Директива NIS2 перенесла кібербезпеку з технічного порядку денного до рішень керівництва. Словацький закон № 69/2018 Z. z. про кібербезпеку робить це не одним реченням про особисту відповідальність статутного органу. Він покладає на оператора основної послуги низку обов’язків, які без керівництва виконати неможливо: затвердження заходів, регулярне інформування, виділення ресурсів і визначення відповідальних осіб. Ця стаття призначена для керівників і членів правління компаній, які внесені до реєстру Національного управління безпеки або готуються до цього.
Що закон покладає безпосередньо на керівництво
Перший обов’язок полягає в тому, щоб керівництво про кіберризики взагалі дізнавалося. Оператор повинен створити та запровадити дієвий механізм раннього інформування статутного органу та відповідальних керівних працівників про загрози, вразливості, інциденти, події, відвернені в останню мить, результати аналізу ризиків і стан їх опрацювання (§ 19 ч. 6 літ. h)). Отже, недостатньо того, що про проблему знає IT-відділ. Закон вимагає, щоб інформація доказово дійшла до тих, хто ухвалює рішення.
Другий обов’язок — визначити, хто за що відповідає. До мінімальних заходів безпеки належить визначення конкретної особи або осіб, відповідальних за затвердження заходів безпеки, нагляд, контроль і аудит, за забезпечення належних ресурсів для управління кібербезпекою та за навчання (§ 20 ч. 4 літ. h)). Постанова NBÚ № 227/2025 Z. z. продовжує цю тему: результати аналізу ризиків і пропозиції заходів безпеки має доказовим способом затвердити саме вона (§ 5 ч. 7 постанови). Документація з безпеки має містити затверджену стратегію кібербезпеки та затверджені політики безпеки (§ 4 ч. 1 літ. a) і b) постанови).
Третій обов’язок стосується людей. Оператор повинен розподілити завдання, ролі та відповідальність і забезпечити належне навчання та перепідготовку для всіх запроваджених ролей (§ 20 ч. 4 літ. g) і i)). Окремого обов’язку щодо навчання статутного органу словацький закон прямо не формулює і залишає подробиці про навчання підзаконному акту управління (§ 32 ч. 1 літ. h)). Однак якщо саме керівництво є тим, хто затверджує заходи, у його інтересах розуміти те, що воно підписує. Управлінню, зрештою, потрібно повідомляти також про призначення або зміну статутного органу, якщо не йдеться про референтні дані (§ 19 ч. 6 літ. i)).
Менеджер кібербезпеки керівництва не замінює
Закон вимагає менеджера кібербезпеки, який під час розроблення, ухвалення та впровадження заходів є незалежним від структури управління експлуатацією та розвитком IT і відповідає стандартам знань (§ 20 ч. 4 літ. a)). Це важлива роль, однак це інша роль, ніж затвердження та виділення ресурсів. Менеджер пропонує та впроваджує, а затверджує й фінансує той, кого компанія визначить відповідно до § 20 ч. 4 літ. h). Якщо ця межа не проведена чітко у внутрішніх приписах, під час перевірки важко довести, хто вирішив прийняти ризик.
Коли обов’язки не виконуються
Головним адресатом санкцій є компанія. За порушення більшості обов’язків за § 19 ч. 6, включно з механізмом інформування керівництва, управління може накласти на оператора штраф до 7 000 000 євро або 1,4 % світового річного обороту, а щодо критичної основної послуги — до 10 000 000 євро або 2 % обороту (§ 31 ч. 2 і 3). Фізична особа, яка не діяла відповідно до вжитих технічних, організаційних або кадрових заходів, вчиняє проступок зі штрафом від 100 до 5 000 євро (§ 30 ч. 1 літ. d) і ч. 2).
Щодо оператора критичної основної послуги закон іде далі й сягає безпосередньо осіб у керівництві:
Якщо оператор основної послуги, який надає критичну основну послугу, не виконає обов’язку за частиною 1 літерою a) або літерою b) і в додатковому строку, визначеному у вимозі управління, управління може відповідно до тяжкості, обсягу, тривалості, наслідків і характеру виявлених недоліків заборонити статутному органу оператора основної послуги або членові статутного органу оператора основної послуги, його керівному працівникові на найвищому рівні управління, відповідальному за відповідну діяльність, або уповноваженому, якому доручено здійснення цієї діяльності, виконувати їхню функцію, роботу або діяльність в оператора основної послуги, і то до часу виконання цих обов’язків.
Обов’язки, на які є посилання, — це аудит кібербезпеки та заходи для усунення недоліків, які призначило управління. Отже, заборона не настає без попередження, а після невиконання вимоги управління і в додатковому строку.
Відповідальність перед власним товариством
Поряд із публічно-правовими санкціями діє й торговельне право. Керівник s.r.o. зобов’язаний здійснювати свої повноваження з належною дбайливістю, отримати та врахувати під час ухвалення рішень усю доступну інформацію і відшкодувати товариству шкоду, яку він спричинив порушенням обов’язків (§ 135a ч. 1 і 2 Торговельного кодексу). Якщо товариству виникає шкода, наприклад від зупинення діяльності після інциденту, керівник звільняється від відповідальності лише тоді, коли доведе, що діяв із належною дбайливістю та в добросовісному переконанні, що діє в інтересах товариства (§ 135a ч. 3). Домовленості, які виключають або обмежують відповідальність керівника, заборонені (§ 135a ч. 4). Тому під час захисту вирішальним є запис про те, що керівництво отримувало інформацію, оцінило ризики та ухвалило рішення про заходи.
Як налаштувати це на практиці
Ми рекомендуємо насамперед чотири кроки. По-перше, у внутрішніх приписах назвати особу за § 20 ч. 4 літ. h) і відокремити її повноваження від ролі менеджера кібербезпеки. По-друге, запровадити регулярне письмове інформування керівництва, а в разі надзвичайних подій — негайне. По-третє, затвердження аналізу ризиків, стратегії та політик документувати рішенням або протоколом. По-четверте, відобразити розподіл завдань у договорі про виконання функції, щоб було зрозуміло, хто з керівництва відповідає за цю сферу.
Правову частину, включно з розподілом відповідальності та внутрішніми приписами, ми підготуємо в межах послуги NIS2 та кібербезпека, а врегулювання обов’язків керівників — у межах послуги договір про виконання функції. Пов’язані обов’язки ми розглядаємо у відповідях аудит кібербезпеки та самооцінювання і кому і в який строк повідомляти про кібератаку, а договірну сторону — у статті NIS2 у договорах із постачальниками.
Ця стаття містить загальну правову інформацію станом на 12 вересня 2026 р.. Вона не є юридичною послугою чи консультацією щодо вашої конкретної справи. Законодавство змінюється, а обставини вашої ситуації можуть відрізнятися. Перед ухваленням рішення перевірте належний порядок дій або зв’яжіться з нами.
