Spĺňate zákon o kybernetickej bezpečnosti? Preverte to skôr, než to preverí NBÚ.

Môže. Rozhodujúce je, či pôsobíte v niektorom zo sektorov uvedených v prílohách zákona, a či spĺňate veľkostné kritérium — spravidla aspoň 50 zamestnancov alebo ročný obrat či bilančná suma nad 10 miliónov eur. Niektoré subjekty však spadajú pod zákon bez ohľadu na veľkosť. Presné zaradenie je vždy potrebné posúdiť individuálne.

Audit vykonáva certifikovaný audítor kybernetickej bezpečnosti. Samohodnotenie vykonáva manažér kybernetickej bezpečnosti subjektu a opakuje sa raz za dva roky; môže ho využiť prevádzkovateľ základnej služby, ktorý nie je prevádzkovateľom kritickej základnej služby. Nie je to alternatíva k auditu, ale predĺženie jeho intervalu — audit zostáva povinný, len s dlhšou lehotou. Samohodnotenie je v zákone od 1. januára 2025; vyhláška č. 212/2026 Z. z. k nemu od 1. septembra 2026 doplnila postup, obsah správy a periodicitu.

Voľba medzi nimi nie je len o cene. Ak plánujete certifikáciu ISO 27001, uchádzate sa o verejné zákazky alebo dostávate bezpečnostné dotazníky od odberateľov, plný audit má často väčšiu hodnotu, aj keď zákon vyžaduje menej.

Manažér kybernetickej bezpečnosti. Túto rolu môžete obsadiť interne, alebo ju prevziať ako externú službu — to je pri menších organizáciách bežnejšie, pretože rola vyžaduje odbornú spôsobilosť, ktorú sa neoplatí budovať pre jedného človeka.

Predmetom auditu už nie sú len siete a informačné systémy, ale aj riadiace a prevádzkové technológie — teda výrobné linky, PLC, SCADA a podobné systémy. Nedajú sa auditovať rovnakými postupmi ako IT: aktívne skenovanie môže zhodiť riadiaci systém a mnohé zariadenia sa nedajú aktualizovať. Namiesto toho sa pracuje s pasívnym zberom prevádzky, segmentáciou a dokumentovanými kompenzačnými opatreniami.

Slovenská a česká úprava sú samostatné. Česko prijalo nový zákon č. 264/2025 Sb. s účinnosťou od 1. novembra 2025 a vlastným režimom ohlasovania voči NÚKIB. Ak vaša skupina prevádzkuje službu v oboch krajinách, spravidla riešite obe úpravy súbežne — hoci veľkú časť dokumentácie a hodnotenia rizík viete použiť pre obe.

To je dnes najčastejší dôvod, prečo nás oslovujú firmy mimo priamej pôsobnosti zákona. Regulované subjekty musia riadiť riziká dodávateľského reťazca, a preto požiadavky prenášajú na svojich dodávateľov zmluvne. Pomôžeme vám dotazník vyhodnotiť, pripraviť podloženú odpoveď a doplniť to, čo vám reálne chýba — spravidla v podstatne menšom rozsahu, než by vyžadoval plný súlad.

Závisí to od veľkosti organizácie, počtu lokalít a od toho, či máte zavedený systém riadenia informačnej bezpečnosti. Gap analýza spravidla trvá dva až štyri týždne, implementácia tri až šesť mesiacov. Presný rozsah aj cenu vieme povedať po úvodnom tridsaťminútovom hovore — je bezplatný a nezáväzný.