NIS 2: Slovensko, § 20 zákona č. 69/2018 Z. z.

Koho sa to týka?

Predchádzajúca úprava: zákon č. 69/2018 Z. z. v znení účinnom do 31. decembra 2024, ktorý zákon č. 366/2024 Z. z. zmenil, ale nenahradil; prevádzkovateľ zapísaný v registri pred rokom 2025 môže do 31. decembra 2026 prijímať a realizovať bezpečnostné opatrenia podľa predpisov účinných do 31. decembra 2024 (§ 34b ods. 5). Podmienky veľkosti pre stredný podnik sú podmienky odporúčania Komisie 2003/361/ES (poznámka pod čiarou k odkazu 23c), takže Slovensko nemá vlastný test veľkosti. Zoznam sektorov v prílohách č. 1 a č. 2 táto stránka neuvádza.

Časté otázky

Platí NIS 2 na Slovensku?

Áno, od 1. januára 2025. Slovensko prebralo smernicu (EÚ) 2022/2555 zmenou zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti: zákon č. 366/2024 Z. z. bol vyhlásený 19. decembra 2024 a účinnosť nadobudol 1. januára 2025 (čl. VII). Pôvodný zákon tým nebol nahradený, a preto ostali aj jeho pojmy: povinnou osobou je prevádzkovateľ základnej služby, nie kľúčový alebo dôležitý subjekt. Odvtedy sa zákon č. 69/2018 Z. z. zmenil ešte zákonmi č. 318/2025 Z. z. a č. 67/2026 Z. z. Konanie o porušení povinnosti INFR(2024)0300 Európska komisia uzavrela 8. októbra 2025 bez odôvodneného stanoviska.

Kedy sa organizácia stane prevádzkovateľom základnej služby?

Zápisom do registra, nie oznámením: prevádzkovateľom základnej služby je ten, kto je zapísaný v registri prevádzkovateľov základnej služby (§ 3 ods. 2). Ten, kto vykonáva činnosť podľa § 17 ods. 1, je povinný do 60 dní odo dňa, kedy činnosť začne vykonávať, oznámiť to NBÚ (§ 17 ods. 2). NBÚ ho zapíše do registra po konzultácii s ústredným orgánom, z vlastnej iniciatívy alebo na základe odôvodnenej žiadosti, alebo na návrh ústredného orgánu (§ 17 ods. 3). Zápis mu oznámi prostredníctvom jednotného informačného systému kybernetickej bezpečnosti a doručí do elektronickej schránky; osobitné rozhodnutie sa nevydáva (§ 17 ods. 4). Práva a povinnosti vznikajú dňom uvedeným v oznámení o zápise, najskôr však tridsiaty deň nasledujúci po dni zápisu (§ 17 ods. 5). Zákon neuvádza dátum oznámenia pre toho, kto činnosť vykonával už 1. januára 2025, a neuvádza ho ani oznam NBÚ z 20. februára 2025.

Čo uviesť v oznámení NBÚ a dokedy hlásiť zmeny údajov?

Oznámenie uvádza názov, sídlo a kontaktné údaje vrátane elektronických adries, verejných IP adries a telefónnych čísel, členské štáty, v ktorých činnosť vykonávate, a zástupcu (§ 17 ods. 2). Ak vykonávate kritickú základnú službu, oznámite NBÚ aj túto skutočnosť (§ 18 ods. 2). Spôsob podania táto stránka neuvádza. Pri zmene zapísaných údajov dáva zákon dve lehoty: každú zmenu zapísaných skutočností, ktorá nie je referenčným údajom, treba oznámiť najneskôr do 14 dní (§ 17 ods. 6), kým § 19 ods. 7 hovorí o 30 dňoch. Bezpečnejšia je kratšia lehota; ako ich uplatňuje NBÚ, podklady Reglyze neuvádzajú. Prevádzkovateľ kritickej základnej služby hlási aj uzatvorenie a ukončenie zmluvy s treťou stranou, ktorá má významný vplyv pri zabezpečovaní kybernetickej bezpečnosti (§ 19 ods. 7).

