Závisí to od dvoch vecí naraz: či vaša činnosť patrí do sektorov v prílohe č. 1 alebo č. 2 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a či dosahujete aspoň veľkosť stredného podniku — spravidla aspoň 50 zamestnancov alebo súčasne obrat aj bilančnú sumu nad 10 miliónov eur. Ak áno, musíte sa sami identifikovať a do 60 dní od začatia činnosti to oznámiť Národnému bezpečnostnému úradu. Pozor na výnimky: niektoré subjekty sa registrujú bez ohľadu na veľkosť a do veľkosti sa počíta aj skupina.
NIS2 nie je na Slovensku samostatný zákon. Smernicu (EÚ) 2022/2555 transponovala novela č. 366/2024 Z. z. do zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti s účinnosťou od
- januára 2025. Otázka teda v skutočnosti znie: ste prevádzkovateľom základnej služby podľa tohto zákona?
Rozhoduje sektor a veľkosť naraz
Do registra prevádzkovateľov základnej služby patrí podľa § 17 ods. 1 písm. e) zákona č. 69/2018 Z. z. osoba, ktorá spĺňa najmenej podmienky veľkosti pre stredný podnik a vykonáva činnosť v niektorom zo sektorov podľa prílohy č. 1 alebo prílohy č. 2. Prílohy siahajú ďaleko za klasickú kritickú infraštruktúru — patrí sem napríklad aj výroba zdravotníckych pomôcok či výroba, spracovanie a distribúcia potravín. Prahom veľkosti je spravidla aspoň 50 zamestnancov alebo súčasné prekročenie ročného obratu aj bilančnej sumy 10 miliónov eur; vychádza sa z pravidiel EÚ o vymedzení mikropodnikov, malých a stredných podnikov (2003/361/ES), na ktoré zákon nadväzuje.
Zákon stojí na princípe samoidentifikácie — posúdiť, či ste v zábere, je v prvom rade vaša úloha, nie úradu. Platí:
Ten, kto vykonáva činnosť podľa odseku 1 je povinný do 60 dní odo dňa, kedy činnosť začne vykonávať, oznámiť to úradu.
Oznámenie sa podáva formulárom cez ústredný portál verejnej správy. Úrad následne oznámi zápis do registra; práva a povinnosti vznikajú dňom uvedeným v oznámení, najskôr tridsiatym dňom po zápise (§ 17 ods. 4 a 5).
Kde sa firmy najčastejšie pomýlia
Veľkosť nerozhoduje vždy. Podľa § 17 ods. 1 písm. c) a h) sa bez ohľadu na veľkosť zapisujú okrem iného podniky poskytujúce verejné elektronické komunikačné siete a služby, poskytovatelia dôveryhodných služieb, správcovia TLD, poskytovatelia služby DNS a služby registrácie domén, aj jediný poskytovateľ kľúčovej služby v SR.
Skupina sa počíta. Veľkosť podniku sa neposudzuje izolovane — podľa pravidiel o vymedzení MSP sa započítavajú aj partnerské a prepojené podniky, takže slovenská dcéra veľkej zahraničnej skupiny môže byť „stredným podnikom“ aj s hŕstkou vlastných zamestnancov. Cezhraničné štruktúry a služby riadené z materskej spoločnosti rieši NBÚ v osobitných výkladových stanoviskách. A sídlo v zahraničí samo osebe nechráni: poskytovateľov digitálnych služieb, napríklad cloudu, DNS, online trhov či sociálnych sietí, možno do registra zapísať aj bez sídla v SR (§ 2 ods. 2).
Napokon, rozhoduje skutočne vykonávaná činnosť — lehota beží odo dňa, keď ste činnosť v regulovanom sektore reálne začali, nie od zápisu predmetu podnikania do registra.
Čo nasleduje po registrácii
Zápis je začiatok, nie koniec. Zákon ukladá prijať bezpečnostné opatrenia, ktorých podrobnosti určuje vyhláška NBÚ č. 227/2025 Z. z. o bezpečnostných opatreniach, a hlásiť kybernetické bezpečnostné incidenty. V praxi to znamená internú dokumentáciu, určenie zodpovedností a premietnutie požiadaviek do zmlúv s IT dodávateľmi.
Ak pôsobíte aj v Česku
Česko išlo cestou úplne nového predpisu: zákon č. 264/2025 Sb. o kybernetické bezpečnosti je účinný od 1. novembra 2025 a posúdenie aj registrácia u NÚKIB bežia podľa vlastných pravidiel. Skupina pôsobiaca v oboch krajinách preto potrebuje dve samostatné posúdenia.
S čím vieme pomôcť
Posúdime, či do príloh zákona patríte, a pripravíme registráciu aj nastavenie povinností v rámci služby NIS2 a kybernetická bezpečnosť. Vnútornú dokumentáciu pokryjú interné predpisy a smernice a bezpečnostné požiadavky voči dodávateľom premietneme do servisnej zmluvy a SLA.
Ak ste prahy veľkosti prekročili len nedávno, ozvite sa čím skôr — šesťdesiatdňová lehota beží odo dňa, keď ste činnosť začali vykonávať.
Odpoveď je všeobecná informácia k právnemu stavu k 10. 9. 2026 — nie je právnou službou ani nenahrádza posúdenie konkrétneho prípadu. Vaša situácia sa môže v detailoch líšiť; ak si chcete byť istí, prejdime ju spolu na konzultácii.
