V skratke:
- Každý PZS určí manažéra kybernetickej bezpečnosti, ktorý je nezávislý od prevádzky a vývoja IT a podáva informácie priamo štatutárnemu orgánu.
- Manažér potrebuje 3 až 7 rokov praxe v IT podľa stupňa vzdelania (príloha č. 5 vyhlášky 492/2022 Z. z.).
- Audit robí certifikovaný audítor do 2 rokov od zápisu. PZS, ktorý nie je PKZS, ho môže nahradiť samohodnotením, ktoré robí manažér.
Roly, ktoré zákon vyžaduje
| Rola | Čo robí | Požiadavky | Podľa |
|---|---|---|---|
| Manažér kybernetickej bezpečnosti | navrhuje, prijíma a presadzuje opatrenia, predkladá návrhy a informácie priamo štatutárnemu orgánu, robí samohodnotenie | nezávislý od prevádzky a vývoja IT; znalostný štandard z prílohy č. 5 vyhlášky 492/2022 Z. z. | § 20 ods. 4 písm. a, § 29 ods. 8; vyhl. 227/2025 položka 1 |
| Kontaktná osoba | prijíma a eviduje hlásenia | zákon osobitné požiadavky neuvádza | § 20 ods. 4 písm. e |
| Zodpovedná osoba | schvaľuje opatrenia a výsledky analýzy rizík, zodpovedá za dohľad, kontrolu, audit, zdroje a vzdelávanie | konkrétna osoba alebo osoby | § 20 ods. 4 písm. h; vyhl. 227/2025 § 5 ods. 7 |
| Štatutárny orgán | preukázateľne sa zaväzuje dodržiavať povinnosti, dostáva informácie o hrozbách, incidentoch a rizikách | absolvuje vzdelávanie ako ostatné roly | § 19 ods. 6 písm. h; vyhl. 227/2025 položky 10 a 66 |
| Audítor kybernetickej bezpečnosti | overuje plnenie povinností a zhodu opatrení so zákonom | certifikácia akreditovaným orgánom certifikujúcim osoby | § 29 ods. 3 |
Prax a vzdelanie manažéra
Príloha č. 5 vyhlášky 492/2022 Z. z. viaže potrebnú prax na stupeň vzdelania:
| Vzdelanie | Prax v IT celkom | Z toho v riadení IT služieb, bezpečnosti, rizík alebo architektúry IT |
|---|---|---|
| úplné stredné | najmenej 7 rokov | najmenej 5 rokov |
| vysokoškolské I. stupňa | najmenej 5 rokov | najmenej 3 roky |
| vysokoškolské II. a III. stupňa | najmenej 3 roky | najmenej 1 rok |
Medzinárodný certifikát sa započíta ako rok odbornej praxe. Vedomosti a zručnosti príloha rozdeľuje do piatich oblastí: riadenie bezpečnosti, riadenie hrozieb a rizík, aplikácia bezpečnostných opatrení, výkon operatívnych bezpečnostných činností a riadenie súladu. Znalostné štandardy možno podľa § 2 ods. 4 vyhlášky splniť aj kolektívne a názvy pracovných pozícií si určuje PZS sám.
Audit a samohodnotenie
| PZS | PKZS | |
|---|---|---|
| Prvé overenie | audit alebo samohodnotenie cez JISKB do 2 rokov od zápisu, audit najneskôr do 5 rokov | audit do 2 rokov od zápisu |
| Kto ho robí | samohodnotenie manažér KB, audit certifikovaný audítor | certifikovaný audítor |
| Ďalej | samohodnotenie každé dva roky, audit do konca 5. kalendárneho roka po predchádzajúcom | audit do konca 3. kalendárneho roka po predchádzajúcom |
| Pri významnej zmene | audit najneskôr do 6 mesiacov | |
| Záverečná správa | NBÚ do 30 dní od ukončenia auditu, s opatreniami na nápravu a lehotami | |
Podľa § 29 ods. 1, 5 a 8 zákona a prílohy č. 2 časti B vyhlášky 493/2022 Z. z. v znení od 1. 9. 2026. Náklady na audit znáša PZS (§ 29 ods. 7). Kto bol PZS už pred rokom 2025, môže do konca roka 2026 robiť audit podľa starších predpisov (§ 34b ods. 7).
Ako rolu obsadiť v menšej firme
Pri strednom podniku býva najťažšia podmienka nezávislosti: vedúci IT, ktorý zároveň spravuje servery, manažérom kybernetickej bezpečnosti byť nemá. Riešením je iný človek z vedenia s potrebnou praxou alebo externý manažér. Overte si u neho doloženú prax podľa tabuľky vyššie a dohodnite, ako bude priamo informovať štatutárny orgán. Na čom začne pracovať: analýza rizík, bezpečnostné opatrenia a postup pre hlásenie incidentov.
Technickú časť webu môžete zveriť dodávateľovi
Ochranu webu pred útokmi a ukladanie logov nemusia riešiť vlastní ľudia. Dodávateľ, ktorý má významný vplyv na bezpečnosť vašich systémov, však potrebuje zmluvu podľa § 19 ods. 2 zákona a manažér ho musí zahrnúť do analýzy rizík.