Kde a v akých lehotách hlásime závažný kybernetický bezpečnostný incident?

Prostredníctvom jednotného informačného systému kybernetickej bezpečnosti, ktorý spravuje a prevádzkuje NBÚ (§ 24 ods. 3 a § 5 ods. 1 písm. j)). Národné centrum kybernetickej bezpečnosti NBÚ má postavenie národnej jednotky CSIRT okrem sektorov a podsektorov, pre ktoré plní úlohy jednotky CSIRT ústredný orgán (§ 6 ods. 1). Včasné varovanie sa hlási najneskôr do 24 hodín a oznámenie o závažnom kybernetickom bezpečnostnom incidente najneskôr do 72 hodín od jeho zistenia, a ak ide o poskytovateľa dôveryhodných služieb, najneskôr do 24 hodín; záverečná správa najneskôr jeden mesiac po nahlásení oznámenia (§ 24 ods. 3 písm. a), b) a d)). Zistenie je slovo, ktorým slovenské znenie smernice označuje chvíľu, keď sa o incidente dozviete; nie je to čas detekcie, ktorý je len údajom v hlásení. Systémom je JISKB, ktorý sa otvára prihlasovacou stránkou (odkaz je medzi oficiálnymi zdrojmi nižšie). Stránka SK-CERT, Národného centra kybernetickej bezpečnosti NBÚ, uvádza jeho adresu pre toho, kto má pridelený prístup, napríklad pre prevádzkovateľa základnej služby, a dodáva, že „len nahlásenie incidentu prostredníctvom JISKB je možné považovať za splnenie zákonnej povinnosti hlásenia závažného kybernetického bezpečnostného incidentu povinným subjektom“. Prevádzkovateľ základnej služby, na ktorého sa vzťahuje nariadenie (EÚ) 2022/2554, hlási prostredníctvom príslušného orgánu podľa tohto nariadenia (§ 24 ods. 8).

Kedy je kybernetický bezpečnostný incident závažný?

Za závažný kybernetický bezpečnostný incident sa považuje rozsiahly kybernetický bezpečnostný incident a kybernetický bezpečnostný incident, ktorý spôsobil alebo môže spôsobiť závažné narušenie fungovania prevádzkovateľa základnej služby, alebo škodu, inú ujmu na majetku alebo ušlý zisk vo veľkom rozsahu, alebo zasiahol alebo môže zasiahnuť iné osoby tým, že im spôsobí škodu, inú ujmu alebo ušlý zisk v značnom rozsahu (§ 24 ods. 2). Rozsah škody zákon určuje odkazom na § 125 ods. 1 Trestného zákona. Závažné narušenie fungovania vymedzuje príloha č. 1 k vyhláške NBÚ č. 226/2025 Z. z., účinnej od 1. septembra 2025, a stačí jedno z ôsmich kritérií: úplný výpadok alebo nedostupnosť činnosti prevádzkovateľa kritickej základnej služby na viac ako 30 minút alebo prevádzkovateľa základnej služby na viac ako 60 minút; narušenie alebo obmedzenie činnosti prevádzkovateľa kritickej základnej služby na viac ako 60 minút alebo prevádzkovateľa základnej služby na viac ako 180 minút; ohrozenie dostupnosti, pravosti, integrity alebo dôvernosti údajov chránených podľa osobitného predpisu; ohrozenie dostupnosti, pravosti, integrity alebo dôvernosti uchovávaných, prenášaných alebo spracúvaných údajov alebo súvisiacich služieb poskytovaných alebo prístupných prostredníctvom sietí a informačných systémov, ktoré postihuje viac ako 25 000 osôb; spôsobenie hospodárskej straty vyššej ako 0,1 % hrubého domáceho produktu podľa údajov z bezprostredne predchádzajúceho rozpočtového roka; spôsobenie hospodárskej straty alebo hmotnej škody najmenej jednému užívateľovi viac ako 250 000 eur; vykonanie záchranných prác alebo výkon činností a opatrení súvisiacich s poskytovaním pomoci v tiesni alebo spôsobenie viac ako 100 zranených osôb vyžadujúcich lekárske ošetrenie alebo úmrtie aspoň jednej osoby; a udalosť, pri ktorej došlo k zjavne neoprávnenému prístupu do siete alebo informačného systému alebo došlo k znefunkčneniu siete alebo informačného systému a ktorá by mohla spôsobiť následky uvedené v prvom až siedmom bode, udalosť, ktorá môže významne narušiť alebo ktorá narúša fungovanie iného prevádzkovateľa kritickej základnej služby, alebo udalosť, ktorá je významným incidentom podľa článku 3 vykonávacieho nariadenia Komisie (EÚ) 2024/2690 alebo incidentom podľa zákona č. 367/2024 Z. z. o kritickej infraštruktúre.

