Prevádzkovateia základnej služby? Aké povinnosti pre vás zo zákona vyplývajú?

Ak ste sa našli v titulku, viete, o čom hovoríme. Zaradenie medzi Prevádzkovateľov Základnej Služby (PZS) podľa zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti nie je len formalita. Je to záväzok. Pravdepodobne sa na vás valí hora nových povinností, skratiek a hrozieb sankciami.

Kontext a legislatívne zmeny

V dnešnej dobe, keď sa kybernetické útoky stávajú čoraz sofistikovanejšími a častejšími, je bezpečnosť sieťových a informačných systémov zásadná pre fungovanie jednotlivých podnikov, celého hospodárstva ako aj štátnych inštitúcii. NIS2 je aktualizovaná verzia smernice NIS z roku 2016. Jej cieľom je posilniť a zabezpečiť európsky kybernetický priestor. Predmetom regulácie NIS2 nie je kybernetická bezpečnosť vo vzťahu k základným službám, ale kybernetická bezpečnosť a odolnosť kľúčových subjektov a celých sektorov voči aktuálnym kybernetickým hrozbám. Členské štáty EÚ sú povinné implementovať túto smernicu do svojho právneho systému. NIS2 zavádza nové opatrenia na zlepšenie kybernetickej bezpečnosti.

Cieľom NIS2 je teda zlepšiť bezpečnosť nielen vo verejnom sektore, ale aj v súkromných spoločnostiach, ktoré poskytujú základné služby a infraštruktúru. Predmetom regulácie nie je kybernetická bezpečnosť vo vzťahu k základným službám, ale kybernetická bezpečnosť a odolnosť kľúčových subjektov a celých sektorov voči aktuálnym kybernetickými hrozbám.

Novela zákona o kybernetickej bezpečnosti novelizuje predošlý zákon o kybernetickej bezpečnosti č. 69/2018 Z.z. a prináša nasledujúce kľúčové zmeny:

• Rozšírenie pôsobnosti zákona na nové subjekty, zákon pokrýva viac sektorov a zvyšuje počet podnikov podliehajúcich regulácii.
• Aplikácia bezpečnostných opatrení na základe rizikovej analýzy a zavedenie prísnejších bezpečnostných opatrení a povinností pre zlepšenie ochrany.
• Úprava bezpečnosti dodávateľského reťazca
• Úprava hlásenia incidentov
• Potreba nasadenie sofistikovaných systémov na detekciu a reakciu na kybernetické hrozby.
• Koordinované zverejňovanie zraniteľností a nutnosť poskytovať pravidelné správy o svojich bezpečnostných opatreniach.
• Povinné vykonanie auditu, alebo samohodnotenie
• Certifikácia bezpečnosti IKT produktov a služieb

Čo sa zmenilo pre subjekty Prevádzkovateľa Základnej Služby?

Vzhľadom na význam a dopad tejto smernice je dôležité, aby si všetky dotknuté strany boli vedomé svojich povinností a zaviedli potrebné opatrenia na ochranu svojej infraštruktúry. Novela sa zameriava na organizácie, ktoré poskytujú základné alebo kritické služby pre spoločnosť a ekonomiku. Nové požiadavky podľa novely zákona zavádzajú zvýšené štandardy ochrany pre lepšiu odolnosť voči kybernetickým hrozbám.

Regulované subjekty sú tie, ktoré spadajúce do týchto odvetví:

Prevádzkovateľ základnej služby (PZS) je tak po novom subjekt priamo definovaný v zákone. Sú to prevádzkovatelia základných služieb zapísaní v registri prevádzkovateľov. Zápis do tohto registra bude prebieha ex offo, alt. na návrh (oznámenie) v zákonom určenej lehote. Jedným z hlavných kritérií na určenie regulovaného subjektu je jeho veľkosť. Nová legislatíva sa vzťahuje na organizácie, ktoré majú viac ako 50 zamestnancov a obrat nad 10 miliónov Eur. Zákon však identifikuje aj subjekty, ktoré môžu byť zaradené medzi regulované bez ohľadu na ich veľkosť. Ak máte pochybnosti, či pod novelu spadáte, môžete použiť indikatívnu pomôcku na určenie subjektu, ktorú pripravil Národný bezpečnostný úrad.

Kto je prevádzkovateľom základnej služby:

• ústredný orgán štátnej správy a iný štátny orgán s celoštátnou pôsobnosťou,
• kritický subjekt,
• štátny orgán vykonávajúci pôsobnosť v najmenej dvoch okresoch a vyšší územný celok, ak by narušenie ich činnosti mohlo mať významný vplyv na verejný poriadok, bezpečnosť alebo verejné zdravie,
• mesto, ak by narušenie výkonu jeho pôsobnosti mohlo mať významný vplyv na verejný poriadok, bezpečnosť alebo verejné zdravie,
• správca ITVS po predchádzajúcej konzultácii s príslušným ústredným orgánom,
• osoba, ktorá poskytuje službu registrácie názvu domény bez ohľadu na splnenie podmienok veľkosti pre stredný podnik alebo
• tretia strana, ktorá má významný vplyv pri zabezpečovaní kybernetickej bezpečnosti, má uzatvorenú zmluvu s prevádzkovateľom základnej služby, ktorý prevádzkuje kritickú základnú službu

Prevádzkovateľ kritickej základnej služby je definovaný nasledovne

• výkon pôsobnosti ústredného orgánu štátnej správy alebo iného štátneho orgánu s celoštátnou pôsobnosťou,
• činnosť v sektore podľa prílohy č. 1, okrem sektoru verejná správa, ak ju vykonáva osoba, ktorá presahuje podmienky veľkosti pre stredný podnik (min. 250 zamestnancov a obrat 50 mil. EUR alebo súvaha 43mil. EUR a viac),
• kvalifikovaná dôveryhodná služba,
• správa TLD,
• služba DNS,
• poskytovanie verejnej EK siete alebo verejnej EK služby osobou, ktorá dosahuje najmenej podmienky veľkosti pre stredný podnik,
• vykonávanie činnosti alebo existencia postavenia podľa §17 ods. 1 písm. c) piateho až deviateho bodu,
• poskytovanie základnej služby kritickým subjektom,
• informačná činnosť a elektronické služby, vykonávané s použitím ITVS určených úradom

Ak máte pochybnosti, či ste, alebo nieste prevádzkovateľom základnej služby, môžete si túto informáciu overiť v registroch Národného bezpečnostného úradu na tomto odkaze 

Kedy a čo musia splniť regulované subjekty?

