Ak ste prevádzkovateľom základnej služby, závažný kybernetický bezpečnostný incident hlásite Národnému bezpečnostnému úradu cez jednotný informačný systém kybernetickej bezpečnosti. Včasné varovanie treba poslať najneskôr do 24 hodín od zistenia, oznámenie s prvotným posúdením do 72 hodín a záverečnú správu najneskôr mesiac po oznámení. Popri hlásení musíte incident riešiť a zabezpečiť dôkazy. Ak sa hodnoverne dozviete o trestnom čine, musíte ho oznámiť polícii alebo orgánu činnému v trestnom konaní.
Keď firme vypadnú systémy alebo zistí, že sa k dátam dostal niekto cudzí, prvé hodiny patria technikom. Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti však od prevádzkovateľa základnej služby žiada, aby popri technickom zásahu splnil aj právne povinnosti v stanovených lehotách. Lehoty sa počítajú od zistenia incidentu. Nečakajú na to, kým vedenie získa úplný obraz o jeho priebehu. Postup si preto pripravte vopred.
Ktoré incidenty treba hlásiť
Povinnosť má prevádzkovateľ základnej služby, teda ten, kto je zapísaný v registri, ktorý vedie Národný bezpečnostný úrad. Či medzi ne patríte, rozoberáme v otázke vzťahuje sa na nás NIS2. Kybernetickým bezpečnostným incidentom je každá udalosť ohrozujúca dostupnosť, pravosť, integritu alebo dôvernosť údajov či služieb v sieťach a informačných systémoch. Povinne sa však hlási len incident závažný:
Za závažný kybernetický bezpečnostný incident sa považuje rozsiahly kybernetický bezpečnostný incident a kybernetický bezpečnostný incident, ktorý a) spôsobil alebo môže spôsobiť závažné narušenie fungovania prevádzkovateľa základnej služby, alebo škodu, inú ujmu na majetku alebo ušlý zisk vo veľkom rozsahu […]
Závažný je aj incident, ktorý zasiahol alebo môže zasiahnuť iné osoby tým, že im spôsobí škodu v značnom rozsahu. Rozhoduje teda aj hrozba, nielen škoda, ktorá už nastala. Popri incidentoch zákon ukladá hlásiť aj významnú kybernetickú hrozbu, udalosť odvrátenú v poslednej chvíli a niektoré zraniteľnosti verejne dostupných systémov (§ 24 ods. 5). Menej závažné udalosti možno nahlásiť dobrovoľne.
Tri hlásenia v pevných lehotách
Hlásenie podľa § 24 zákona č. 69/2018 Z. z. sa podáva cez jednotný informačný systém kybernetickej bezpečnosti a má viac častí. Najneskôr do 24 hodín od zistenia sa posiela včasné varovanie, v ktorom uvediete najmä, či incident mohol byť spôsobený protiprávnym konaním a či môže mať cezhraničný vplyv. Najneskôr do 72 hodín od zistenia nasleduje oznámenie s prvotným posúdením incidentu, jeho závažnosti a následkov. Na žiadosť jednotky CSIRT treba v určenej lehote doplniť aktualizované informácie o priebehu. Prevádzkovateľ z finančného sektora, na ktorého sa vzťahuje nariadenie (EÚ) 2022/2554 (DORA), plní povinnosť hlásenia prostredníctvom príslušného orgánu podľa tohto nariadenia a v jeho lehotách (§ 24 ods. 8).
Najneskôr jeden mesiac po oznámení sa podáva záverečná správa s podrobným opisom incidentu, jeho príčiny, druhu hrozby, prijatých opatrení a prípadného cezhraničného vplyvu (§ 24 ods. 3 písm. d)). Ak incident v tom čase ešte trvá, zákon upravuje ďalšie aktualizácie a aktualizovanú záverečnú správu. Hlásenie pritom nenahrádza bezpečnostné opatrenia, ktoré musíte dodržiavať aj naďalej (§ 24 ods. 7).
Riešenie incidentu a zabezpečenie dôkazov
Zákon k hláseniu pridáva ďalšie povinnosti (§ 19 ods. 6). Incident musíte riešiť a spolupracovať s úradom aj príslušným ústredným orgánom. V čase incidentu treba zabezpečiť dôkazy tak, aby sa dali použiť v trestnom konaní, a ak sa hodnoverne dozviete, že bol spáchaný trestný čin, oznámiť to orgánu činnému v trestnom konaní alebo Policajnému zboru. Oznamovanie incidentov v rozsahu zákona neporušuje povinnosť mlčanlivosti (§ 12 ods. 4). Ak by incident znemožnil plnenie zmluvy s dodávateľom, prevádzkovateľ ho o incidente v nevyhnutnom rozsahu informuje (§ 19 ods. 4).
Ak incident zasiahol aj osobné údaje, samostatne treba posúdiť povinnosti voči Úradu na ochranu osobných údajov a dotknutým osobám. Tieto povinnosti majú vlastné pravidlá, ktoré riešime v rámci ochrany osobných údajov.
Čo hrozí pri zmeškaní
Nenahlásenie závažného incidentu podľa § 24 ods. 1 alebo 3 je správnym deliktom, za ktorý môže úrad uložiť pokutu až do 7 000 000 eur alebo do 1,4 % celkového celosvetového ročného obratu, podľa toho, čo je vyššie (§ 31 ods. 2 písm. c)). Pri prevádzkovateľovi kritickej základnej služby je horná hranica 10 000 000 eur alebo 2 % obratu (§ 31 ods. 3). Pri určení výšky úrad prihliada najmä na spôsob, trvanie a následky porušenia.
Čo odporúčame urobiť
Vopred určte, kto vyhodnotí závažnosť incidentu, kto podá hlásenie a kto rozhodne o oznámení polícii. Zákon vyžaduje aj určenie kontaktnej osoby pre prijímanie a evidenciu hlásení (§ 20 ods. 4 písm. e)). Právnu časť vrátane interných postupov a rozdelenia zodpovednosti pripravíme v rámci služby NIS2 a kybernetická bezpečnosť. Povinnosti IT dodávateľov pri hlásení incidentov vysvetľujeme v článku NIS2 v dodávateľských zmluvách.
Odpoveď je všeobecná informácia k právnemu stavu k 12. 9. 2026 — nie je právnou službou ani nenahrádza posúdenie konkrétneho prípadu. Vaša situácia sa môže v detailoch líšiť; ak si chcete byť istí, prejdime ju spolu na konzultácii.