Čo musíme hlásiť okrem závažných incidentov?

Prostredníctvom toho istého systému hlásite aj významnú kybernetickú hrozbu, o ktorej sa dozviete, udalosť odvrátenú v poslednej chvíli, ktorá mohla spôsobiť závažný kybernetický bezpečnostný incident, a zraniteľnosť vami prevádzkovaných verejne dostupných sietí a informačných systémov, ktorá môže byť zneužitá na spôsobenie závažného kybernetického bezpečnostného incidentu a na ktorej odstránenie alebo zníženie rizika ste nemohli v primeranom čase prijať opatrenia (§ 24 ods. 5). Je to povinnosť, nie dobrovoľné hlásenie podľa § 24 ods. 6, a povinnosť hlásiť závažný incident tým nie je dotknutá (§ 24 ods. 7). Náležitosti týchto hlásení ustanovuje príloha č. 3 k vyhláške NBÚ č. 226/2025 Z. z.

Aké bezpečnostné opatrenia musíme prijať a dokedy?

Do 12 mesiacov odo dňa zápisu do registra prevádzkovateľov základnej služby, najmenej v rozsahu podľa § 20 (§ 19 ods. 1), teda aspoň pre osemnásť oblastí (§ 20 ods. 2) a na základe schválenej bezpečnostnej dokumentácie, ktorá musí byť aktuálna a musí zodpovedať reálnemu stavu (§ 20 ods. 3). Bezpečnostné opatrenia musia zahŕňať najmenej určenie manažéra kybernetickej bezpečnosti, ktorý je pri návrhu, prijímaní a presadzovaní bezpečnostných opatrení nezávislý od štruktúry riadenia prevádzky a vývoja služieb informačných technológií a ktorý spĺňa znalostné štandardy pre výkon roly manažéra kybernetickej bezpečnosti (§ 20 ods. 4 písm. a)). Súčasťou analýzy rizík je aj analýza politického rizika tretej strany (§ 20 ods. 5). Ak sú ustanovené sektorové bezpečnostné opatrenia, plníte aj tie (§ 19 ods. 1). Prevádzkovateľ zapísaný v registri pred rokom 2025 môže do 31. decembra 2026 prijímať a realizovať bezpečnostné opatrenia podľa predpisov účinných do 31. decembra 2024 (§ 34b ods. 5).

Kedy musíme absolvovať audit kybernetickej bezpečnosti?

