Vyhláška Národného bezpečnostného úradu o bezpečnostných opatreniach

VYHLÁŠKA

Národného bezpečnostného úradu

z 26. augusta 2025

Národný bezpečnostný úrad (ďalej len „úrad“) podľa § 32 ods. 1 písm. b) zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon“) ustanovuje:

§ 1

Táto vyhláška ustanovuje obsah bezpečnostných opatrení, rozsah všeobecných bezpečnostných opatrení pre siete a informačné systémy a operačné technológie a obsah a štruktúru bezpečnostnej dokumentácie podľa § 20 zákona.

§ 2

Na účely tejto vyhlášky sa rozumie

a)

aktívom hmotný alebo nehmotný komponent informačnej architektúry, ktorý má pre prevádzkovateľa základnej služby hodnotu, najmä služby, procesy, informácie alebo údaje,

b)

primárnym aktívom aktívum, ktoré je nevyhnutné na dosiahnutie cieľov prevádzkovateľa základnej služby,

c)

podporným aktívom aktívum, na ktorom je závislé jedno alebo viacero primárnych aktív,

d)

bezpečnostnou politikou dokumentácia, ktorá určuje smerovanie prevádzkovateľa základnej služby v oblasti kybernetickej bezpečnosti na úrovni riadenia a určuje povinnosti, zodpovednosti, požiadavky, zákazy a zásady správania sa v jednotlivých oblastiach kybernetickej bezpečnosti,

e)

bezpečnostným štandardom súbor pravidiel spojených s kybernetickou bezpečnosťou, ktoré jednotne interpretujú požiadavky bezpečnostných politík v konkrétnych situáciách, určujú aktivity, hlavné pravidlá, zodpovednosti a organizáciu riadenia kybernetickej bezpečnosti a ktorých účelom je vytvorenie jednotného prostredia pre dodržiavanie bezpečnostných politík.

§ 3

(1)

Bezpečnostné opatrenia tvoria opatrenia podľa § 20 ods. 4 zákona, ktoré sú minimálne bezpečnostné opatrenia a

a)

opatrenia pre oblasti kybernetickej bezpečnosti podľa § 20 ods. 2 zákona, alebo

b)

sektorové bezpečnostné opatrenia, ak sú ustanovené.

(2)

Rozsah všeobecných bezpečnostných opatrení pre oblasti kybernetickej bezpečnosti podľa § 20 ods. 2 zákona je uvedený v prílohe č. 1 a určuje sa na základe analýzy rizík.

§ 4

(1)

Bezpečnostná dokumentácia obsahuje

a)

schválenú stratégiu kybernetickej bezpečnosti určujúcu ciele, ktoré je potrebné v riadení kybernetickej bezpečnosti dosiahnuť, spolu s uvedením základných princípov na ich dosiahnutie a určením právomocí a zodpovedností za systémy manažérstva, riadenie rizík a aktualizáciu bezpečnostnej dokumentácie,

b)

schválené bezpečnostné politiky pre jednotlivé oblasti riadenia kybernetickej bezpečnosti vrátane opisu súvisiacej organizačnej štruktúry, procesov a väzieb, pracovných rolí, zodpovednosti a delenia právomocí a opisu rámca riadenia bezpečnostných rizík,

c)

vykonanú klasifikáciu informácií podľa prílohy č. 2; ak prevádzkovateľ základnej služby disponuje vlastnou metodikou pre klasifikáciu informácií, vykoná sa mapovanie na klasifikačné stupne v súlade s prílohou č. 2,

d)

určenie sietí a informačných systémov a operačných technológií do príslušnej kategórie informačných a komunikačných technológií alebo operačných technológií; v prípade nejednoznačnosti rozhodne o určení kategórie prevádzkovateľ základnej služby,

e)

vykonanú analýzu rizík a určenie úrovne identifikovaných rizík, akceptovaných rizík a zvyškových rizík pre aktíva spolu so zoznamom aktív,

f)

zadokumentované určenie rozsahu a spôsobu prijatia, dodržiavania a vykonávania bezpečnostných opatrení vrátane odôvodnenia neprijatia bezpečnostného opatrenia podľa § 5 ods. 1 písm. e),

g)

poslednú záverečnú správu o výsledkoch auditu kybernetickej bezpečnosti (ďalej len „audit“) podľa § 29 zákona,

h)

iné dokumenty, ak to ustanovuje osobitný predpis.1)

(2)

Zadokumentované určenie rozsahu a spôsobu podľa odseku 1 písm. f) obsahuje najmä zoznam prijatých a neprijatých bezpečnostných opatrení a s nimi súvisiace schémy a základné opisy

a)

topológie a infraštruktúry operačných technológií,

b)

topológie a infraštruktúry informačných a komunikačných technológií,

c)

súvisiacej aplikačnej architektúry,

d)

súvisiacej bezpečnostnej architektúry.

§ 5

(1)

Riadenie rizík obsahuje

a)

identifikáciu aktív postupmi podľa § 6,

b)

identifikáciu rizík, ktorej súčasťou je aj opis prijatých a vykonávaných bezpečnostných opatrení,

c)

analýzu rizík; ak prevádzkovateľ základnej služby disponuje vlastnou bezpečnostnou metodikou, vykoná sa mapovanie na úrovne rizika v súlade so štruktúrou uvedenou v bezpečnostnej metodike zverejnenej na webovom sídle úradu,

d)

hodnotenie rizík,

e)

prijatie bezpečnostných opatrení v závislosti od identifikovaných rizík vrátane informácie, ktoré bezpečnostné opatrenia sú prijaté a ktoré bezpečnostné opatrenia nie sú prijaté spolu s odôvodnením,

f)

preskúmavanie identifikovaných rizík najmenej raz ročne a v závislosti od výsledkov aj aktualizáciu rizík a revíziu prijatých bezpečnostných opatrení.

