V skratke:
- Činnosť oznámite NBÚ do 60 dní od jej začatia, formulárom cez ústredný portál verejnej správy. NBÚ vás zapíše do registra, rozhodnutie sa nevydáva.
- Povinnosti vznikajú dňom z oznámenia o zápise, najskôr 30. deň po zápise. Na bezpečnostné opatrenia máte 12 mesiacov.
- Závažný incident: včasné varovanie do 24 hodín, oznámenie do 72 hodín, záverečná správa do mesiaca. Všetko cez JISKB.
Registrácia krok za krokom
| Krok | Lehota | Podľa zákona |
|---|---|---|
| Oznámenie činnosti NBÚ (názov, sídlo, kontakty, verejné IP adresy, štáty EÚ, kde pôsobíte) | do 60 dní od začatia činnosti | § 17 ods. 2 |
| Oznámenie, že prevádzkujete kritickú základnú službu | zákon lehotu neuvádza | § 18 ods. 2 |
| Zápis do registra PZS a oznámenie cez JISKB a do elektronickej schránky | vykoná NBÚ, osobitné rozhodnutie sa nevydáva | § 17 ods. 3 a 4 |
| Vznik práv a povinností PZS | dňom z oznámenia o zápise, najskôr 30. deň po zápise | § 17 ods. 5 |
| Hlásenie zmien zapísaných údajov | do 14 dní (§ 17 ods. 6), resp. 30 dní (§ 19 ods. 7 a stránka NBÚ) | § 17 ods. 6, § 19 ods. 7 |
| Bezpečnostné opatrenia | do 12 mesiacov od zápisu | § 19 ods. 1 |
| Audit alebo samohodnotenie | do 2 rokov od zápisu | § 29 ods. 1 |
Na podanie potrebujete aktívnu elektronickú schránku, zoznam sektorov a podsektorov, v ktorých pôsobíte, a kontakt na osobu pre komunikáciu s NBÚ. Formulár oznámenia aj formulár zmien sú na stránke Registrácia prevádzkovateľa základnej služby. Či sa vás povinnosť týka, orientačne zistí naša NIS2 kalkulačka.
V registri NBÚ bolo k 9. novembra 2026 zapísaných 2 653 prevádzkovateľov základnej služby. Register je verejný a dá sa v ňom vyhľadávať podľa názvu alebo IČO.
Hlásenie závažného incidentu
PZS hlási každý závažný kybernetický bezpečnostný incident (§ 24 ods. 1) cez JISKB v týchto krokoch (§ 24 ods. 3):
| Čo | Kedy | Obsah |
|---|---|---|
| Včasné varovanie | do 24 hodín od zistenia | kto hlási, čas zistenia, opis incidentu a jeho následkov, či mohol vzniknúť protiprávnym konaním a či môže mať cezhraničný vplyv |
| Oznámenie o závažnom incidente | do 72 hodín od zisteniadôveryhodné služby do 24 hodín | doplnené informácie, prvotné posúdenie závažnosti a následkov, stav riešenia a vykonané opatrenia |
| Priebežné informácie | na žiadosť jednotky CSIRT | aktualizované alebo vyžiadané informácie o priebehu |
| Záverečná správa | najneskôr mesiac po oznámení | podrobný opis, druh hrozby alebo hlavná príčina, prijaté opatrenia, cezhraničný vplyv |
| Aktualizovaná záverečná správa | do 30 dní od vyriešenia, ak incident ešte trvá | rovnaký rozsah ako záverečná správa |
Obsah hlásení podľa prílohy č. 2 vyhlášky 226/2025 Z. z. Ak sa na vás vzťahuje nariadenie DORA (EÚ) 2022/2554, hlásite závažné incidenty podľa neho (§ 24 ods. 8).
Kedy je incident závažný
Podľa prílohy č. 1 vyhlášky 226/2025 Z. z. ide o závažné narušenie fungovania PZS najmä vtedy, keď nastane:
| Situácia | PZS | PKZS |
|---|---|---|
| Úplný výpadok alebo nedostupnosť činnosti | viac ako 60 minút | viac ako 30 minút |
| Narušenie alebo obmedzenie činnosti | viac ako 180 minút | viac ako 60 minút |
Pre všetkých ďalej platí: ohrozenie údajov chránených osobitným predpisom (napríklad obchodné tajomstvo, zdravotné údaje), dopad na viac ako 25 000 osôb, hospodárska strata nad 0,1 % HDP, škoda jednému používateľovi nad 250 000 eur, záchranné práce, viac ako 100 zranených alebo úmrtie, a zjavne neoprávnený prístup do systému, ktorý by mohol takéto následky spôsobiť.
Okrem incidentov PZS hlási aj významnú kybernetickú hrozbu, udalosť odvrátenú v poslednej chvíli a zraniteľnosť verejne dostupných systémov, ktorú nevedel v primeranom čase odstrániť (§ 24 ods. 5).
Čo mať pripravené
- Prístup do JISKB pre dvoch ľudí, aby hlásenie nestálo na jednom človeku.
- Kontaktnú osobu na prijímanie a evidenciu hlásení a pripojenie do komunikačného systému NBÚ, ktoré sú povinnou súčasťou opatrení (§ 20 ods. 4 písm. e a f).
- Kontakty na dodávateľov (hosting, správa siete, ochrana webu) s pohotovosťou 24/7.
- Logy: kto sa kedy prihlásil, odkiaľ prišiel útok, čo sa zmenilo. Vyhláška 227/2025 Z. z. chce relevantné logy uchovávať najmenej 12 mesiacov (príloha č. 1, položka 116).
- Postup na zabezpečenie dôkazov pre trestné konanie (§ 19 ods. 6 písm. d).
- Pravidlá, podľa ktorých rozhodnete, či je výpadok závažný (tabuľka vyššie). V noci počas výpadku sa 24 hodín ľahko zmešká.
Kde pomôže služba ochrany webu
Pri útoku na web dodá ochrana typu WEDOS NIS2 Standard podklady k hláseniu: logy prístupov a útokov a reporty, pri tarife Kľúčové aj upozornenia na incidenty. DDoS útok zároveň odfiltruje, takže výpadok nemusí prekročiť hranice z tabuľky. Samotné hlásenie, posúdenie a postupy za vás neurobí.