Táto stránka je určená vedúcim IT oddelení, CISOs a projektovým manažérom v úradoch, mestách a verejných inštitúciách. Dozvieť sa budete konkrétne povinnosti podľa NIS2 a ako ich implementovať pred konečným termínom.
Všetky centrálne a regionálne vládne úrady, mestá, obce a verejné agentúry spravujúce digitálne služby musia dodržiavať NIS2 bez ohľadu na veľkosť. Povinnosť sa vzťahuje na orgány s právnymi povinnosťami poskytovať elektronické služby verejnosti, najmä na správcov portálov eGov, databáz občanov, IT systémov v agendách verejnej správy a distribútorov digitálnych služieb.
Úrady musia zaviesť riadenie rizík, autentifikáciu viacerými faktormi, šifrovanie citlivých údajov a pravidelné testovanie bezpečnosti. Povinnosť zahŕňa tiež segmentáciu sieťovej infraštruktúry, zabezpečenie eGov portálov a ochranné opatrenia pre systémy spracúvajúce údaje občanov. Opatrenia musia byť dokumentované v politike kybernetickej bezpečnosti.
Úrady musia ohlasovať NIS2 incidenty SK-CERT úradu NBÚ do 24 hodín od zistenia a podať podrobnú správu do 72 hodín. Incidenty vrátane útokov znemožňujúcich verejné digitálne služby, únikov údajov občanov alebo sabotáže IT infraštruktúry musia byť hlásené bez odkladu. Dokumentácia o incidentoch musí obsahovať analýzu vplyvu na dostupnosť a bezpečnosť služieb.
Všetky zmluvy na vývoj, údržbu alebo inštaláciu IT systémov musia obsahovať explicitné požiadavky na kybernetickú bezpečnosť. Verejné obstarávanie musí vyžadovať bezpečnostnú certifikáciu dodávateľov, posúdenie rizík tretích strán a záväzky na patching a update systémov. Úrady musia viesť register kritických dodávateľov IT služieb a pravidelne vyhodnocovať ich compliance.
Všetci zamestnanci úradov s prístupom k IT systémom musia absolvovať minimálne ročný tréning z kybernetickej bezpečnosti. Tréning musí zahŕňať rozpoznávanie phishingu, bezpečnú manipuláciu s údajmi občanov, nahlasovanie podozrení na bezpečnostné hrozby a dodržiavanie interných bezpečnostných pravidiel. Vedúci musia preukázať políčka tréningov a aktuálnosť vedomostí.
Úrady musia udržiavať úplnú inventúru IT aktív vrátane hardvéru, softvéru, sieťových zariadení a cloudových služieb. Povinnosť zahŕňa plán kontinuity a obnovy po havárii pre kritické eGov aplikácie s jasne definovanými RTO a RPO. Zálohy musia byť testované minimálne ročne a uchovávané na geograficky oddelených miestach.
Všetky mestá a obce bez výnimky, ak spravujú elektronické služby pre občanov (eGov portály, oň, registre). Nie je žiadny prah veľkosti — povinnosť sa vzťahuje aj na malé obce, ktoré prevádzajú e-podpisy alebo informačné portály. NBÚ už vydal jednotný register subjektov povinných na NIS2 compliance.
Incident sa musí ohlasovať emailom alebo pomocou bezpečného portálu SK-CERT najneskôr 24 hodín po zistení. Ohlásenie musí obsahovať typ incidentu, čas, počet dotknutých údajov a okamžité opatrenia. Do 72 hodín musí nasledovať detailná správa s analýzou príčin a plánom nápravy. Meškanie ohlásenia vedie k sankciám až 10 miliónov EUR.
Pokuty pre podstatné entity (úrady a mestá) dosahujú až 10 miliónov EUR alebo 2 % ročného obratu za porušenie základných povinností. Za opakovane neohlásené incidenty alebo absenciu bezpečnostných kontrol sú pokuty až 7 miliónov EUR. NBÚ již vykonal prvé inšpekcie — dodržiavanie je povinné od 24. decembra 2024.