Do dvoch rokov odo dňa zaradenia do registra prevádzkovateľov základnej služby (§ 29 ods. 1) a potom po každej zmene majúcej významný vplyv na realizované bezpečnostné opatrenia a v určenom časovom intervale (§ 29 ods. 2). Audit vykonáva certifikovaný audítor kybernetickej bezpečnosti (§ 29 ods. 3) a náklady znáša prevádzkovateľ základnej služby (§ 29 ods. 7). Záverečnú správu o výsledkoch auditu treba predložiť NBÚ spolu s opatreniami na nápravu a s lehotami na ich odstránenie do 30 dní od ukončenia auditu (§ 29 ods. 5). Prevádzkovateľ, ktorý nie je prevádzkovateľom kritickej základnej služby, môže povinnosť splniť samohodnotením prostredníctvom jednotného informačného systému kybernetickej bezpečnosti, ktoré vykonáva manažér kybernetickej bezpečnosti, a auditu sa musí podrobiť do piatich rokov odo dňa zaradenia do registra (§ 29 ods. 8). Periodicitu ustanovuje vyhláška NBÚ (§ 32 ods. 1 písm. d)), a táto stránka ju neuvádza: podľa správy NBÚ z 27. augusta 2026 novelizuje vyhláška č. 212/2026 Z. z. s účinnosťou od 1. septembra 2026 vyhlášku č. 493/2022 Z. z. o audite kybernetickej bezpečnosti a Reglyze ich obsah zatiaľ nepreberá.

Čo zákon vyžaduje od štatutárneho orgánu?

Zákon neukladá členom štatutárneho orgánu povinnosť absolvovať odbornú prípravu ani štatutárnemu orgánu ako takému povinnosť schvaľovať bezpečnostné opatrenia, hoci to článok 20 smernice NIS 2 od riadiacich orgánov vyžaduje. Bezpečnostné opatrenia musia zahŕňať zabezpečenie primeraného vzdelávania a preškoľovania pre všetky zavedené roly a určenie konkrétnej osoby alebo konkrétnych osôb zodpovedných za schvaľovanie bezpečnostných opatrení, dohľad, kontrolu a audit, zabezpečenie primeranosti zdrojov a za vzdelávanie (§ 20 ods. 4 písm. g) a h)). Prevádzkovateľ základnej služby je povinný vytvoriť a zaviesť účinný mechanizmus včasného informovania štatutárneho orgánu a zodpovedných vedúcich zamestnancov o kybernetických hrozbách, zraniteľnostiach, kybernetických bezpečnostných incidentoch, udalostiach odvrátených v poslednej chvíli, možných dopadoch kybernetických bezpečnostných incidentov, výsledkoch analýzy rizík a stave implementácie ošetrenia rizík (§ 19 ods. 6 písm. h)) a oznamuje NBÚ menovanie alebo zmenu štatutárneho orgánu (§ 19 ods. 6 písm. i)). Ak prevádzkovateľ, ktorý prevádzkuje kritickú základnú službu, nesplní povinnosť vykonať audit alebo prijať opatrenia na nápravu, ktorú mu uložil NBÚ, ani v dodatočnej lehote, môže NBÚ štatutárnemu orgánu alebo jeho členovi zakázať vykonávať funkciu, a to až do doby splnenia týchto povinností; to neplatí, ak je prevádzkovateľ orgánom verejnej moci (§ 29j ods. 4).

Kto dohliada na plnenie povinností?

NBÚ. Dohľad vykonáva vybavovaním sťažností, kontrolou, ukladaním opatrení na nápravu, schvaľovaním dohody o náprave a prejednávaním správnych deliktov (§ 29a ods. 1). Audit kybernetickej bezpečnosti môže vykonať aj sám alebo oň požiadať certifikovaného audítora, na svoje náklady (§ 29 ods. 6 a 7). Ak zistí nedostatky, môže prevádzkovateľovi uložiť povinnosť vykonať audit kybernetickej bezpečnosti a odporúčania podľa jeho výsledkov v určenej lehote, prijať opatrenia na nápravu alebo informovať dotknuté osoby alebo verejnosť a za podmienok podľa zákona mu môže aj zakázať poskytovať službu (§ 29j ods. 1).

Patrí do pôsobnosti zákona malá IT firma?

