NIS2 a kybernetická bezpečnosť v zmluvách s dodávateľmi

Registráciou u Národného bezpečnostného úradu sa povinnosti prevádzkovateľa základnej služby len začínajú. Do dvanástich mesiacov od zápisu musí prijať bezpečnostné opatrenia, ktoré sa týkajú aj vzťahov s dodávateľmi. Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti výslovne počíta s tým, že bezpečnosť treba dostať aj do zmlúv s dodávateľmi. Prevádzkovatelia zapísaní ešte podľa úpravy spred roka 2025 môžu do 31. decembra 2026 plniť opatrenia aj podľa predchádzajúcich predpisov, ako pripúšťa § 34b ods. 5 tohto zákona. Či sa režim vzťahuje na vašu firmu, rozoberáme v odpovedi NIS2: vzťahuje sa na nás?. Tu píšeme o tom, čo nasleduje po registrácii.

Kedy je zmluva s dodávateľom povinná

S tým, kto pre prevádzkovateľa základnej služby vykonáva činnosť priamo súvisiacu s bezpečnosťou jeho sietí a informačných systémov, musí mať prevádzkovateľ osobitnú zmluvu:

Prevádzkovateľ základnej služby je povinný pri výkone činnosti, ktorá priamo súvisí s dostupnosťou, dôvernosťou a integritou prevádzky sietí a informačných systémov prevádzkovateľa základnej služby prostredníctvom tretej strany, uzatvoriť zmluvu o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností podľa tohto zákona počas celej doby výkonu tejto činnosti; pri uzatvorení zmluvy sa vykonáva analýza rizík.

§ 19 ods. 2 zákona č. 69/2018 Z. z.

Výnimka platí, len ak je dodávateľ sám prevádzkovateľom základnej služby alebo ak je riziko danej činnosti nízke (§ 19 ods. 3). Nízke riziko by mala podložiť analýza rizík. Dodávateľský reťazec je zároveň jednou z povinných oblastí bezpečnostných opatrení podľa § 20 ods. 2 zákona č. 69/2018 Z. z. a vyhláška č. 227/2025 Z. z. v § 7 ods. 2 vymenúva, čo zmluva obsahuje najmä: záväzok dodávateľa dodržiavať bezpečnostné politiky prevádzkovateľa, jeho výslovný súhlas s nimi, rozsah a spôsob kontroly a auditu a povinnosť informovať o incidentoch a poskytnúť súčinnosť pri ich riešení. Vzor zmluvy zverejňuje Národný bezpečnostný úrad na svojom webovom sídle. Staršie zmluvy uzatvorené do konca augusta 2025 ostávajú v platnosti najdlhšie do doby v nich pôvodne dohodnutej, ale ak s týmito požiadavkami nie sú v súlade, po 31. auguste 2025 ich nemožno predĺžiť (§ 8 vyhlášky).

Prenesenie povinností na subdodávateľov

Ak váš dodávateľ používa subdodávateľov, ktorí sa dostanú k vašim systémom alebo dátam, odporúčame preniesť zmluvné povinnosti aj na nich. Inak sa ochrana zabezpečená zmluvou skončí pri priamom dodávateľovi. Do dodávateľských zmlúv preto patrí:

• Hlásenie incidentov. Určite, komu, akým kanálom a dokedy sa incident hlási. Podľa § 24 ods. 3 zákona č. 69/2018 Z. z. hlási prevádzkovateľ závažný kybernetický bezpečnostný incident bez zbytočného odkladu. Včasné varovanie musí podať najneskôr do 24 hodín a oznámenie najneskôr do 72 hodín od jeho zistenia (poskytovateľ dôveryhodných služieb aj oznámenie do 24 hodín). Dodávateľská lehota by preto mala byť kratšia a pojem „zistenie“ jasne definovaný.
• Kontrola a audit. Dohodnite právo prevádzkovateľa preveriť plnenie opatrení u dodávateľa vrátane rozsahu, spôsobu a rozdelenia nákladov.
• SLA na opravy. Zmluva má určiť reakčné časy pri zraniteľnostiach a incidentoch, eskalačné kontakty dostupné nepretržite a súčinnosť pri obnove prevádzky.
• Ukončenie a kontinuita. Pamätajte na exit plán, odovzdanie dát a konfigurácií a trvanie licencií potrebných na prevádzku po skončení spolupráce. Zákon zároveň výslovne uvádza, že uzatvorenie takejto zmluvy nesmie brániť v hospodárskej súťaži (§ 19 ods. 2).

Na čo si dať pozor z pozície dodávateľa

Ak dodávate prevádzkovateľovi základnej služby IT služby, pravdepodobne dostanete návrh zmluvy, ktorý bude chrániť najmä odberateľa. Pozornosť venujte štyrom oblastiam. Prvou je lehota na hlásenie incidentu dojednaná výrazne prísnejšie než zákonné lehoty, navyše bez definície, kedy je incident „zistený“. Druhou je zodpovednosť „za výsledok“, ktorá môže vylúčiť liberačné dôvody podľa § 374 Obchodného zákonníka. Treťou oblasťou sú zmluvné pokuty bez stropu. Súd ich síce môže podľa § 301 Obchodného zákonníka znížiť, no bezpečnejšie je dohodnúť ich strop priamo v zmluve.

Napokon skontrolujte, či odberateľ môže jednostranne meniť bezpečnostné politiky. Ak ich môže kedykoľvek sprísniť, patrí k tomu právo dodávateľa na úpravu ceny alebo na odmietnutie zmeny, ktorá podstatne zvyšuje náklady.

Príprava a kontrola zmlúv

Nastavenie povinností vrátane dodávateľských zmlúv rieši služba NIS2 a kybernetická bezpečnosť. Bezpečnostné požiadavky premietneme do servisnej zmluvy so SLA aj do implementačnej zmluvy a pri väčšom počte dodávateľov pomáha udržať zmluvy v súlade zmluvný dohľad. Nechať si dodávateľské zmluvy preveriť sa oplatí pred vznikom prvého incidentu.