Smernica NIS2 — bezpečnosť sietí a informačných systémov 2 (Network and Information Security 2)
Smernica NIS2 (smernica (EÚ) 2022/2555) je aktualizovaný a výrazne rozšírený rámec Európskej únie pre kybernetickú bezpečnosť v celej kritickej infraštruktúre. Nahrádza pôvodnú smernicu NIS (2016/1148) a prináša širšiu pôsobnosť, prísnejšie požiadavky a tvrdšie sankcie — čím sa stáva smernicou o kybernetickej bezpečnosti s najväčším dosahom v dejinách EÚ.
Kľúčové fakty
| Údaj | Informácia |
|---|---|
| Celý názov | Smernica (EÚ) 2022/2555 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti |
| Nahrádza | Smernicu NIS (2016/1148) |
| Lehota na transpozíciu | 17. októbra 2024 |
| Registrácia subjektov | Určuje ju vnútroštátne právo; dátumy v smernici: 17. januára 2025 pre poskytovateľov DNS, cloudu, dátových centier a podobných služieb (čl. 27), vnútroštátne zoznamy subjektov do 17. apríla 2025 (čl. 3) |
| Pôsobnosť | 18 sektorov (11 v prílohe I, 7 v prílohe II); podľa odhadu ~160 000 subjektov v EÚ |
| Maximálna pokuta (minimálna úroveň) | Najmenej 10 miliónov € alebo 2 % celosvetového ročného obratu, podľa toho, ktorá suma je vyššia (kľúčové subjekty); najmenej 7 miliónov € alebo 1,4 % (dôležité subjekty) |
| Zodpovednosť manažmentu | Riadiace orgány musia schvaľovať opatrenia kybernetickej bezpečnosti a dohliadať na ne a možno ich brať na zodpovednosť za porušenia (čl. 20) |
Čo sa zmenilo medzi NIS a NIS2?
| Aspekt | NIS (2016) | NIS2 (2022) |
|---|---|---|
| Pokryté sektory | 7 sektorov | 18 sektorov |
| Klasifikácia subjektov | Prevádzkovatelia základných služieb (OES) + poskytovatelia digitálnych služieb (DSP) | Kľúčové + dôležité subjekty |
| Bezpečnosť dodávateľského reťazca | Neriešená | Povinné posúdenie rizík |
| Oznamovanie incidentov | Bez zbytočného odkladu (bez pevnej lehoty) | Včasné varovanie do 24 h + oznámenie incidentu do 72 h + záverečná správa do 1 mesiaca |
| Sankcie | Rôzne podľa členského štátu | Minimálne horné hranice: najmenej 10 mil. € / 2 % (kľúčové), 7 mil. € / 1,4 % (dôležité) |
| Zodpovednosť vedenia | Nešpecifikovaná | Riadiace orgány možno brať na zodpovednosť (čl. 20) |
| Presadzovanie | Kontroly súladu pri OES; ex post pri DSP | Dohľad ex ante + ex post (kľúčové); ex post (dôležité) |
Kto musí smernicu dodržiavať?
