomia.

18 oblastí opatrení

Opatrenia sa prijímajú aspoň pre tieto oblasti (§ 20 ods. 2 zákona), ich rozsah určuje príloha č. 1 vyhlášky 227/2025 Z. z.:

organizácia a riadenie informačnej a kybernetickej bezpečnosti,
správa zraniteľností a kybernetických hrozieb,
správa aktív a riadenie hrozieb a rizík (analýza rizík),
riadenie udalostí a incidentov,
kontinuita činností, zálohovanie, obnova po havárii a krízové riadenie,
bezpečnosť pri nadobúdaní, vývoji a údržbe sietí, systémov a aplikácií,
posudzovanie účinnosti, riadenie súladu a kontrola,
kryptografia,
bezpečnosť a spôsobilosti ľudských zdrojov,
správa identít a prístupov,
bezpečnosť pri prevádzke sietí a systémov,
ochrana proti škodlivému kódu a nežiaducemu obsahu,
systémová, sieťová a komunikačná bezpečnosť,
monitorovanie, zaznamenávanie a hlásenie udalostí,
fyzická bezpečnosť, bezpečnosť prostredia a správa koncových zariadení,
ochrana záznamov, súkromia a označovanie informácií,
dodávateľský reťazec,
obstarávanie a využívanie certifikovaných produktov, služieb a procesov IKT.

Vybrané opatrenia: PZS a PKZS

Výber položiek z prílohy č. 1 vyhlášky 227/2025 Z. z. pre informačné a komunikačné technológie. Pre operačné technológie (riadenie výroby, SCADA) platí ďalší stĺpec s vlastnými položkami.

Položka	Opatrenie	PZS	PKZS
73	Viacfaktorové overovanie pri vzdialenom prístupe	áno	áno
116	Prevádzkové a bezpečnostné logy uchovávané najmenej 12 mesiacov a chránené pred zmenou	áno	áno
14	Posudzovanie zraniteľností najmenej raz ročne	áno	nahrádza položka 15
15	Posudzovanie zraniteľností najmenej raz za 6 mesiacov	nie	áno
17	Kontakt na nahlasovanie zraniteľností zverejnený na webe	nie	áno
28	Zálohy dát, softvéru a konfigurácií testované aspoň raz ročne, so záznamom	áno	áno
31	Zálohy v logicky, fyzicky a geograficky oddelených priestoroch	áno	nahrádza položka 32
32	Tri kópie dát na dvoch typoch médií, jedna oddelene (3-2-1)	nie	áno
20	Plánovanie a test riešenia incidentov aspoň raz za kalendárny rok	áno	áno
39	Odinštalované alebo zakázané nepotrebné služby na serveroch	nie	áno
43	Kontrola a aktualizácia konfigurácie aspoň raz ročne	áno	áno
80	Kontrola prístupových účtov a oprávnení aspoň raz ročne	áno	áno
81	Riadenie prístupov na základe rolí a najnižších oprávnení	nie	áno
99	Pravidelné aktualizácie sietí a systémov	áno	áno
109	Systémy prístupné z internetu v samostatnom sieťovom segmente	áno	áno
119	Automatizované monitorovanie nezvyčajného správania	nie	áno
127	Kamerový záznam vstupov do zabezpečených priestorov	nie	áno
146	Zmluva podľa § 19 ods. 2 s každou treťou stranou s významným vplyvom	áno	áno
150	Preskúmanie dodávateľov najmenej raz za dva roky	áno	áno
151	Minimálne bezpečnostné požiadavky na cloudové služby	áno	áno

Úplný zoznam: príloha č. 1 vyhlášky 227/2025 Z. z. (PDF). „Nie“ znamená, že položka nie je pre PZS povinná, môžete ju zaviesť dobrovoľne.

Bezpečnostná dokumentácia

Opatrenia musia zodpovedať schválenej, aktuálnej dokumentácii (§ 20 ods. 3 zákona). Podľa § 4 vyhlášky obsahuje:

stratégiu kybernetickej bezpečnosti s cieľmi a zodpovednosťami,
bezpečnostné politiky pre jednotlivé oblasti,
klasifikáciu informácií podľa dôvernosti, integrity a dostupnosti (príloha č. 2 vyhlášky),
zaradenie sietí a systémov do kategórií,
analýzu rizík so zoznamom aktív a akceptovanými a zvyškovými rizikami,
zoznam prijatých a neprijatých opatrení so zdôvodnením a schémy infraštruktúry, aplikácií a bezpečnostnej architektúry,
poslednú záverečnú správu z auditu.

