NIS2 sa registráciou nekončí: kybernetická bezpečnosť patrí do zmlúv s dodávateľmi

Registráciou u Národného bezpečnostného úradu sa povinnosti prevádzkovateľa základnej služby len začínajú — do dvanástich mesiacov od zápisu musí prijať bezpečnostné opatrenia a tie sa zďaleka netýkajú len vlastnej infraštruktúry. Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti výslovne počíta s tým, že bezpečnosť treba dostať aj do zmlúv s dodávateľmi. Či sa režim vzťahuje na vašu firmu, rozoberáme v odpovedi NIS2: vzťahuje sa na nás?. Tu píšeme o tom, čo nasleduje po registrácii.

Zmluva s dodávateľom nie je voľba, ale povinnosť

Kto pre prevádzkovateľa základnej služby vykonáva činnosť dotýkajúcu sa jeho sietí a informačných systémov, musí mať osobitnú zmluvu:

Prevádzkovateľ základnej služby je povinný pri výkone činnosti, ktorá priamo súvisí s dostupnosťou, dôvernosťou a integritou prevádzky sietí a informačných systémov prevádzkovateľa základnej služby prostredníctvom tretej strany, uzatvoriť zmluvu o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností podľa tohto zákona počas celej doby výkonu tejto činnosti; pri uzatvorení zmluvy sa vykonáva analýza rizík.

— § 19 ods. 2 zákona č. 69/2018 Z. z.

Výnimka platí, len ak je dodávateľ sám prevádzkovateľom základnej služby alebo ak je riziko danej činnosti nízke — čo treba vedieť preukázať analýzou rizík, nie pocitom. Dodávateľský reťazec je zároveň jednou z povinných oblastí bezpečnostných opatrení podľa § 20 ods. 2 zákona č. 69/2018 Z. z. a vyhláška č. 227/2025 Z. z. v § 7 ods. 2 predpisuje minimálny obsah: záväzok dodávateľa dodržiavať bezpečnostné politiky prevádzkovateľa, jeho výslovný súhlas s nimi, rozsah a spôsob kontroly a auditu a povinnosť hlásiť incidenty a poskytnúť súčinnosť pri ich riešení. Vzor zmluvy zverejňuje Národný bezpečnostný úrad na svojom webovom sídle. Staršie zmluvy uzatvorené do konca augusta 2025 pritom nemožno predlžovať, ak s týmito požiadavkami nie sú v súlade.

Prenesenie povinností na subdodávateľov

Zmluvná kaskáda sa nekončí pri prvom dodávateľovi. Ak váš dodávateľ používa subdodávateľov, ktorí sa dostanú k vašim systémom alebo dátam, treba povinnosti zmluvne preniesť aj na nich — inak reťazec drží len po prvý článok. Do dodávateľských zmlúv preto patrí:

• hlásenie incidentov — komu, akým kanálom a dokedy. Podľa § 24 ods. 3 zákona č. 69/2018 Z. z. hlási prevádzkovateľ úradu včasné varovanie do 24 hodín a oznámenie do 72 hodín od zistenia incidentu; dodávateľská lehota preto musí byť citeľne kratšia a pojem „zistenie“ jasne definovaný;
• kontrola a audit — právo prevádzkovateľa preveriť plnenie opatrení u dodávateľa vrátane rozsahu, spôsobu a rozdelenia nákladov;
• SLA na opravy — reakčné časy pri zraniteľnostiach a incidentoch, eskalačné kontakty dostupné nepretržite a súčinnosť pri obnove prevádzky;
• ukončenie a kontinuita — exit plán, odovzdanie dát a konfigurácií a trvanie licencií potrebných na prevádzku po skončení spolupráce. Zákon zároveň pripomína, že takáto zmluva nesmie brániť hospodárskej súťaži — teda ani budovať závislosť od jediného dodávateľa.

Druhá strana stola: čo čakať, keď ste dodávateľom vy

Ak dodávate prevádzkovateľovi základnej služby IT služby, takáto zmluva vám skôr či neskôr pristane na stole — písaná optikou odberateľa. Pozor najmä na štyri miesta. Prvým je lehota na hlásenie incidentu dojednaná výrazne prísnejšie než zákonné lehoty, navyše bez definície, kedy je incident „zistený“. Druhým zodpovednosť „za výsledok“, ktorá môže vylúčiť liberačné dôvody podľa § 374 Obchodného zákonníka. Tretím zmluvné pokuty bez stropu — súd ich síce môže podľa § 301 Obchodného zákonníka znížiť, no spoliehať sa na to nie je stratégia, strop patrí priamo do zmluvy. A napokon jednostranne meniteľné bezpečnostné politiky: ak ich odberateľ môže kedykoľvek sprísniť, patrí k tomu právo dodávateľa na úpravu ceny alebo na odmietnutie zmeny, ktorá podstatne zvyšuje náklady.

Ako to uchopiť

Nastavenie povinností vrátane dodávateľských zmlúv rieši služba NIS2 a kybernetická bezpečnosť; bezpečnostné požiadavky premietneme do servisnej zmluvy so SLA aj do implementačnej zmluvy a pri väčšom počte dodávateľov drží kaskádu pokope zmluvný dohľad. Nechať si dodávateľské zmluvy preveriť sa oplatí pred vznikom prvého incidentu.