Smernica NIS2 presunula kybernetickú bezpečnosť z technickej agendy medzi rozhodnutia vedenia. Slovenský zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti to nerobí jednou vetou o osobnej zodpovednosti štatutára. Ukladá prevádzkovateľovi základnej služby sériu povinností, ktoré sa bez vedenia splniť nedajú: schvaľovanie opatrení, pravidelné informovanie, pridelenie zdrojov a určenie zodpovedných osôb. Tento článok je pre konateľov a členov predstavenstva firiem, ktoré sú zapísané v registri Národného bezpečnostného úradu alebo sa doň chystajú.
Čo zákon ukladá priamo vedeniu
Prvou povinnosťou je, aby sa vedenie o kybernetických rizikách vôbec dozvedalo. Prevádzkovateľ musí vytvoriť a zaviesť účinný mechanizmus včasného informovania štatutárneho orgánu a zodpovedných vedúcich zamestnancov o hrozbách, zraniteľnostiach, incidentoch, udalostiach odvrátených v poslednej chvíli, výsledkoch analýzy rizík a stave ich ošetrenia (§ 19 ods. 6 písm. h)). Nestačí teda, že IT oddelenie o probléme vie. Zákon chce, aby informácia preukázateľne došla k tým, ktorí rozhodujú.
Druhou povinnosťou je určiť, kto za čo zodpovedá. Medzi minimálne bezpečnostné opatrenia patrí určenie konkrétnej osoby alebo osôb zodpovedných za schvaľovanie bezpečnostných opatrení, dohľad, kontrolu a audit, zabezpečenie primeraných zdrojov na riadenie kybernetickej bezpečnosti a za vzdelávanie (§ 20 ods. 4 písm. h)). Vyhláška NBÚ č. 227/2025 Z. z. na túto osobu nadväzuje: výsledky analýzy rizík a návrhy bezpečnostných opatrení musí preukázateľným spôsobom schváliť práve ona (§ 5 ods. 7 vyhlášky). Bezpečnostná dokumentácia musí obsahovať schválenú stratégiu kybernetickej bezpečnosti a schválené bezpečnostné politiky (§ 4 ods. 1 písm. a) a b) vyhlášky).
Tretia povinnosť sa týka ľudí. Prevádzkovateľ musí prideliť úlohy, roly a zodpovednosti a zabezpečiť primerané vzdelávanie a preškoľovanie pre všetky zavedené roly (§ 20 ods. 4 písm. g) a i)). Samostatnú povinnosť školenia štatutára slovenský zákon výslovne neformuluje a podrobnosti o vzdelávaní ponecháva na vykonávací predpis úradu (§ 32 ods. 1 písm. h)). Ak je však vedenie tým, kto opatrenia schvaľuje, je v jeho záujme rozumieť tomu, čo podpisuje. Úradu treba napokon oznamovať aj menovanie alebo zmenu štatutárneho orgánu, ak nejde o referenčný údaj (§ 19 ods. 6 písm. i)).
Manažér kybernetickej bezpečnosti vedenie nenahrádza
Zákon vyžaduje manažéra kybernetickej bezpečnosti, ktorý je pri návrhu, prijímaní a presadzovaní opatrení nezávislý od štruktúry riadenia prevádzky a vývoja IT a spĺňa znalostné štandardy (§ 20 ods. 4 písm. a)). Je to dôležitá rola, ale je to iná rola ako schvaľovanie a pridelenie zdrojov. Manažér navrhuje a presadzuje, schvaľuje a financuje však ten, koho firma určí podľa § 20 ods. 4 písm. h). Ak táto hranica nie je v interných predpisoch jasne nakreslená, pri kontrole sa ťažko preukazuje, kto rozhodol o akceptovaní rizika.
