Smernica NIS2 — pravidlá EÚ v oblasti kybernetickej bezpečnosti pre kľúčové a dôležité subjekty
Smernica NIS2 (smernica (EÚ) 2022/2555 o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii) je doteraz najkomplexnejším a najďalekosiahlejším právnym predpisom Európskej únie v oblasti kybernetickej bezpečnosti. NIS2, prijatá v decembri 2022 a transponovaná do vnútroštátneho práva do 17. októbra 2024, nahradila smernicu NIS z roku 2016 a priniesla dramaticky rozšírený rozsah pôsobnosti, výrazne prísnejšie povinnosti a — po prvýkrát v histórii EÚ — zodpovednosť riadiacich orgánov, ktoré musia schvaľovať opatrenia svojej organizácie v oblasti kybernetickej bezpečnosti a dohliadať na ich vykonávanie.
NIS2 pôsobí v právnom rámci EÚ pre kybernetickú bezpečnosť na strane organizácií: stanovuje, ako musia spoločnosti riadiť vlastnú kybernetickú bezpečnosť. Jej náprotivok, nariadenie EÚ Cyber Resilience Act (CRA), pôsobí na strane produktov — stanovuje, ako musia byť produkty skonštruované. Spoločne tvoria chrbticu stratégie EÚ v oblasti kybernetickej bezpečnosti do roku 2030.
Kľúčové fakty
| Údaj | Informácia |
|---|---|
| Úplná citácia | Smernica (EÚ) 2022/2555 (NIS2) |
| Uverejnenie | 27. decembra 2022 v Úradnom vestníku EÚ |
| Lehota na transpozíciu | 17. októbra 2024 |
| Nahrádza | Smernicu NIS (smernica (EÚ) 2016/1148) |
| Subjekty v rozsahu pôsobnosti | 18 sektorov (11 v prílohe I, 7 v prílohe II); podľa odhadu ~160 000 subjektov v EÚ |
| Pokuta pre kľúčové subjekty | Maximálna výška stanovená vnútroštátnym právom: aspoň 10 miliónov EUR alebo 2 % celkového celosvetového ročného obratu (podľa toho, ktorá suma je vyššia) |
| Pokuta pre dôležité subjekty | Maximálna výška stanovená vnútroštátnym právom: aspoň 7 miliónov EUR alebo 1,4 % celkového celosvetového ročného obratu (podľa toho, ktorá suma je vyššia) |
| Zodpovednosť vedenia | Riadiace orgány možno brať na zodpovednosť (čl. 20); pri kľúčových subjektoch je ako posledná možnosť prípustný dočasný zákaz vykonávať riadiace funkcie (čl. 32 ods. 5) |
| Spolupráca na úrovni EÚ | Skupina pre spoluprácu, sieť jednotiek CSIRT a EU-CyCLONe, s podporou agentúry ENISA |
Čo sa zmenilo medzi NIS a NIS2?
NIS2 nie je drobná aktualizácia — od základu zmenila prístup EÚ ku kybernetickej bezpečnosti organizácií:
| Aspekt | NIS (2016) | NIS2 (2022) |
|---|---|---|
| Pokryté sektory | 7 sektorov | 18 sektorov |
| Klasifikácia subjektov | Prevádzkovatelia základných služieb (OES) + poskytovatelia digitálnych služieb (DSP) | Kľúčové subjekty + dôležité subjekty |
| Kritérium zaradenia do pôsobnosti | Určenie členskými štátmi | Veľkosť + sektor (väčšina stredných a veľkých spoločností) |
| Bezpečnosť dodávateľského reťazca | Neriešená | Povinné posúdenie rizík dodávateľského reťazca |
| Lehoty na oznamovanie incidentov | Bez zbytočného odkladu (bez pevnej lehoty) | Včasné varovanie do 24 hodín + oznámenie o incidente do 72 hodín + záverečná správa do jedného mesiaca |
| Sankcie | Rôzne podľa členského štátu | Minimálne horné hranice: aspoň 10 mil. EUR / 2 % (kľúčové subjekty), 7 mil. EUR / 1,4 % (dôležité subjekty) |
| Zodpovednosť vedenia | Žiadna | Riadiace orgány možno brať na zodpovednosť (čl. 20) |
| Presadzovanie | Kontroly súladu pri OES; ex post pri DSP | Dohľad ex ante aj ex post nad kľúčovými subjektmi; ex post nad dôležitými subjektmi |
| Úroveň harmonizácie | Nízka (voľná úvaha členských štátov) | Vysoká (minimálne požiadavky platné v celej EÚ) |
Kto musí požiadavky plniť? Klasifikácia subjektov
NIS2 uplatňuje kritérium veľkosti v kombinácii so zaradením do sektora a opúšťa tak model určovania subjektov z pôvodnej smernice NIS. Znamená to, že veľká väčšina stredných a veľkých organizácií v pokrytých sektoroch musí požiadavky plniť — bez toho, aby čakali, kým ich vnútroštátne orgány jednotlivo určia.
