Ako sa lehoty počítajú
Každá lehota začína od jedného času: kedy sa o incidente vaša organizácia dozvedela. Lehoty v hodinách sa pripočítavajú ako skutočne uplynuté hodiny, takže 72-hodinová lehota, ktorá prechádza cez koniec letného času, končí v inom čase na hodinách, než začala. Lehoty v mesiacoch končia v rovnaký kalendárny dátum a čas o mesiac neskôr (31. január plus jeden mesiac je 28. alebo 29. február). Ak sa hlásenie počíta od skoršieho hlásenia, nástroj predpokladá, že skoršie hlásenie odošlete presne v jeho lehote, pokiaľ nezadáte, kedy ste ho skutočne odoslali.
| Režim | Hlásenie | Lehota | Právny základ |
|---|---|---|---|
| GDPR | Oznámiť dozornému úradu | 72 h od zistenia, „ak je to možné“ | Čl. 33 ods. 1 GDPR |
| GDPR | Informovať dotknuté osoby (vysoké riziko) | Bez zbytočného odkladu | Čl. 34 GDPR |
| NIS2 | Včasné varovanie | 24 h od zistenia | Čl. 23 ods. 4 písm. a) NIS2 |
| NIS2 | Oznámenie incidentu | 72 h od zistenia (24 h pre poskytovateľov dôveryhodných služieb) | Čl. 23 ods. 4 písm. b) a druhý pododsek |
| NIS2 | Záverečná správa | 1 mesiac po oznámení incidentu | Čl. 23 ods. 4 písm. d)–e) |
| DORA | Počiatočné oznámenie | 4 h od klasifikácie ako závažný, najneskôr 24 h od zistenia | RTS 2025/301 čl. 5 ods. 1 písm. a), 5 ods. 2 |
| DORA | Priebežná správa | 72 h po počiatočnom oznámení | RTS 2025/301 čl. 5 ods. 1 písm. b) |
| DORA | Záverečná správa | 1 mesiac po poslednej priebežnej správe | RTS 2025/301 čl. 5 ods. 1 písm. c) |
| CRA | Zraniteľnosť: včasné varovanie / oznámenie / záverečná správa | 24 h / 72 h / 14 dní po sprístupnení opravy | Čl. 14 ods. 2 CRA |
| CRA | Závažný incident: včasné varovanie / oznámenie / záverečná správa | 24 h / 72 h / 1 mesiac po oznámení | Čl. 14 ods. 4 CRA |
| eIDAS | Oznámiť orgánu dohľadu | 24 h (kvalifikovaní poskytovatelia: „od incidentu“; ostatní: od zistenia) | Čl. 24 ods. 2 písm. fb), 19a eIDAS |
Kedy lehota začína?
Všetky tieto predpisy počítajú od zistenia, nie od okamihu, keď sa útočník dostal dnu. Usmernenia EDPB 9/2022 o oznamovaní porušenia ochrany osobných údajov opisujú zistenie ako primeranú mieru istoty, že bezpečnostný incident ohrozil osobné údaje. Pre NIS2 používa rovnakú myšlienku odôvodnenie 31 vykonávacieho nariadenia (EÚ) 2024/2690: o incidente viete, hneď ako vám úvodné posúdenie dá primeranú istotu, že došlo k významnému incidentu. Dva praktické dôsledky:
- Podozrivé upozornenie vás zaväzuje ho bezodkladne posúdiť. Odloženie na týždeň lehotu neoddiali; regulátori skúmajú, kedy ste sa to mali dozvedieť.
- Zapíšte si okamih zistenia a kto o ňom rozhodol. Na tento čas sa úrad opýta ako prvý, keď oznámenie príde neskoro.
Jedinou výnimkou v tomto nástroji je eIDAS pre kvalifikovaných poskytovateľov dôveryhodných služieb: čl. 24 ods. 2 písm. fb) hovorí „do 24 hodín od incidentu“. Ak incident začal skôr, ako ste si ho všimli, zadajte čas jeho začiatku.