Závisí to od toho, čo poskytuje. Bez ohľadu na splnenie podmienok veľkosti pre stredný podnik sa do registra zapisuje najmä správca TLD, poskytovateľ služby DNS, poskytovateľ dôveryhodnej služby a podnik poskytujúci verejnú elektronickú komunikačnú sieť alebo službu (§ 17 ods. 1 písm. c)), a tiež osoba, ktorá poskytuje službu registrácie názvu domény (§ 17 ods. 1 písm. h)). Inak je podmienkou, aby osoba spĺňala najmenej podmienky veľkosti pre stredný podnik a vykonávala činnosť v niektorom zo sektorov podľa prílohy č. 1 alebo prílohy č. 2 (§ 17 ods. 1 písm. e)). Menšia firma sa so zákonom stretne cez zákazníka: ak prostredníctvom nej prevádzkovateľ základnej služby vykonáva činnosť, ktorá priamo súvisí s dostupnosťou, dôvernosťou a integritou prevádzky jeho sietí a informačných systémov, musí s ňou uzatvoriť zmluvu, ak riziko nie je nízke (§ 19 ods. 2 a 3). Ak má významný vplyv pri zabezpečovaní kybernetickej bezpečnosti a má uzatvorenú zmluvu s prevádzkovateľom, ktorý prevádzkuje kritickú základnú službu, zapisuje sa do registra aj sama (§ 17 ods. 1 písm. i)).

Ako Reglyze pomáha organizácii na Slovensku?

Reglyze hodnotí organizácie na Slovensku podľa požiadaviek smernice NIS 2, pripravuje dokumenty, ktoré uvádzajú zákon č. 69/2018 Z. z., jeho lehoty a NBÚ ako príjemcu hlásení, a sleduje lehoty na hlásenie od zistenia incidentu. Hlásenie podávate vy, prostredníctvom jednotného informačného systému kybernetickej bezpečnosti. Hodnotenie opatrenie po opatrení podľa vyhlášky NBÚ Reglyze neponúka, lebo jej obsah zatiaľ nepreberá. Posúdenie pôsobnosti v Reglyze vychádza z kritérií smernice a výsledok uvádza jej pojmami: kľúčový subjekt tu zodpovedá prevádzkovateľovi kritickej základnej služby a dôležitý subjekt ostatným prevádzkovateľom základnej služby, hoci zákon tento pojem nepoužíva. Výsledok nenahrádza zápis do registra: prevádzkovateľom je len ten, kto je v ňom zapísaný (§ 3 ods. 2). Ak uvediete verejnú správu, ústredný orgán vyjde ako kľúčový subjekt (§ 18 ods. 1 písm. a)). Regionálna a miestna úroveň vyjde ako dôležitý subjekt, lebo Reglyze predpokladá významný vplyv podľa § 17 ods. 1 písm. d) a f), čo môže pôsobnosť nadhodnotiť. Dotazník nerozlišuje mesto a inú obec a nepýta sa na tretiu stranu podľa § 17 ods. 1 písm. i).

• Slov-Lex: zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, časová verzia účinná od 30. apríla 2026
  Úroveň 1
• Slov-Lex: zákon č. 366/2024 Z. z., vyhlásené znenie
  Úroveň 1
• Slov-Lex: vyhláška Národného bezpečnostného úradu č. 226/2025 Z. z., ktorou sa ustanovujú podrobnosti o hláseniach
  Úroveň 1
• Slov-Lex: stránka zákona č. 69/2018 Z. z. a jeho vykonávacie predpisy
  Úroveň 1
• Národný bezpečnostný úrad (NBÚ)
  Úroveň 1
• NBÚ: Novela vyhlášky o audite kybernetickej bezpečnosti (27. augusta 2026)
  Úroveň 1
• SK-CERT, Národné centrum kybernetickej bezpečnosti NBÚ: Nahlásiť incident
  Úroveň 1
• NBÚ: jednotný informačný systém kybernetickej bezpečnosti (JISKB), prihlasovacia stránka
  Úroveň 1

Naposledy overené: 2026-11-05 · ďalšie overenie plánované po 2026-12-31.