Príloha I — sektory s vysokou kritickosťou
Veľké subjekty v týchto sektoroch sú kľúčové subjekty a podliehajú dohľadu ex ante aj ex post — orgány môžu vykonávať audity a inšpekcie bez toho, aby čakali na incident. Stredné subjekty v týchto sektoroch sú dôležité subjekty (článok 3):
Jedenásť sektorov:
- Energetika (výroba, distribúcia a prenos elektriny; ropa; plyn; vodík; diaľkové vykurovanie a chladenie)
- Doprava (letecká, železničná, vodná, cestná — vrátane prevádzkovateľov a manažérov infraštruktúry)
- Bankovníctvo (úverové inštitúcie)
- Infraštruktúra finančných trhov (obchodné miesta, centrálne protistrany)
- Zdravotníctvo (nemocnice, poskytovatelia zdravotnej starostlivosti, referenčné laboratóriá, výrobcovia liekov, výrobcovia zdravotníckych pomôcok zaradených do kategórií kritických pomôcok)
- Pitná voda (dodávatelia a distribútori)
- Odpadová voda (zber, likvidácia, čistenie)
- Digitálna infraštruktúra (IXP, poskytovatelia služieb DNS, správcovia názvov TLD, cloud computing, dátové centrá, poskytovatelia CDN, poskytovatelia dôveryhodných služieb, elektronické komunikačné siete)
- Riadenie služieb IKT (B2B poskytovatelia riadených služieb, poskytovatelia riadených bezpečnostných služieb)
- Verejná správa (orgány ústrednej štátnej správy)
- Vesmír (prevádzkovatelia pozemnej infraštruktúry podporujúcej vesmírne služby)
Príloha II — ďalšie kritické sektory
Stredné a väčšie subjekty v týchto sektoroch sú dôležité subjekty a podliehajú dohľadu ex post — orgány konajú na základe dôkazov alebo indícií o nedodržiavaní povinností:
Sedem sektorov:
- Poštové a kuriérske služby
- Odpadové hospodárstvo
- Výroba a distribúcia chemických látok
- Výroba, spracovanie a distribúcia potravín
- Výroba zdravotníckych pomôcok, elektronických/elektrických zariadení, strojov, motorových vozidiel a ostatných dopravných prostriedkov
- Poskytovatelia digitálnych služieb (online trhy, internetové vyhľadávače, platformy služieb sociálnych sietí)
- Výskumné organizácie (verejné a súkromné)
Zásadné pre výrobcov hardvéru: Výrobcovia elektroniky a výrobcovia zdravotníckych pomôcok patria do kategórie dôležitých subjektov. Stredný alebo veľký výrobca elektroniky alebo hardvéru IoT, ktorý dodáva do sektorov pokrytých NIS2, musí posúdiť, či priamo nepatrí do rozsahu pôsobnosti — a ak dodáva kľúčovým subjektom, musí počítať s významnými požiadavkami na bezpečnosť dodávateľského reťazca, ktoré mu uložia zákazníci.
