Prevádzkovateľ základnej služby je pojem zo slovenského zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti. Označuje organizáciu, ktorá poskytuje službu dôležitú pre fungovanie spoločnosti alebo hospodárstva – napríklad v energetike, doprave, bankovníctve, zdravotníctve či digitálnej infraštruktúre – a ktorej výpadok alebo kompromitácia by mohli mať vážne následky.

Takéto organizácie majú voči štátu osobitné povinnosti v oblasti kybernetickej bezpečnosti. Ústredným orgánom pre túto oblasť je na Slovensku Národný bezpečnostný úrad.

Aké povinnosti z toho vyplývajú

Presný rozsah stanovuje zákon a jeho vykonávacie predpisy. Vo všeobecnosti ide o tieto okruhy:

  • prijatie a udržiavanie bezpečnostných opatrení primeraných rizikám,
  • riešenie a hlásenie kybernetických bezpečnostných incidentov,
  • určenie zodpovedností za kybernetickú bezpečnosť v organizácii,
  • overovanie súladu prostredníctvom auditu kybernetickej bezpečnosti,
  • spolupráca s orgánmi dohľadu.

Zákon bol novelizovaný v súvislosti so smernicou NIS2, ktorá zavádza kategórie základných a dôležitých subjektov a rozširuje okruh dotknutých sektorov. Terminológia a rozsah povinností sa preto môžu líšiť od staršieho znenia – aktuálny stav si overte v platnom zákone alebo u odborníka.

Technická príprava na audit

Audit sa nezaobíde bez dôkazov o skutočnom stave infraštruktúry. Prakticky to znamená vedieť, aké zraniteľnosti máte, ako ich riešite a kto má privilegovaný prístup. PosAm v článku o systematickom posilňovaní kybernetickej odolnosti opisuje postup, ktorého výstupy slúžia aj ako podklad pre audit podľa zákona č. 69/2018 Z. z.:

Typické úskalia

Prevádzkovatelia často kombinujú moderné cloudové služby so staršími systémami, ktoré sa ťažko aktualizujú. Dôležité je mať prehľad aj o dodávateľoch s prístupom do prostredia a o službách prevádzkovaných externe. Pri outsourcingu je vhodné zmluvne upraviť aj spoluprácu pri riešení a hlásení incidentov.

Časté otázky

Ako zistím, či je moja organizácia prevádzkovateľom základnej služby?

Rozhodujú kritériá zákona a súvisiacich predpisov. V prípade pochybností sa obráťte na právneho odborníka alebo Národný bezpečnostný úrad.

Môžeme bezpečnostné činnosti outsourcovať?

Technické činnosti áno, zodpovednosť za plnenie povinností však zostáva na organizácii.

PosAm pracuje so zákazníkmi z energetiky, bánk, poisťovní aj verejnej správy. Pozrite si referencie PosAm alebo nás kontaktujte kvôli posúdeniu infraštruktúry.