Keď sa povinnosti neplnia
Hlavným adresátom sankcií je firma. Za porušenie väčšiny povinností podľa § 19 ods. 6 vrátane mechanizmu informovania vedenia môže úrad uložiť prevádzkovateľovi pokutu až do 7 000 000 eur alebo 1,4 % celosvetového ročného obratu, pri kritickej základnej službe až do 10 000 000 eur alebo 2 % obratu (§ 31 ods. 2 a 3). Fyzická osoba, ktorá nepostupovala v súlade s prijatými technickými, organizačnými alebo personálnymi opatreniami, sa dopúšťa priestupku s pokutou od 100 do 5 000 eur (§ 30 ods. 1 písm. d) a ods. 2).
Pri prevádzkovateľovi kritickej základnej služby ide zákon ďalej a siaha priamo na osoby vo vedení:
Ak prevádzkovateľ základnej služby, ktorý prevádzkuje kritickú základnú službu, nesplní povinnosť podľa odseku 1 písm. a) alebo písm. b), ani v dodatočnej lehote určenej vo výzve úradu, môže úrad podľa závažnosti, rozsahu, dĺžky trvania, následkov a povahy zistených nedostatkov zakázať štatutárnemu orgánu prevádzkovateľa základnej služby alebo členovi štatutárneho orgánu prevádzkovateľa základnej služby, jeho vedúcemu zamestnancovi na najvyššej úrovni riadenia zodpovednému za príslušnú činnosť alebo výkonom tejto činnosti poverenému splnomocnencovi vykonávať ich funkciu, zamestnanie alebo činnosť u prevádzkovateľa základnej služby, a to až do doby splnenia týchto povinností.
Odkazované povinnosti sú audit kybernetickej bezpečnosti a opatrenia na nápravu, ktoré úrad uložil. Zákaz teda neprichádza bez varovania, ale po nesplnení výzvy úradu aj v dodatočnej lehote.
Zodpovednosť voči vlastnej spoločnosti
Popri verejnoprávnych sankciách platí aj obchodné právo. Konateľ s.r.o. je povinný vykonávať pôsobnosť s odbornou starostlivosťou, zaobstarať si a pri rozhodovaní zohľadniť všetky dostupné informácie a spoločnosti nahradiť škodu, ktorú porušením povinností spôsobil (§ 135a ods. 1 a 2 Obchodného zákonníka). Ak spoločnosti vznikne škoda, napríklad z výpadku prevádzky po incidente, zodpovednosti sa konateľ zbaví, len ak preukáže, že postupoval s odbornou starostlivosťou a v dobrej viere, že koná v záujme spoločnosti (§ 135a ods. 3). Dohody, ktoré zodpovednosť konateľa vylučujú alebo obmedzujú, sú zakázané (§ 135a ods. 4). Pri obrane preto rozhoduje záznam o tom, že vedenie dostávalo informácie, riziká posúdilo a o opatreniach rozhodlo.
Ako to nastaviť v praxi
Odporúčame najmä štyri kroky. Po prvé, v interných predpisoch pomenovať osobu podľa § 20 ods. 4 písm. h) a oddeliť jej právomoci od roly manažéra kybernetickej bezpečnosti. Po druhé, zaviesť pravidelné písomné informovanie vedenia a pri mimoriadnych udalostiach okamžité. Po tretie, schválenia analýzy rizík, stratégie a politík dokumentovať uznesením alebo zápisnicou. Po štvrté, premietnuť rozdelenie úloh do zmluvy o výkone funkcie, aby bolo zrejmé, kto z vedenia za oblasť zodpovedá.
Právnu časť vrátane rozdelenia zodpovednosti a interných predpisov pripravíme v rámci služby NIS2 a kybernetická bezpečnosť, úpravu povinností konateľov v rámci služby zmluva o výkone funkcie. Súvisiace povinnosti rozoberáme v otázkach audit kybernetickej bezpečnosti a samohodnotenie a komu a do kedy hlásiť kybernetický útok, zmluvnú stranu v článku NIS2 v dodávateľských zmluvách.
Článok je všeobecná právna informácia k stavu ku dňu 12. 9. 2026 — nie je právnou službou ani radou k vašej konkrétnej veci. Právne predpisy sa menia a vaša situácia sa môže v detailoch líšiť; pred rozhodnutím si postup overte alebo sa nám ozvite.