Základné požiadavky: čo NIS2 vyžaduje
1. Opatrenia na riadenie rizík (článok 21)
NIS2 ukladá minimálny základ opatrení na riadenie kybernetických rizík, ktoré musia zaviesť všetky subjekty v rozsahu pôsobnosti. Nie sú dobrovoľné — ide o zákonné minimum:
Technické a organizačné opatrenia:
| Opatrenie | Opis |
|---|---|
| Zásady analýzy rizík a bezpečnosti informačných systémov | Systematický rámec posudzovania rizík a zdokumentované bezpečnostné politiky |
| Riešenie incidentov | Schopnosť detekcie, postupy reakcie na incidenty, pripravenosť na forenznú analýzu |
| Kontinuita činností | Záložné systémy, obnova po havárii, plány krízového riadenia |
| Bezpečnosť dodávateľského reťazca | Posúdenie rizík priamych dodávateľov a poskytovateľov služieb; zmluvné bezpečnostné povinnosti |
| Bezpečnosť pri nadobúdaní | Postupy bezpečného vývoja, riešenie zraniteľností a zverejňovanie informácií o nich v obstarávaných systémoch |
| Odborná príprava v oblasti kybernetickej bezpečnosti | Pravidelná odborná príprava, a to aj pre manažment a členov predstavenstva |
| Kryptografia a šifrovanie | Zásady používania šifrovania a kryptografických protokolov |
| Bezpečnosť ľudských zdrojov | Zásady kontroly prístupu, správa aktív, bezpečnostné preverovanie zamestnancov |
| Viacfaktorová autentifikácia | MFA pri prístupe k sieťam a informačným systémom |
| Zabezpečená komunikácia | Šifrovaná hlasová, obrazová a textová komunikácia a šifrované systémy komunikácie v núdzových situáciách |
Opatrenia musia byť primerané veľkosti subjektu, miere jeho vystavenia rizikám a nákladom na vykonávanie vo vzťahu k riziku — primeranosť však neospravedlňuje nedodržanie uvedených minimálnych opatrení.
2. Oznamovanie incidentov (článok 23)
NIS2 sprísňuje oznamovanie incidentov viacstupňovou povinnosťou:
| Stupeň | Lehota | Čo sa oznamuje |
|---|---|---|
| Včasné varovanie | 24 hodín od zistenia významného incidentu | Či existuje podozrenie, že incident bol spôsobený so zlým úmyslom; či má cezhraničný vplyv |
| Oznámenie o incidente | 72 hodín od zistenia | Posúdenie závažnosti a vplyvu; indikátory kompromitácie; prvotne zistená hlavná príčina, ak je známa |
| Záverečná správa | 1 mesiac po oznámení o incidente | Podrobný opis hlavnej príčiny; prijaté zmierňujúce opatrenia; analýza cezhraničného vplyvu |
Významný incident je taký, ktorý:
- spôsobil alebo môže spôsobiť subjektu závažné prevádzkové narušenie služieb alebo finančnú stratu, alebo
- zasiahol alebo môže zasiahnuť iné fyzické alebo právnické osoby tým, že im spôsobí značnú majetkovú alebo nemajetkovú ujmu.
Osobitné ustanovenia pre poskytovateľov služieb IKT a poskytovateľov dôveryhodných služieb môžu lehoty na oznamovanie ešte skrátiť.
3. Bezpečnosť dodávateľského reťazca (článok 21 ods. 2 písm. d))
NIS2 robí z bezpečnosti dodávateľského reťazca plnohodnotnú právnu povinnosť subjektov v rozsahu pôsobnosti:
- Subjekty musia posudzovať postupy priamych dodávateľov a poskytovateľov služieb v oblasti kybernetickej bezpečnosti.
- Zmluvy s dodávateľmi musia obsahovať doložky o kybernetickej bezpečnosti, ktoré stanovujú požadované bezpečnostné štandardy.
- Subjekty musia pravidelne vykonávať posúdenia bezpečnostných rizík dodávateľov.
- ENISA a vnútroštátne orgány môžu vydávať usmernenia alebo požiadavky týkajúce sa konkrétnych kategórií dodávateľov.
Pre výrobcov hardvéru: Ak medzi vašich zákazníkov patria kľúčové alebo dôležité subjekty podľa NIS2, majú teraz oni zákonnú povinnosť posudzovať úroveň vašej kybernetickej bezpečnosti v rámci svojich povinností v oblasti bezpečnosti dodávateľského reťazca. Vzniká tak silný trhový dopyt po tom, aby výrobcovia hardvéru preukazovali auditovateľné bezpečnostné postupy — dokumentáciu SBOM, programy riadenia zraniteľností a dôkazy o životnom cykle bezpečného vývoja. Spoločnosti, ktoré dokážu tieto dôkazy poskytovať ako štandardnú súčasť dodávky, získajú významnú konkurenčnú výhodu.
4. Zodpovednosť vedenia (článok 20)
NIS2 zavádza najvýznamnejšiu požiadavku na správu a riadenie v histórii práva EÚ v oblasti kybernetickej bezpečnosti: zodpovednosť riadiacich orgánov vrátane ich právnej zodpovednosti:
- Riadiace orgány (predstavenstvá, výkonní riaditelia) musia opatrenia na riadenie kybernetických rizík schváliť.
