Čo je NIS2
NIS2 (smernica EÚ 2022/2555) je nástupkyňa pôvodnej NIS smernice z 2016. Cieľom je harmonizovať a sprísniť kyberbezpečnostné požiadavky naprieč EÚ po vlne ransomware útokov, ktoré ukázali, že NIS1 bola nedostatočná.
NIS2 vstúpila do platnosti 17. októbra 2024 (deadline transpozície do národných právnych poriadkov). V SR ju implementuje novela zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti.
Koho sa NIS2 týka v SR
NIS2 rozdeľuje organizácie na dve kategórie:
Essential entities (kľúčové subjekty)
- Energetika (elektrina, plyn, ropa, teplo, vodík)
- Doprava (letecká, železničná, vodná, cestná)
- Bankovníctvo a finančný trh
- Zdravotníctvo (nemocnice, výroba liekov)
- Pitná voda, odpadové vody
- Digitálna infraštruktúra (DNS, TLD, cloud providers, datacentrá)
- ICT service management (B2B)
- Verejná správa (ústredné orgány)
- Vesmír
Important entities (dôležité subjekty)
- Poštové a kuriérske služby
- Odpadové hospodárstvo
- Chemická výroba a distribúcia
- Výroba potravín
- Výroba (medical devices, IT, vozidlá, stroje, elektronika)
- Digitálne platformy (online marketplaces, search engines, social platforms)
- Výskum
Veľkostná hranica: stredné a veľké podniky (50+ zamestnancov ALEBO obrat 10+ mil. €). Mikro a malé sú spravidla vyňaté, okrem niektorých sektorov (DNS, kritická infraštruktúra) kde platí bez ohľadu na veľkosť.
Kľúčové požiadavky NIS2
Smernica definuje 10 minimálnych kontrolných oblastí (Čl. 21):
- Risk management a politiky bezpečnosti informačných systémov
- Incident handling: detekcia, response, recovery
- Business continuity (zálohovanie, disaster recovery, crisis management)
- Supply chain security (dodávateľská reťaz)
- Acquisition, development, maintenance bezpečnosti
- Hodnotenie účinnosti opatrení
- Kybernetická hygiena a tréningy
- Kryptografia (politiky šifrovania)
- Riadenie ľudských zdrojov, prístupov a aktív
- Multi-factor authentication a zabezpečené komunikácie
Plus špecifické povinnosti:
- 24h early warning: hlásenie podozrenia na závažný incident NBÚ do 24 hodín
- 72h incident notification: kompletný report do 72 hodín
- 1 mesiac final report: záverečná analýza
- Osobná zodpovednosť manažmentu: board musí schvaľovať opatrenia a môže byť osobne sankcionovaný
- Registration: zápis do registra NBÚ
Pokuty a sankcie
- Essential entities: až 10 mil. € alebo 2 % celosvetového ročného obratu (vyššia suma)
- Important entities: až 7 mil. € alebo 1,4 % obratu
- Manažment osobne: dočasný zákaz výkonu funkcie, povinné školenia, verejné označenie ne-compliance
Okrem priamych pokút hrozí reputačné riziko a civilná zodpovednosť voči poškodeným klientom.
Praktické kroky k NIS2 compliance
- Gap assessment: kde stojíte voči 10 kontrolným oblastiam (ideálne externý audit)
- Registrácia v NBÚ: povinné pre essential aj important entities
- Risk register: identifikácia, hodnotenie, prioritizácia rizík
- Detekcia a incident response capability: buď in-house SOC alebo Managed SOC
- Supply chain audit: dodávatelia musia tiež plniť bezpečnostné minimum
- MFA + krypto politiky: vo všetkých kritických systémoch
- BCP/DRP testing: minimálne ročne tabletop exercise
- Board training: manažment musí preukázať porozumenie kybernetickým rizikám
- Reportovacie procesy: pripravený postup pre 24h/72h/1m hlásenie
Ako vám pomôže Managed SOC pri NIS2
Z 10 kontrolných oblastí NIS2 priamo pokrýva Managed SOC ako Exe:SOC tieto:
- ✓ Incident handling: detekcia + SLA <15 min reakcia
- ✓ Hodnotenie účinnosti: mesačné/kvartálne reporty
- ✓ Incident notification: predpripravené procesy 24h/72h hlásenia
- ✓ Risk assessment: kontinuálne cez threat intelligence
- ✓ Kybernetická hygiena: alerty pri zlej konfigurácii
Zvyšok (kryptografia, MFA, BCP) je úloha vašeho IT. Pomôžeme dizajnovať architektúru a auditovať pripravenosť.