Neaktuálna dokumentácia je správny delikt s pokutou do 500 000 eur (§ 31 ods. 1 písm. e), chýbajúca až do 7 mil. eur, pri PKZS do 10 mil. eur (§ 31 ods. 2 a 3).

Dodávatelia a zmluva podľa § 19 ods. 2

Ak pre vás tretia strana vykonáva činnosť, ktorá priamo súvisí s dostupnosťou, dôvernosťou a integritou vašich sietí a systémov, musíte s ňou mať zmluvu o plnení bezpečnostných opatrení a notifikačných povinností. Podľa § 7 ods. 2 vyhlášky zmluva obsahuje najmä:

záväzok dodávateľa dodržiavať vaše bezpečnostné politiky a jeho súhlas s nimi,
rozsah a spôsob vašich kontrol a auditu u dodávateľa,
povinnosť dodávateľa informovať vás o incidentoch a pomôcť pri ich riešení.

Zmluvu netreba, ak je dodávateľ sám PZS alebo je riziko nízke (§ 19 ods. 3). Pri PKZS môže zmluvného dodávateľa kontrolovať aj NBÚ. Vzor náležitostí zmluvy je na stránke NBÚ o bezpečnostných opatreniach.

Čo z toho pokryje ochrana webu

Služba ochrany webu pred útokmi pokryje časť technických položiek pri webe: filtrovanie škodlivej prevádzky (položky 98 a 100), dostupnosť pri DDoS útoku (položky 27 a 29) a logy. WEDOS NIS2 Standard Kľúčové drží logy 18 mesiacov, tarif Dôležité 6 mesiacov, čo je menej ako 12 mesiacov z položky 116. Organizačné opatrenia, dokumentáciu, školenia ani analýzu rizík za vás žiadna služba neurobí. Aj s poskytovateľom ochrany webu potrebujete zmluvu podľa § 19 ods. 2, ak má významný vplyv na bezpečnosť vašich systémov.

Časté otázky

Do kedy treba opatrenia zaviesť?

Do 12 mesiacov odo dňa zápisu do registra prevádzkovateľov základnej služby (§ 19 ods. 1 zákona 69/2018 Z. z.). Kto bol PZS už pred rokom 2025, môže do 31. decembra 2026 plniť aj opatrenia podľa starších predpisov (§ 34b ods. 5).

Ktorý predpis určuje rozsah opatrení?

Vyhláška NBÚ č. 227/2025 Z. z. o bezpečnostných opatreniach, účinná od 1. septembra 2025. Nahradila vyhlášku 362/2018 Z. z. V prílohe č. 1 má 151 položiek a pri každej stĺpce, či platí pre PZS a PKZS, oddelene pre IT a pre operačné technológie.

Musím zaviesť všetkých 151 položiek?

Nie automaticky. Rozsah sa určuje na základe analýzy rizík (§ 3 ods. 2 vyhlášky) a v bezpečnostnej dokumentácii musíte zdôvodniť, prečo ste niektoré opatrenie neprijali (§ 4 ods. 1 písm. f a § 5 ods. 1 písm. e). Minimálne opatrenia z § 20 ods. 4 zákona sú povinné vždy.

Musí mať hosting webu zmluvu podľa § 19 ods. 2?

Ak dodávateľ vykonáva činnosť, ktorá priamo súvisí s dostupnosťou, dôvernosťou a integritou vašich systémov, áno, okrem prípadu, keď je sám PZS alebo je riziko nízke (§ 19 ods. 3). Pred uzavretím zmluvy robíte analýzu rizík. Náležitosti zmluvy sú v § 7 ods. 2 vyhlášky, NBÚ zverejnil vzor.

Platí pre web aj požiadavka na logy 12 mesiacov?

Položka 116 hovorí o relevantných prevádzkových a bezpečnostných logoch sietí a informačných systémov, teda aj webu, ak patrí medzi aktíva základnej služby. Ktoré logy sú relevantné, určíte v analýze rizík a bezpečnostnej dokumentácii.