NIS2 na Slovensku: zákon o kybernetickej bezpečnosti po novele

Zákon o kybernetickej bezpečnosti po novele

Stav k 19. októbru 2026. Slovensko prebralo smernicu NIS2 novelou zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti, a to zákonom č. 366/2024 Z. z. s účinnosťou od 1. januára 2025. Zákon odvtedy zmenili aj zákony č. 318/2025 Z. z. (od 1. 1. 2026) a č. 67/2026 Z. z. (od 30. 4. 2026). Dohľad vykonáva Národný bezpečnostný úrad (NBÚ), ktorý vedie register prevádzkovateľov základnej služby.

Koho sa zákon týka

Do registra prevádzkovateľov základnej služby sa podľa § 17 ods. 1 zapisujú najmä:

• osoby, ktoré spĺňajú aspoň podmienky veľkosti pre stredný podnik a pôsobia v sektore z prílohy č. 1 alebo č. 2 zákona,
• bez ohľadu na veľkosť napríklad poskytovatelia verejných elektronických komunikačných sietí a služieb, poskytovatelia dôveryhodných služieb, správcovia TLD a poskytovatelia služby DNS, ako aj poskytovatelia registrácie domén,
• ústredné orgány štátnej správy, kritické subjekty a ďalšie osoby a orgány podľa § 17 ods. 1.

Ak vykonávate aspoň jednu kritickú základnú službu podľa § 18 (napríklad ako veľký podnik v sektore z prílohy č. 1, ako kvalifikovaný poskytovateľ dôveryhodných služieb alebo správca TLD), ste prevádzkovateľom kritickej základnej služby a máte prísnejšie sankcie. Prvý odhad dá bezplatné overenie pôsobnosti NIS2; rozhoduje zákon a NBÚ.

Oznámenie a zápis do registra NBÚ

• Oznámenie: do 60 dní odo dňa začatia činnosti oznámite NBÚ názov, sídlo a kontakty vrátane elektronických adries, verejných IP adries a telefónov, štáty EÚ, kde pôsobíte, a prípadne zástupcu (§ 17 ods. 2).
• Zápis: NBÚ vás zapíše po konzultácii s ústredným orgánom a zápis oznámi cez jednotný informačný systém kybernetickej bezpečnosti a do elektronickej schránky; osobitné rozhodnutie sa nevydáva (§ 17 ods. 3 a 4).
• Odkedy platia povinnosti: odo dňa uvedeného v oznámení o zápise, najskôr tridsiatym dňom po zápise (§ 17 ods. 5).

Oneskorené alebo nové oznámenie

Ak ste v pôsobnosti zákona od 1. januára 2025 a NBÚ ste ešte neoznámili, urobte to čo najskôr: zákon lehotu viaže na začiatok činnosti a jej nedodržanie je správnym deliktom s pokutou do 500 000 eur (§ 31 ods. 1). Ak spĺňate podmienky až teraz, napríklad po raste nad hranicu stredného podniku alebo pri novej službe, plynie vám 60 dní od tohto dňa. Lehota 12 mesiacov na bezpečnostné opatrenia začína až zápisom do registra.

Hlásenie závažných incidentov

Hlási sa každý závažný kybernetický bezpečnostný incident, teda taký, ktorý spôsobil alebo môže spôsobiť závažné narušenie fungovania alebo škodu vo veľkom rozsahu, alebo zasiahnuť iné osoby značnou škodou (§ 24 ods. 2). Hlásenie ide cez jednotný informačný systém kybernetickej bezpečnosti (§ 24 ods. 3). Pomôže overenie významného incidentu a kalkulačka lehôt.

Bezpečnostné opatrenia a sankcie

Do 12 mesiacov od zápisu prijímate, dodržiavate a vykonávate bezpečnostné opatrenia podľa § 20 na základe analýzy rizík, plus sektorové opatrenia, ak sú ustanovené. Medzi ďalšie povinnosti podľa § 19 patrí zmluva s treťou stranou o plnení bezpečnostných opatrení a notifikačných povinností, analýza závislostí v dodávateľskom reťazci a mechanizmus včasného informovania štatutárneho orgánu o hrozbách a incidentoch.

Pokuty (§ 31): prevádzkovateľ základnej služby od 300 eur do 7 000 000 eur alebo do 1,4 % celosvetového ročného obratu; prevádzkovateľ kritickej základnej služby od 500 eur do 10 000 000 eur alebo do 2 % obratu, podľa toho, čo je vyššie.

Ako to zvládnuť v Dazr Compliance

• Rámec NIS2: opatrenia článku 21 ako opakované kontroly s vlastníkom, dôkazmi a pripomienkami; slovenské požiadavky z § 19 a § 20 doplníte ako vlastné kontroly alebo zmapujete na existujúce.
• Register incidentov: odpočet 24 hodín, 72 hodín a jedného mesiaca podľa NIS2 a 72 hodín podľa GDPR, s časovými pečiatkami každého hlásenia.
• Profil zhody: dátum oznámenia, zápisu do registra a začiatku povinností na jednom mieste.
• Dodávatelia (Pro): register dodávateľov so zmluvami, certifikátmi a dátumami preskúmania pre zmluvy s tretími stranami.
• Audítor (Pro): časovo obmedzený prístup len na čítanie a auditná stopa v jednom PDF.
• Dáta v EÚ: Dazr je talianska firma, dáta aplikácie a zálohy zostávajú v EÚ (Nemecko) a záznamy pracovného priestoru sú šifrované AES-256-GCM.

Dazr za vás NBÚ nič neoznamuje ani nehlási: to robíte cez systémy úradu. Dazr drží údaje, dôkazy a časovú os.

Zdroje: zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, znenie účinné od 30. 4. 2026 (Slov-Lex), zákon č. 366/2024 Z. z. (novela), Národný bezpečnostný úrad, smernica (EÚ) 2022/2555. Overené 19. októbra 2026 voči zneniu zákona na Slov-Lex.

Časté otázky

Platí pre nás český zákon 264/2025 Sb.?

Nie. Ak ste usadení na Slovensku, platí slovenský zákon č. 69/2018 Z. z. v znení novely; český zákon a vyhlášky NÚKIB sa týkajú služieb v Česku. Pri pôsobení v oboch štátoch sa riaďte pravidlami o hlavnej prevádzkarni a príslušnosti.

Sme už prevádzkovateľom základnej služby z čias pred novelou. Čo sa mení?

Podľa § 34b sa považujete za prevádzkovateľa kritickej základnej služby. NBÚ môže do 31. decembra 2026 rozhodnúť, že podmienky nespĺňate, a do toho dňa môžete ešte vykonávať opatrenia a audit podľa predpisov účinných do konca roka 2024.

Podáva Dazr hlásenia za nás?

Nie. Oznámenie aj hlásenia incidentov sa podávajú NBÚ cez jeho systémy. Dazr stráži lehoty, uchováva časové pečiatky a dôkazy a ukazuje, kto a kedy čo urobil.

Aký tarif potrebujeme?

Rámec NIS2 a register incidentov sú v tarife Free pre jedného používateľa a jeden rámec, bez karty. Pro za 99 € mesačne pridáva až päť používateľov a päť rámcov, vyhlásenie o aplikovateľnosti, politiky, register dodávateľov a prístup pre audítora; dá sa vyskúšať 14 dní zadarmo.