- Riadiace orgány musia dohliadať na ich vykonávanie.
- Členovia riadiacich orgánov musia absolvovať odbornú prípravu v oblasti kybernetickej bezpečnosti, aby získali dostatočné znalosti na posudzovanie kybernetických rizík.
- Ak sa tieto povinnosti porušia, vnútroštátne právo a orgány môžu:
- brať členov riadiacich orgánov na zodpovednosť, ako to stanovuje vnútroštátne právo
- pri kľúčových subjektoch ako poslednú možnosť požadovať, aby sa osobe uložil dočasný zákaz vykonávať riadiace funkcie (článok 32 ods. 5)
Ide o zásadný posun: kybernetická bezpečnosť už nie je výlučne záležitosťou oddelenia IT. Je to zákonná povinnosť na úrovni predstavenstva a riadiace orgány možno brať na zodpovednosť za porušenia.
NIS2 a výrobcovia hardvéru: vplyv cez dodávateľský reťazec
Aj keď výrobca hardvéru nepatrí priamo do rozsahu pôsobnosti NIS2 (napr. malá spoločnosť pod veľkostnými prahmi), NIS2 prostredníctvom dodávateľského reťazca vytvára významné požiadavky, ktoré si vynucuje trh:
Bezpečnostné požiadavky zo strany zákazníkov
Zákazníci regulovaní NIS2 majú zákonnú povinnosť posudzovať kybernetickú bezpečnosť dodávateľov. Výrobcovia hardvéru preto budú čoraz častejšie čeliť:
- bezpečnostným dotazníkom a auditom od veľkých zákazníkov
- zmluvným požiadavkám na kybernetickú bezpečnosť v dodávateľských zmluvách
- požiadavkám na poskytnutie SBOM, politík zverejňovania zraniteľností a bezpečnostných certifikácií
- možnej strate zákaziek, ak nedokážu preukázať primeranú úroveň bezpečnosti
Harmonizovaný signál dopytu
Keďže NIS2 je harmonizovaná vo všetkých 27 členských štátoch EÚ, tieto požiadavky sa uplatňujú jednotne — výrobca hardvéru, ktorý dodáva v celej EÚ, sa stretáva s konzistentnými požiadavkami bez ohľadu na to, v ktorej krajine jeho zákazník sídli.
Výrobcovia zdravotníckych pomôcok a elektroniky
Veľkí výrobcovia zdravotníckych pomôcok a elektroniky sú podľa NIS2 priamo zaradení medzi dôležité subjekty. Pre tieto spoločnosti nie je plnenie požiadaviek dobrovoľné — sú regulované priamo.
NIS2 vs. CRA — odlišné, ale vzájomne sa dopĺňajúce
Dva najdôležitejšie predpisy EÚ v oblasti kybernetickej bezpečnosti riešia rôzne rozmery toho istého problému:
| Aspekt | Smernica NIS2 | CRA (EÚ 2024/2847) |
|---|---|---|
| Primárny cieľ | Organizácie (ako fungujú) | Produkty (ako sú skonštruované) |
| Kľúčová povinnosť | Riadenie kybernetických rizík + oznamovanie incidentov | Bezpečnosť už od návrhu (security by design) + riadenie zraniteľností |
| Kto musí požiadavky plniť | Kľúčové a dôležité subjekty | Výrobcovia, dovozcovia a distribútori digitálnych produktov |
| Zodpovednosť vedenia | Áno — riadiace orgány možno brať na zodpovednosť (čl. 20) | Žiadna priama zodpovednosť vedenia |
| Oznamovanie incidentov | Včasné varovanie do 24 h národnej jednotke CSIRT alebo príslušnému orgánu | Včasné varovanie do 24 h jednotke CSIRT určenej za koordinátora a agentúre ENISA pri aktívne zneužívaných zraniteľnostiach a závažných incidentoch |
| Harmonizované normy | Žiadne normy pre konkrétne produkty; bežne sa odkazuje na ISO 27001 | EN 18031, IEC 62443 (postupy špecifické pre jednotlivé sektory) |
| Časový rámec | V účinnosti — lehota na transpozíciu október 2024 | Oznamovanie od 11. septembra 2026; hlavné povinnosti od 11. decembra 2027 |
NIS2 zabezpečuje organizácie. CRA zabezpečuje produkty, ktoré tieto organizácie vyrábajú a predávajú. Spoločnosť, ktorá vyrába pripojený hardvér, podlieha súčasne NIS2 (ako riadi vlastnú bezpečnosť) aj CRA (ako navrhuje svoje produkty).
