Ak ste prevádzkovateľom základnej služby, závažný kybernetický bezpečnostný incident hlásite Národnému bezpečnostnému úradu cez jednotný informačný systém kybernetickej bezpečnosti. Včasné varovanie treba poslať najneskôr do 24 hodín od zistenia, oznámenie s prvotným posúdením do 72 hodín a záverečnú správu najneskôr mesiac po oznámení. Popri hlásení musíte incident riešiť, zabezpečiť dôkazy a trestný čin, o ktorom sa hodnoverne dozviete, oznámiť polícii alebo orgánu činnému v trestnom konaní.
Keď firme vypadnú systémy alebo zistí, že sa k dátam dostal niekto cudzí, prvé hodiny patria technikom. Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti však od prevádzkovateľa základnej služby žiada, aby popri technickom zásahu bežali aj právne kroky s pevnými lehotami. Lehoty sa počítajú od zistenia incidentu, nie od chvíle, keď má vedenie úplný obraz, preto je dobré poznať postup skôr, než ho budete potrebovať.
Čo sa hlási a čo nie
Povinnosť má prevádzkovateľ základnej služby, teda ten, kto je zapísaný v registri, ktorý vedie Národný bezpečnostný úrad. Či medzi ne patríte, rozoberáme v otázke vzťahuje sa na nás NIS2. Kybernetickým bezpečnostným incidentom je každá udalosť ohrozujúca dostupnosť, pravosť, integritu alebo dôvernosť údajov či služieb v sieťach a informačných systémoch. Povinne sa však hlási len incident závažný:
Za závažný kybernetický bezpečnostný incident sa považuje rozsiahly kybernetický bezpečnostný incident a kybernetický bezpečnostný incident, ktorý a) spôsobil alebo môže spôsobiť závažné narušenie fungovania prevádzkovateľa základnej služby, alebo škodu, inú ujmu na majetku alebo ušlý zisk vo veľkom rozsahu […]
Závažný je aj incident, ktorý zasiahol alebo môže zasiahnuť iné osoby tým, že im spôsobí škodu v značnom rozsahu. Rozhoduje teda aj hrozba, nielen škoda, ktorá už nastala. Popri incidentoch zákon ukladá hlásiť aj významnú kybernetickú hrozbu, udalosť odvrátenú v poslednej chvíli a niektoré zraniteľnosti verejne dostupných systémov (§ 24 ods. 5). Menej závažné udalosti možno nahlásiť dobrovoľne.
Tri hlásenia v pevných lehotách
Hlásenie podľa § 24 zákona č. 69/2018 Z. z. sa podáva cez jednotný informačný systém kybernetickej bezpečnosti a má viac častí. Najneskôr do 24 hodín od zistenia sa posiela včasné varovanie, v ktorom uvediete najmä, či incident mohol byť spôsobený protiprávnym konaním a či môže mať cezhraničný vplyv. Najneskôr do 72 hodín od zistenia nasleduje oznámenie s prvotným posúdením incidentu, jeho závažnosti a následkov. Na žiadosť jednotky CSIRT treba v určenej lehote doplniť aktualizované informácie o priebehu. Prevádzkovateľ z finančného sektora, na ktorého sa vzťahuje nariadenie (EÚ) 2022/2554 (DORA), plní povinnosť hlásenia prostredníctvom príslušného orgánu podľa tohto nariadenia a v jeho lehotách (§ 24 ods. 8).
Najneskôr jeden mesiac po oznámení sa podáva záverečná správa s podrobným opisom incidentu, jeho príčiny, druhu hrozby, prijatých opatrení a prípadného cezhraničného vplyvu (§ 24 ods. 3 písm. d)). Ak incident v tom čase ešte trvá, zákon upravuje ďalšie aktualizácie a aktualizovanú záverečnú správu. Hlásenie pritom nenahrádza bezpečnostné opatrenia, ktoré musíte dodržiavať aj naďalej (§ 24 ods. 7).
Popri hlásení: riešenie, dôkazy a polícia
Zákon k hláseniu pridáva ďalšie povinnosti (§ 19 ods. 6). Incident musíte riešiť a spolupracovať s úradom aj príslušným ústredným orgánom. V čase incidentu treba zabezpečiť dôkazy tak, aby sa dali použiť v trestnom konaní, a ak sa hodnoverne dozviete, že bol spáchaný trestný čin, oznámiť to orgánu činnému v trestnom konaní alebo Policajnému zboru. Obavy z mlčanlivosti hlásenie nebrzdia: oznamovanie incidentov v rozsahu zákona nie je porušením povinnosti mlčanlivosti (§ 12 ods. 4). Ak by incident znemožnil plnenie zmluvy s dodávateľom, prevádzkovateľ ho o incidente v nevyhnutnom rozsahu informuje (§ 19 ods. 4).
Ak incident zasiahol aj osobné údaje, samostatne treba posúdiť povinnosti voči Úradu na ochranu osobných údajov a dotknutým osobám. To je iný režim s vlastnými pravidlami a patrí do ochrany osobných údajov.
Čo hrozí pri zmeškaní
Nenahlásenie závažného incidentu podľa § 24 ods. 1 alebo 3 je správnym deliktom, za ktorý môže úrad uložiť pokutu až do 7 000 000 eur alebo do 1,4 % celkového celosvetového ročného obratu, podľa toho, čo je vyššie (§ 31 ods. 2 písm. c)). Pri prevádzkovateľovi kritickej základnej služby je horná hranica 10 000 000 eur alebo 2 % obratu (§ 31 ods. 3). Pri určení výšky úrad prihliada najmä na spôsob, trvanie a následky porušenia.
Čo odporúčame urobiť
Postup pri incidente nastavte vopred: kto incident vyhodnocuje ako závažný, kto hlásenie podáva a kto rozhoduje o oznámení polícii. Zákon vyžaduje aj určenie kontaktnej osoby pre prijímanie a evidenciu hlásení (§ 20 ods. 4 písm. e)). Právnu časť vrátane interných postupov a rozdelenia zodpovednosti pripravíme v rámci služby NIS2 a kybernetická bezpečnosť. Ako preniesť hlásenie incidentov na IT dodávateľov, píšeme v článku NIS2 v dodávateľských zmluvách.
Odpoveď je všeobecná informácia k právnemu stavu k 12. 9. 2026 — nie je právnou službou ani nenahrádza posúdenie konkrétneho prípadu. Vaša situácia sa môže v detailoch líšiť; ak si chcete byť istí, prejdime ju spolu na konzultácii.