Novela prináša nové povinnosti pre regulované subjekty. Povinnosti sa líša podľa toho, či ide o novo-regulované subjekty, alebo existujúce subjekty, ktoré už dnes spadajú pod zákon o kybernetickej bezpečnosti.

Povinnosti, ktoré platia pre nové subjekty

• Rozhodnutie úradu

  • Úrad zapíše do registra prevádzkovateľov základnej služby osobu podľa odseku 1:

    • Po konzultácii s príslušným ústredným orgánom, a to:

      • buď z vlastnej iniciatívy,

      • alebo na základe odôvodnenej žiadosti dotknutej osoby podľa odseku 1.

    • Na návrh príslušného ústredného orgánu.

  • Odo dňa zapísania v tomto zozname začínajú plynúť pre vašu spoločnosť isté zákonné povinnosti a lehoty.
• Vznik práv a povinností pre novo zapísaný subjekt

  • Podľa § 17 ods. 5. účinnosť zákona voči novo zapísanému prevádzkovateľovi základnej služby (PZS) nastáva 30 dní odo dňa zápisu do registra. Povinnosti sú nasledovné

    • menovať manažéra KB, ktorý spĺňa znalostné kritériá a bude plniť úlohy podľa zákona,
    • od tohto momentu hlásiť závažné kybernetické incident NBÚ,
    • uzatvoriť zmluvy o plnení bezpečnostných opatrení s tretími stranami
• Povinnosť zaviesť bezpečnostné opatrenia
• • Do 12 mesiacov odo dňa zapísania vašej spoločnosti do zoznamu prevádzkovateľov základnej služby alebo kritickej základnej služby treba implementovať bezpečnostné opatrenia

    Prevádzkovateľ základnej služby musí:

    • Zaviesť systém riadenia kybernetickej bezpečnosti.

    • Riadiť prístupy a oprávnenia.

    • Ochrana sietí a systémov pred útokmi a únikmi dát.

    • Riadenie rizík a pravidelná analýza.

    • Monitorovanie a detekcia incidentov.

    • Zálohovanie a obnova po incidente.

    • Riadenie zraniteľností a aktualizácií.

    • Bezpečnostné požiadavky pre dodávateľov.

    • Školenia a povedomie zamestnancov.

    • Šifrovanie a ochrana dát.

    • Pravidelné testovanie a audit opatrení.

• Prvý audit alebo samohodnotenie 

  • § 34b ods. 8 a 9 – povinnosť vykonať prvý audit alebo samohodnotenie do 24 mesiacov od zápisu.

  • Prevádzkovateľ základnej služby môže audit nahradiť samohodnotením v rokoch 2025–2026, avšak samohodnotenie vykonáva manažér kybernetickej bezpečnosti prostredníctvom jednotného informačného systému. Výsledok samohodnotenia sa musí odoslať NBÚ bezodkladne po vykonaní.

  • Pre I. a II. kategóriu systémov možno splniť povinnosť auditu za rok 2024 formou samohodnotnenia najneskôr do 30. septembra 2025.

Povinnosti, platiace pre existujúce subjekty

Existujúce subjekty sú tie subjekty, ktoré boli prevádzkovateľmi základných služieb podľa zákona platného do 31. decembra 2024. Od 1. januára 2025 sa považujú za prevádzkovateľov kritických základných služieb podľa nových pravidiel. Taktiež, poskytovatelia digitálnych služieb, ktorí podliehajú pravidlám platným do konca roka 2024, sa od 1. januára 2025 považujú za prevádzkovateľov základných služieb podľa novely zákona.

Čo sa stane, ak nebudeme konať?

Sankcie a právne dôsledky

• Pokuty podľa NIS2 a ZoKB až do výšky 10 mil. € alebo 2 % z ročného obratu.
• Povinnosť nahradiť škody obchodným partnerom pri narušení dodávok.

Rastúci počet útokov na priemysel

• Kybernetické útoky sa v ére Industry 4.0 stávajú významným ohrozením pre priemyselné subjekty (riadiace systémy, výrobné linky a dodávateľské reťazce)

Finančné dopady

• Priemerná cena ransomware útoku v priemysle: 1,4 mil. € (obnova+strata výroby)
• Každá hodina výpadku výroby = priame straty v tisícoch eur
• Prevencia je lacnejšia ako reakcia

Strata dôvery a reputácie

• Dodávatelia čoraz častejšie vyžadujú preukázanie kybernetickej odolnosti.
• Jediný verejne známy incident môže ovplyvniť budúce kontrakty.

Záver

V Binturonix zastrešujeme celý end-to-end proces a činnosti ako vypracovanie GAP analýzy, plánu implementácie opatrení, poskytneme služby externého manažéra kybernetickej bezpečnosti a v neposlednom rade zabezpečíme technickú implementáciu. Všetko tak, aby sme minimalizovali zaťaženie vašich zamestnancov.