Presadzovanie a sankcie
NIS2 po prvýkrát zavádza harmonizovaný rámec presadzovania vo všetkých členských štátoch:
Kľúčové subjekty
- Maximálna výška pokuty stanovená vnútroštátnym právom na aspoň 10 000 000 EUR alebo 2 % celkového celosvetového ročného obratu — podľa toho, ktorá suma je vyššia
- Dohľad ex ante aj ex post: orgány môžu vykonávať audity aj bez toho, aby ich podnietil incident
Dôležité subjekty
- Maximálna výška pokuty stanovená vnútroštátnym právom na aspoň 7 000 000 EUR alebo 1,4 % celkového celosvetového ročného obratu — podľa toho, ktorá suma je vyššia
- Dohľad ex post: orgány konajú na základe dôkazov alebo indícií o nedodržiavaní povinností
Zodpovednosť vedenia a ďalšie opatrenia
- Zodpovednosť členov riadiacich orgánov, ako to stanovuje vnútroštátne právo
- Príkaz zverejniť určeným spôsobom aspekty porušenia (článok 32 ods. 4 písm. h) a článok 33 ods. 4 písm. g))
- Pri kľúčových subjektoch ako posledná možnosť: dočasný zákaz vykonávať riadiace funkcie (článok 32 ods. 5)
Časová os a aktuálny stav
| Dátum | Udalosť |
|---|---|
| December 2022 | Smernica NIS2 uverejnená v Úradnom vestníku |
| 16. januára 2023 | NIS2 nadobudla účinnosť |
| 17. októbra 2024 | Lehota na transpozíciu — do tohto dňa musia mať všetky členské štáty prijaté vnútroštátne právne predpisy |
| 17. januára 2025 / 17. apríla 2025 | Dátumy zo smernice: registrácia poskytovateľov služieb DNS, cloudových a podobných služieb (čl. 27); vnútroštátne zoznamy kľúčových a dôležitých subjektov (čl. 3). Ostatné lehoty na registráciu stanovuje vnútroštátne právo |
| Priebežne | Presadzovanie prebieha; požiadavky na bezpečnosť dodávateľského reťazca sa prenášajú na dodávateľov hardvéru |
Súvisiace pojmy
- CRA — Náprotivok NIS2 zameraný na produkty; výrobcovia hardvéru musia dodržiavať oba predpisy.
- NIS2 — Stručný prehľad NIS2 v glosári.
- ENISA — Agentúra EÚ pre kybernetickú bezpečnosť, ktorá podporuje vykonávanie NIS2 a spoluprácu medzi členskými štátmi.
- SBOM — Softvérový kusovník (Software Bill of Materials); čoraz častejšie sa vyžaduje ako dôkaz bezpečnosti dodávateľského reťazca podľa NIS2.
- Dohľad po uvedení na trh — Prekrýva sa s povinnosťami priebežného monitorovania podľa článku 21 NIS2.
- IoT — Pripojené zariadenia IoT v dodávateľských reťazcoch subjektov regulovaných NIS2 čelia čoraz prísnejšiemu preverovaniu bezpečnosti.
Výrobcovia hardvéru, ktorí dodávajú subjektom regulovaným NIS2, čelia rastúcemu tlaku, aby preukázali auditovateľné postupy kybernetickej bezpečnosti. Inovasense pomáha výrobcom pripraviť dôkazy o bezpečnostnom programe, ktoré zákazníci regulovaní NIS2 vyžadujú: procesy riadenia zraniteľností, tvorbu SBOM, dokumentáciu životného cyklu bezpečného vývoja a implementácie zabezpečenia vstavaných systémov, ktoré poskytujú technicky overiteľné dôkazy o bezpečnostných opatreniach. Naše poradenstvo v oblasti súladu s predpismi EÚ pokrýva celý obraz — povinnosti NIS2 týkajúce sa dodávateľského reťazca spolu s požiadavkami CRA na produkty.
Oficiálne referencie
- Smernica (EÚ) 2022/2555 (NIS2) — úplné znenie — EUR-Lex, Úradný vestník Európskej únie