NIS2 sa vzťahuje na stredne veľké a väčšie subjekty v sektoroch uvedených v prílohe I a prílohe II. Veľké subjekty z prílohy I sú kľúčové; stredne veľké subjekty z prílohy I a subjekty z prílohy II sú dôležité (článok 3). Na niektoré subjekty, napríklad na poskytovateľov služieb DNS a dôveryhodných služieb, sa smernica vzťahuje bez ohľadu na veľkosť:
Príloha I — sektory s vysokou kritickosťou
- Energetika (elektrina, ropa, plyn, vodík, centralizované zásobovanie teplom)
- Doprava (letecká, železničná, vodná, cestná)
- Bankovníctvo a infraštruktúra finančných trhov
- Zdravotníctvo (poskytovatelia zdravotnej starostlivosti, farmaceutický priemysel, kritické zdravotnícke pomôcky)
- Pitná voda a odpadová voda
- Digitálna infraštruktúra (DNS, registre TLD, cloud, dátové centrá, siete CDN)
- Riadenie služieb IKT (poskytovatelia riadených služieb a riadených bezpečnostných služieb)
- Verejná správa
- Vesmír
Príloha II — ďalšie kritické sektory
- Poštové a kuriérske služby
- Odpadové hospodárstvo
- Výroba a distribúcia chemických látok
- Výroba a distribúcia potravín
- Výroba (zdravotnícke pomôcky, elektronika, stroje, motorové vozidlá)
- Poskytovatelia digitálnych služieb (online trhoviská, internetové vyhľadávače, sociálne siete)
- Výskumné organizácie
Základné požiadavky
1. Opatrenia na riadenie rizík (článok 21)
Organizácie musia zaviesť minimálne:
- Politiky analýzy rizík a bezpečnosti informačných systémov
- Riešenie incidentov — detekcia, reakcia a obnova
- Kontinuita činností a krízové riadenie — vrátane zálohovania a obnovy po havárii
- Bezpečnosť dodávateľského reťazca — posúdenie rizík priamych dodávateľov a poskytovateľov služieb
- Bezpečnosť pri nadobúdaní sietí a systémov — vrátane riešenia a zverejňovania zraniteľností
- Školenia v oblasti kybernetickej bezpečnosti — aj pre vedenie
- Politiky kryptografie a šifrovania
- Bezpečnosť ľudských zdrojov — riadenie prístupu, správa aktív
- Viacfaktorová autentifikácia (MFA) a zabezpečená komunikácia
2. Oznamovanie incidentov (článok 23)
Organizácie musia oznamovať významné incidenty vnútroštátnym orgánom:
| Krok | Lehota | Obsah |
|---|---|---|
| Včasné varovanie | 24 hodín | Predpokladaná príčina, cezhraničný vplyv |
| Oznámenie incidentu | 72 hodín | Posúdenie závažnosti, vplyv, indikátory kompromitácie |
| Záverečná správa | 1 mesiac | Základná príčina, zmierňujúce opatrenia, analýza cezhraničného vplyvu |
3. Bezpečnosť dodávateľského reťazca
NIS2 výslovne vyžaduje, aby subjekty posudzovali a riadili kybernetické riziká vo svojom dodávateľskom reťazci — vrátane dodávateľov hardvéru, dodávateľov softvéru a poskytovateľov riadených služieb. To znamená, že výrobcovia hardvéru, ktorí dodávajú subjektom regulovaným smernicou NIS2, musia preukázať svoje bezpečnostné postupy.
NIS2 vs. CRA — odlišné, ale vzájomne sa dopĺňajúce
| Aspekt | NIS2 | CRA |
|---|---|---|
| Cieľ | Organizácie | Výrobky |
| Zameranie | Stav kybernetickej bezpečnosti organizácie | Bezpečnosť výrobku počas celého životného cyklu |
| Kto plní požiadavky | Kľúčové a dôležité subjekty | Výrobcovia, dovozcovia, distribútori |
| Kľúčová povinnosť | Riadenie rizík + oznamovanie incidentov | Bezpečnosť už od návrhu (security by design) + správa zraniteľností |
NIS2 zabezpečuje organizácie. CRA zabezpečuje výrobky, ktoré tieto organizácie vyrábajú. Spoločne vytvárajú komplexný rámec kybernetickej bezpečnosti EÚ.
Súvisiace pojmy
- EU Cyber Resilience Act (CRA) — Doplňujúce nariadenie, ktoré zabezpečuje výrobky.
- Secure Boot — Technické opatrenie, ktoré podporuje súlad s NIS2.
- IoT — Pripojené zariadenia v dodávateľských reťazcoch regulovaných smernicou NIS2.
Výrobcovia hardvéru, ktorí dodávajú subjektom regulovaným smernicou NIS2, musia preukázať spoľahlivé bezpečnostné postupy. Naše poradenstvo v oblasti súladu s predpismi EÚ pomáha firmám zorientovať sa v povinnostiach dodávateľského reťazca podľa NIS2 popri požiadavkách CRA na výrobky — s implementáciami embedded bezpečnosti, ktoré poskytujú auditovateľné dôkazy o opatreniach kybernetickej bezpečnosti.
Oficiálne referencie
- Smernica (EÚ) 2022/2555 (NIS2) — úplné znenie — EUR-Lex, Úradný vestník Európskej únie
- NIS2 — stránka Európskej komisie o tejto politike — Európska komisia, Digitálna stratégia