NIS2 je smernica Európskeho parlamentu a Rady (EÚ) 2022/2555 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii. Nahradila pôvodnú smernicu NIS a jej cieľom je zjednotiť a sprísniť pravidlá pre organizácie, ktorých výpadok by výrazne zasiahol hospodárstvo alebo spoločnosť.

Ako smernica sa NIS2 neuplatňuje priamo – členské štáty ju premietajú do vlastných zákonov. Na Slovensku sa premieta do zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti v novelizovanom znení. Konkrétne povinnosti, lehoty a sankcie preto treba vždy čítať v slovenskom zákone a jeho vykonávacích predpisoch.

Čo NIS2 mení

  • Širší okruh subjektov – oproti pôvodnej smernici pokrýva viac sektorov a rozlišuje kategórie základných a dôležitých subjektov.
  • Riadenie rizík – organizácie majú prijať primerané technické, prevádzkové a organizačné opatrenia, napríklad pre riešenie incidentov, kontinuitu činností, bezpečnosť dodávateľského reťazca, riadenie prístupu a používanie viacfaktorovej autentifikácie.
  • Hlásenie incidentov – významné incidenty sa hlásia príslušným orgánom v stanovených lehotách.
  • Zodpovednosť vedenia – štatutárne orgány majú opatrenia schvaľovať, dohliadať na ich zavádzanie a za ich nedodržanie môžu niesť zodpovednosť.

Ako sa pripraviť

  1. Overte, či a v akej kategórii spadá vaša organizácia pod zákon – najlepšie s právnym alebo bezpečnostným odborníkom.
  2. Zmapujte aktíva, systémy a dodávateľov, od ktorých závisia vaše služby.
  3. Posúďte aktuálny technický stav: zraniteľnosti, konfiguráciu Active Directory a Entra ID, privilegované účty, aktualizácie.
  4. Zaveďte proces riadenia kybernetických rizík a pripravte postup pre hlásenie a riešenie incidentov.

Technické posúdenie, ktoré PosAm opisuje v článku o systematickom posilňovaní kybernetickej odolnosti, slúži aj ako podklad pre audit podľa zákona č. 69/2018 Z. z.

NIS2 a Cyber Resilience Act

Obe regulácie sa často zamieňajú. NIS2 rieši bezpečnosť prevádzky organizácií, kým Cyber Resilience Act sa týka produktov s digitálnymi prvkami – teda toho, ako bezpečne sú softvér a hardvér navrhnuté a udržiavané. Výrobca softvéru, ktorý je zároveň regulovaným subjektom, môže podliehať obom.

Časté otázky

Ako zistím, či sa NIS2 týka mojej firmy?

Rozhoduje sektor, veľkosť a povaha činnosti podľa slovenského zákona. Odporúčame posúdenie s odborníkom, prípadne konzultáciu s Národným bezpečnostným úradom.

Stačí na splnenie NIS2 nákup bezpečnostného nástroja?

Nie. Smernica kladie dôraz na riadenie rizík, procesy a zodpovednosť vedenia, nástroje sú len jednou časťou.

Ak potrebujete technický podklad pre posúdenie súladu, obráťte sa na PosAm a dohodnite si sken infraštruktúry a analýzu identít.