Víkendy, sviatky a časové pásma
Lehoty GDPR, NIS2, CRA a eIDAS sa nezastavujú. Podľa nariadenia (EHS, Euratom) č. 1182/71 lehoty zahŕňajú soboty, nedele a sviatky (čl. 3 ods. 3) a pravidlo, ktoré posúva koniec lehoty na ďalší pracovný deň, platí len pre lehoty „vyjadrené inak ako v hodinách“ (čl. 3 ods. 4). Nástroj preto ukazuje lehotu tak, ako vyjde, a upozorní, keď pripadne na víkend. Vnútroštátne zákony NIS2 preberajú rovnakú štruktúru 24 h / 72 h / jeden mesiac; procesné podrobnosti si overte vo vnútroštátnom zákone.
Výnimkou je DORA. Delegované nariadenie (EÚ) 2025/301, čl. 5 ods. 4, umožňuje hlásenie, ktorého lehota pripadne na víkend alebo štátny sviatok vo vašom členskom štáte, podať do poludnia nasledujúceho pracovného dňa. Čl. 5 ods. 5 túto úľavu odoberá pri počiatočnom oznámení a priebežnej správe úverových inštitúcií, centrálnych protistrán, prevádzkovateľov obchodných systémov a subjektov, ktoré sú podľa NIS2 základné alebo dôležité. Kalkulačka uplatňuje víkendovú časť automaticky; štátne sviatky sa líšia podľa členského štátu, tie si overte sami.
Časové pásma: lehoty sa zobrazujú vo zvolenom pásme a v UTC. Ak zadáte čas, ktorý pri konci letného času nastane dvakrát (napríklad 02:30 25. októbra 2026 v Amsterdame), nástroj použije ten skorší, čo dáva skoršiu, bezpečnejšiu lehotu.
Jeden incident, niekoľko hlásení
Ransomvérový útok na poskytovateľa riadených služieb, ktorý zašifruje zákaznícke databázy, môže spustiť oznámenie podľa GDPR úradu na ochranu osobných údajov, včasné varovanie podľa NIS2 voči CSIRT a upozornenie zákazníkom, každé s vlastným príjemcom, formulárom a lehotou. Niektoré krajiny ponúkajú jednotný ohlasovací portál (Holandsko vedie hlásenia podľa Cyberbeveiligingswet cez MijnNCSC), ale hlásenie podľa NIS2 nenahrádza oznámenie podľa GDPR. Začnite najkratšou lehotou a fakty znova použite pre neskoršie hlásenia.
Hlásenie incidentov podľa PSD2 prešlo do DORA
Banky, platobné inštitúcie, inštitúcie elektronických peňazí a poskytovatelia služieb informovania o účte už nehlásia závažné platobné incidenty podľa PSD2. Od začiatku uplatňovania DORA (17. januára 2025) zahŕňa článok 23 DORA prevádzkové alebo bezpečnostné incidenty súvisiace s platbami do ohlasovacieho reťazca DORA a smernica (EÚ) 2022/2556 doplnila do PSD2 čl. 96 ods. 7, takže sa na ne staré hlásenie podľa PSD2 už nevzťahuje. Pri týchto incidentoch zaškrtnite DORA.
Čo sa mení
Návrh Komisie Digital Omnibus (november 2025) by vytvoril jednotný vstupný bod EÚ pre hlásenie incidentov, zvýšil prah GDPR pre oznámenie úradu na „vysoké riziko“ a predĺžil lehotu na 96 hodín. K 1. októbru 2026 návrh stále prechádza legislatívnym procesom, takže platia súčasné pravidlá vyššie. Ohlasovacie povinnosti CRA v článku 14 platia od 11. septembra 2026 prostredníctvom jednotnej ohlasovacej platformy ENISA.
Táto kalkulačka vám pomáha plánovať; nie je to právne poradenstvo. Odvetvové pravidlá, vnútroštátne zákony a vaše zmluvy môžu stanoviť kratšie lehoty.
Primárne zdroje
- Nariadenie (EÚ) 2016/679 (GDPR), čl. 33–34
- Smernica (EÚ) 2022/2555 (NIS2), čl. 23
- Nariadenie (EÚ) 2022/2554 (DORA), čl. 19 a 23; delegované nariadenie (EÚ) 2025/301, čl. 5
- Nariadenie (EÚ) 2024/2847 (Cyber Resilience Act), čl. 14 a 71
- Nariadenie (EÚ) 2024/1183 (zmeny eIDAS), čl. 19a a 24 ods. 2 písm. fb)
- Nariadenie č. 1182/71, ktorým sa určujú pravidlá pre lehoty, dátumy a termíny, čl. 3