NIS2 SMERNICA

Čo nová smernica NIS2
znamená pre firmy, samosprávy a štátne organizácie

Od októbra 2024 sa sprisňuje regulácia pre
firmy, samosprávy a Štátne organizácie.
Pomôžeme vám s plynulým prechodom.
PONÚKAME ÚVODNÝ AUDIT

Čo nová európska smernica znamená pre firmy, samosprávy a štátne organizácie

Od októbra 2024 nadobudne účinnosť nová smernica Európskej únie NIS2 (Directive (EU) 2022/2555), ktorá predstavuje historicky najväčší posun v oblasti regulácie kybernetickej bezpečnosti od zavedenia pôvodnej smernice NIS v roku 2016. Dôvodom je čoraz na zvyšovanie odolnosti digitálnej infraštruktúry účastníkov hospodárskeho aj verejného sektora. Cieľom NIS2 je harmonizovať pravidlá ochrany informačných systémov v členských štátoch EÚ, zaviesť lepšie riadenie rizík, podporiť spoluprácu medzi štátmi a zabezpečiť efektívne riešenie incidentov.

NIS2 firmy a organizacie

Koho sa nová regulácia NIS2 týka?

Kľúčovým aspektom novej smernice je rozšírenie rozsahu subjektov, ktoré budú regulované. Zatiaľ čo pôvodná smernica sa zameriavala primárne na tzv. prevádzkovateľov základných služieb (napr. energetika, doprava, zdravotníctvo), NIS2 zavádza kategórie "základné subjekty" a "významné subjekty".

Do regulácie sa tak dostanú aj stredne veľké firmy, poskytovatelia IT služieb, školy, obce, úrady a mnohé organizácie verejnej správy. Podmienkou zaradenia do rozsahu regulácie je zvyčajne viac ako 50 zamestnancov alebo obrat nad 10 mil. EUR, ale v strategických sektoroch ako vzdelávanie, vodárenstvo či digitálna infraštruktúra to môže platiť aj pre menšie subjekty.

Implementácia na Slovensku a nové povinnosti

Na Slovensku bude implementácia NIS2 prebiehať prostredníctvom novely zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti, ktorý definuje povinnosti prevádzkovateľov. Tento zákon je v gescii Národného bezpečnostného úradu (NBÚ) a jeho novela prinesie povinnosť systematického riadenia rizík, implementáciu technických a organizačných opatrení a pravidelné auditovanie bezpečnostných mechanizmov. Subjekty budú musieť vypracovať bezpečnostnú politiku, procesy správy incidentov, pravidlá prístupu k informáciám a viesť preukázateľnú dokumentáciu o plnení týchto opatrení

Dôraz sa kladie aj na zodpovednosť štatutárov. V prípade neplnenia povinností môže byť za následky incidentov postihnutý nielen subjekt ako taký, ale aj štatutárne orgány osobne. Pokuty môžu dosiahnuť až 10 mil. EUR alebo 2 % z celkového celosvetového obratu. Ide teda o posun, ktorý z kybernetickej bezpečnosti robí nielen technickú, ale predovšetkým manažérsku tému.

NIS2 - smernica a legislativa

Výzvy pre samosprávy a verejný sektor

Pre samosprávy a zriaďovateľov to znamená potrebu alokovať rozpočet na kybernetickú ochranu a preukázať, že ich školy, domovy sociálnych služieb či obecné úrady spĺňajú minimálne požiadavky stanovené NBÚ.

Tie sú v súlade so štandardami ako ISO/IEC 27001:2022 čiže v oblasti analýzy rizík, zabezpečenia aktív, klasifikácie informácií alebo školení zamestnancov. Vhodným nástrojom je napríklad aj ISMS (systém riadenia informačnej bezpečnosti).

Ako začať s prípravou?

Pre mnohé organizácie bude výzvou nielen samotná technická implementácia opatrení, ale aj kapacitné zabezpečenie. Potrebné bude zabezpečiť uloženie a šifrovanie záloh, kontrolu prístupov k účtom, monitoring siete, detekciu incidentov a pravidelné testovanie zraniteľností. Organizácie by mali určiť bezpečnostného manažéra, vytvoriť interných koordinátorov a nadviazať spoluprácu s dodávateľom IT služieb, ktorý rozumie požiadavkám NIS2. Na trhu sa taktiež objavujú tzv. MSSP (Managed Security Service Providers), ktorí poskytujú profesionálne riešenia na mieru.

Na záver treba zdôrazniť, že ide o zmenu, ktorá sa netýka len IT oddelení. Kybernetická bezpečnosť sa stáva integrálnou súčasťou riadenia organizácie. Riadiace orgány, ekonómovia, správcovia, ale aj vedúcich zamestnancov čaká obdobie intenzívnej adaptácie. Kto sa pripraví včas, bude mať konkurenčnú výhodu nielen v oblasti odolnosti, ale aj pri prístupe k fondom, projektom a verejným obstávaniam.

Zdroje:
Smernica (EÚ) 2022/2555 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti
Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti
ISO/IEC 27001:2022 Systém manažérstva informačnej bezpečnosti
www.nbu.gov.sk

NIS2 smernica pre podnikatelov

NIS2 v praxi: Čo čaká samosprávy a menšie firmy?

Od októbra 2024 vstupuje do platnosti európska smernica NIS2, ktorá zásadne mení prístup k riadeniu kybernetickej bezpečnosti. Po novom sa netýka len veľkých hráčov v kritickej infraštruktúre, ale aj menších samospráv, škôl, nemocníc, mestských podnikov a IT firiem. Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti bude upravený tak, aby plne reflektoval požiadavky NIS2. Firmy, ktoré nebudú reagovať, môžu čeliť pokutám až do výšky 10 miliónov eur alebo 2 % z obratu.

Smernica
NIS2

Účinnosť

od 18. októbra 2024.

Smernica (EÚ)

2022/2555 (NIS2)

Zákon

č. 69/2018 Z. z. o kybernetickej bezpečnosti

Kľúčové fakty o NIS2

Účinnosť smernice: od 18. októbra 2024
Rozšírený okruh subjektov: všetky stredné a väčšie podniky v 18 odvetviach + verejné inštitúcie
Zodpovednosť za bezpečnosť: nesie vedenie organizácie (starosta, konateľ, štatutár)
Zavádzajú sa nové povinnosti: dokumentácia, hlásenie incidentov, školenia, bezpečnostné politiky
Implementácia v SR: novelizovaný zákon č. 69/2018 Z. z. (tzv. lex NIS2)