Ak riaďujete spoločnosť s 50-249 zamestnancami v regulovanom sektore, ste významnou entitou podľa NIS2. Dozviete sa, ako splniť povinnosti bezpečnosti, incidenčného hlásenia a posudzovania rizík bez zbytočnej byrokracie.
Pod NIS2 spadajú stredne veľké podniky (50–249 zamestnancov) v regulovaných sektoroch, ako sú energetika, doprava, vodné hospodárstvo, zdravotníctvo, verejná správa a digitálne služby. Ak váša spoločnosť spĺňa kritériá Prílohy II a pôsobí v niektorom z uvedených sektorov, musíte sa zaregistrovať do samovýkazu a splniť proporcionálne bezpečnostné opatrenia. Termín na hlásenie sa Národnému bezpečnostnému úradu je uvedený v pokynoch NBÚ.
Musíte vyplniť samovýkaz Národného bezpečnostného úradu, v ktorom preukážete, že vaša spoločnosť spĺňa kritériá dôležitej entity podľa Prílohy II NIS2. Tento dokument musí obsahovať základné údaje o činnosti, počte zamestnancov a kritickosti vašich služieb. Registrácia je prvým krokom, bez ktorého niet možné ďalej postupovať v implementácii NIS2.
Vypracujte a schválte písomný dokument – Politiku bezpečnosti informácií – ktorý opisuje, ako sa v podniku riadia, chránia a monitorujú informácie a IT systémy. Politika musí zohľadňovať proporcionálne opatrenia (nie je potrebné nadmerné, ale musia byť účinné). Musíte ju pravidelne aktualizovať a všetci zamestnanci musia byť s ňou oboznámení.
Ak dôjde k bezpečnostnému incidentu, ktorý vplýva na prevádzku vašich kritických služieb, musíte ho nahlásiť SK-CERT (pracovišťu NBÚ) v lehote 24 hodín od zistenia. Detailnú správu potom predložíte do 72 hodín. Incident response procedúra musí byť dokumentovaná a všetci kľúčoví pracovníci musia vedieť, ako správne postupovať.
Vykonajte analyzáciu rizík, ktorá identifikuje hrozby a zraniteľnosti relevantné pre vašu činnosť. Na základe výsledkov zavedite kontroly – niektoré môžu byť technické (MFA, šifrovanie), iné organizačné (preškolenie, polícia bezpečnosti). Povinnosti sú proporcionálne veľkosti a charakteru spoločnosti; stredne veľký podnik nie je povinný mať rovnakú infraštruktúru ako veľká korporácia.
Zavedením riadenia prístupu (access control) zabezpečíte, že informáciami a systémami môžu manipulovať iba oprávnení ľudia. Povinné je zaviesť viacfaktorovú autentifikáciu (MFA) na všetkých biznis e-mailoch a cloudových úložiskách. Pravidelne prehodnocujte, kto má aké práva, a bezodkladne revokujte prístupy odídenim zamestnancom.
Spadáte pod NIS2, ak máte 50–249 zamestnancov, pôsobíte v regulovanom sektore (energetika, doprava, voda, zdravotníctvo, verejná správa, digitálne služby) a poskytujem existenčne dôležité služby alebo infraštruktúru. Musíte vyplniť samovýkaz a registrovať sa u NBÚ; ak splníte kritériá Prílohy II, stanete sa dôležitou entitou s príslušnými povinnosťami.
Za podstatné porušenie povinností (napríklad nezhlásenie incidentu v lehote) môže NBÚ uložiť pokutu až do výšky 7 miliónov eur alebo 1,4 % ročného obratu dôležitej entity. Pokuty sú aplikované v závislosti od závažnosti porušenia, úmyselnosti a ďalších okolností. Aj tento dôvod zdôrazňuje, prečo je včasná implementácia a dokumentácia bezpečnostných opatrení kľúčová.
Zákon č. 69/2018 Z. z. bol novelizovaný pre implementáciu NIS2; konkrétne termíny stanovuje NBÚ v sprievodných pokynoch. Všeobecne je očakávaný prechod do 18 mesiacov od zverejnenia zákonného rámca. Odporúčame začať ihneď samovýkazom a posúdením rizík; rôzne kontroly implementujete etapovite podľa priorít a dostupných zdrojov.