(2)

Súčasťou riadenia rizík je analýza funkčného vplyvu, ktorá pozostáva z hodnotenia vplyvu na činnosť prevádzkovateľa základnej služby spôsobeného krízovým scenárom, ktorý môže zasiahnuť zdroje a aktíva podporujúce procesy prevádzkovateľa základnej služby alebo spôsobiť ohrozenie alebo narušenie kontinuity jeho služieb. Súčasťou analýzy funkčného vplyvu je určenie cieľovej doby obnovy a cieľového bodu obnovy.

(3)

Určenie úrovne identifikovaného rizika sa vykoná vopred nastaveným súborom pravidiel, ktoré umožnia určiť vopred definované úrovne rizika pre najhoršie scenáre. Na určenie úrovne identifikovaného rizika podľa prvej vety sa použijú štandardné a rovnaké metodické postupy.

(4)

Scenáre rizík predstavujú špecifické situácie realizácie rizík v kontexte vybraných aktív, pričom môžu byť kombináciou viacerých aktív, kybernetických hrozieb, zraniteľností a ich následkov ako sled alebo kombinácia udalostí vedúcich od počiatočnej príčiny k nežiaducemu následku kybernetického bezpečnostného incidentu.

(5)

Pre potreby analýzy rizík sa prvky zoznamov aktív, hrozieb, zraniteľností a následkov môžu združiť do jednotlivých skupín; tieto skupiny je možné použiť univerzálne pre identifikované scenáre.

(6)

Analýzou rizík podľa odseku 1 písm. c) sa určuje pravdepodobnosť vzniku škodlivej udalosti, ktorá môže byť spôsobená zneužitím existujúcej zraniteľnosti aktíva potenciálnymi hrozbami v spojitosti s existujúcimi bezpečnostnými opatreniami. V rámci analýzy rizík sú identifikované následky pri narušení dôvernosti, integrity alebo dostupnosti aktíva.

(7)

Výsledky analýzy rizík a návrhy bezpečnostných opatrení v nadväznosti na identifikované riziká preukázateľným spôsobom schvaľuje osoba podľa § 20 ods. 4 písm. h) zákona.

§ 6

(1)

Aktívum sa identifikuje a vedie v evidencii aktív. Evidencia aktív sa skladá z identifikovateľných primárnych aktív a podporných aktív.

(2)

Aktíva sa identifikujú tak, že sú jednoznačne určené hranice jednotlivých sietí a informačných systémov a rozhrania medzi určenými hranicami.

(3)

Evidencia aktív je centralizovane riadená a zodpovedá aktuálnemu stavu.

(4)

Evidencia aktív sa môže skladať z textovej časti, tabuľkovej časti alebo grafickej časti a jej súčasťou je aj označenie bezpečnostných funkcií podporných aktív alebo odkazy na príslušnú časť bezpečnostnej dokumentácie týchto funkcií.

(5)

Evidencia aktív obsahuje najmä identifikáciu a evidenciu

a)

primárnych aktív,

b)

podporných aktív,

c)

vlastníkov aktív,

d)

zodpovedných osôb za identifikáciu a evidenciu aktív.

(6)

Podporné aktívum, ktoré súvisí s viacerými primárnymi aktívami, preberá najvyššiu hodnotu zo súvisiacich aktív.

§ 7

(1)

Bezpečnostné opatrenia sa navrhujú, prijímajú a vykonávajú tak, aby ošetrili všetky riziká identifikované v rámci vykonanej analýzy rizík, naplnili požiadavky stratégie kybernetickej bezpečnosti, bezpečnostnej politiky a bezpečnostných opatrení podľa § 3 až 6.

(2)

Zmluva podľa § 19 ods. 2 zákona obsahuje najmä

a)

záväzok dodávateľa na výkon činnosti, ktorá priamo súvisí s dostupnosťou, dôvernosťou a integritou prevádzky sietí a informačných systémov prevádzkovateľa základnej služby (ďalej len „tretia strana“) dodržiavať bezpečnostné politiky prevádzkovateľa základnej služby,

b)

vyjadrenie súhlasu tretej strany s uvedenými bezpečnostnými politikami,

c)

ustanovenie o rozsahu, spôsobe a možnosti vykonávania kontrolných činností a auditu prevádzkovateľom základnej služby u tretej strany,

d)

ustanovenie o povinnosti informovať prevádzkovateľa základnej služby o kybernetickom bezpečnostnom incidente a o skutočnostiach majúcich vplyv na zabezpečovanie kybernetickej bezpečnosti a poskytnúť súčinnosť pri jeho riešení.

(3)

Vzor bezpečnostnej dokumentácie a vzor zmluvy podľa § 19 ods. 2 zákona sa zverejnia na webovom sídle úradu.

§ 8

Zmluva podľa § 19 ods. 2 zákona uzatvorená do 31. augusta 2025 ostáva v platnosti najneskôr do doby pôvodne v nej dohodnutej; túto dobu nemožno po 31. auguste 2025 predĺžiť, ak už uzatvorená zmluva nie je v súlade s bezpečnostnými opatreniami podľa § 3 až 7. Týmto ustanovením nie je dotknutý § 34b ods. 5 zákona.

§ 9

Zrušuje sa vyhláška Národného bezpečnostného úradu č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení v znení vyhlášky č. 264/2023 Z. z.

§ 10

Touto vyhláškou sa preberajú právne záväzné akty Európskej únie uvedené v prílohe č. 3.

§ 11

Táto vyhláška nadobúda účinnosť 1. septembra 2025.

Roman Konečný v. r.