NIS2 súlad: čo bude audítor skutočne kontrolovať?
NIS2 nie je iba otázkou dokumentácie. Audítora zaujíma, či sú opísané bezpečnostné opatrenia zavedené, či fungujú v praxi a akými dôkazmi to organizácia vie preukázať.
Právny rámec na Slovensku
Smernicu NIS2 transponovala Slovenská republika novelou zákona o kybernetickej bezpečnosti:
Novela bola vyhlásená v Zbierke zákonov SR 19. decembra 2024 ako zákon č. 366/2024 Z. z., ktorým sa mení a dopĺňa zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti. Predkladateľom a príslušným orgánom je Národný bezpečnostný úrad. Podstatná časť úpravy sa venuje povinnostiam vrcholového vedenia — rozhodujúca je zodpovednosť vedenia za stanovenie bezpečnostnej politiky, zaistenie zdrojov a participáciu na riadení kybernetických rizík. Do 31. decembra 2026 môže prevádzkovateľ základnej služby realizovať opatrenia aj podľa predpisov účinných do konca roka 2024; po tomto termíne platia výlučne požiadavky novely. Novela je postavená na štandardoch rodiny ISO 27000, takže pre organizáciu s funkčným ISMS nejde o úplne nové koncepty. Kybernetická bezpečnosť nie je jednorazový stav súladu, ale schopnosť, ktorú treba udržiavať, pravidelne preverovať a rozvíjať.
Šesť praktických oblastí preverovania
V praxi sa preveruje nasledujúcich šesť oblastí. Pri každej je tá istá otázka: čím to dnes dokážeme preukázať?
1. Evidencia a klasifikácia systémov
Evidencia všetkých relevantných elektronických informačných systémov, ich obchodného účelu, vlastníka, dopadov a závislostí.
2. Fungovanie opatrení
Preukázanie toho, že ochranné opatrenia nie sú iba opísané, ale sú aj reálne používané a pravidelne preverované.
3. Dokumentácia
Bezpečnostné politiky, zmluvy, postupy a záznamy.
4. Technológie
Hardvér, softvér, firmvér, sieťová architektúra a bezpečnostné požiadavky voči dodávateľom.
5. Ľudia a zodpovednosti
Jasné úlohy, právomoci a praktické fungovanie procesov.
6. Metódy overovania
Preskúmanie dokumentácie, rozhovory, technické testy a simulácie incidentov.
Najčastejší problém nie je chýbajúca kontrola, ale chýbajúci dôkaz, že kontrola funguje.
Dva prípady, ktoré ukazujú reálny dopad
Šesť oblastí zostáva abstraktných, kým k nim nepridáme prevádzkový príbeh. Dva verejne zdokumentované incidenty ukazujú, čo znamená manuálny náhradný postup a závislosť v reťazci.
Norsk Hydro: globálna výroba prešla na manuálne náhradné postupy
19. marca 2019 — poučenia pre výrobu a obnovu.
- Fakt
- Podľa oficiálnej stránky Hydro zasiahol rozsiahly útok celú globálnu organizáciu; najvážnejší prevádzkový a finančný dopad utrpela divízia Extruded Solutions.
- Kontinuita prevádzky
- Ostatné divízie udržali takmer normálnu výrobu pomocou pracovne náročných náhradných a manuálnych postupov.
- Obnova
- Zašifrované počítače a servery boli znovu vybudované zo záloh; spoločnosť preverila a obnovila každý počítač a server.
Otázka pre vlastnú organizáciu: ktorý výrobný proces dokáže fungovať 24 až 48 hodín v manuálnom režime?
Maersk: kybernetický útok ovplyvnil obchodnú výkonnosť
Prezentácia výsledkov za rok 2017 uvádza kybernetický útok ako jeden z faktorov slabšieho konkurenčného výsledku.
- Otázka k systémom
- Ktorý systém podporuje reťazec od objednávky a technickej dokumentácie cez výrobu až po expedíciu?
- Otázka k analýze dopadov
- Po akom čase výpadku vznikne významný zákaznícky, výrobný alebo finančný dopad?
- Dôkaz
- Analýza dopadov na činnosť, obchodný účel systému, mapa závislostí a otestovaný náhradný postup.
Príprava na audit: rámec auditných dôkazov a pracovné zošity → — 96 položiek audítneho rozsahu, evidencia CAPA, evidencia dôkazov.
Profil rozsahu NIS2 auditu → — ukáže, čo vo vašej organizácii rozsah auditu tvorí a čo z toho dokážete pred auditom ovplyvniť. Presný počet osobodní posielame na vyžiadanie.
Oddelenie IT a OT vo výrobe →— štyri najčastejšie slabé miesta technologickej oblasti podrobne.
Nové od 1. septembra 2026: vyhláška č. 212/2026 Z. z. zmenila cyklus auditu na tri roky pri kritickej základnej službe a päť rokov pri ostatných subjektoch, zaviedla dvojročné sebahodnotenie a rozsah auditu, ktorý sa dá vypočítať v osobodňoch. Čo presne sa zmenilo → · Profil rozsahu auditu →
Register informačných systémov, ktorým treba začať
Register je použiteľný vtedy, keď má každý systém určený obchodný účel, vlastníka, dopad na dôvernosť, integritu a dostupnosť, manuálny náhradný postup a zoznam závislostí. V priemyselnej organizácii register zvyčajne začína takto:
| Systém | Obchodný dopad | Kľúčová oblasť |
|---|---|---|
| ERP | objednávky / logistika | závislosti v reťazci |
| CAD/PDM | technické údaje | dôvernosť + integrita |
| M365 | identita / komunikácia | alternatívny kanál |
| Riadenie výroby / MES | výroba | manuálny režim |
| OT/SCADA | viditeľnosť / riadenie | segmentácia IT/OT |
| Dodávateľský portál | externé vzťahy | riziko dodávateľov |
Realistický prvý výstup: 10 – 15 systémov s určeným vlastníkom a obchodnou prioritou.
Od rizika ku kontrole, od kontroly k dôkazu
Ku každému identifikovanému riziku patrí opatrenie, ku každému opatreniu dôkaz a ku každému dôkazu konkrétna zodpovedná osoba. Práve zodpovedná osoba v najviac dokumentáciách chýba.
Pravidlo je jednoduché: ak dôkaz nemožno predložiť v primeranom a vopred dohodnutom čase, organizácia nemá dôkaz, ale plán.
90-dňový plán
Šesť úloh v troch časových oknách, so zodpovednosťami a merateľným výstupom.
| Obdobie | Úloha | Výstup | Zodpovednosť |
|---|---|---|---|
| 0–30 dní | Validácia systémov a závislostí | schválený register systémov | IT / bezpečnosť / vlastníci procesov |
| 0–30 dní | Posúdenie TOP 10 dodávateľov | register kybernetických rizík dodávateľov | Nákup |
| 31–60 dní | Test záloh a manuálnej prevádzky | protokol obnovy a kontinuity | IT / výroba |
| 31–60 dní | Preskúmanie segmentácie IT/OT | sieťový diagram + zoznam nedostatkov | IT / OT |
| 61–90 dní | Tabletop simulácia incidentu | rozhodovací a notifikačný záznam | Vedenie / bezpečnosť |
| 61–90 dní | Manažérske preskúmanie | prioritizovaný plán nápravných opatrení | Vrcholové vedenie |
Praktické školenie NIS2
Jednodňové školenie v rozsahu 4 až 6 hodín pre vrcholový manažment, IT manažérov, bezpečnostných špecialistov a odborníkov na compliance, maximálne do 20 účastníkov.
Obsah a miesto realizácie dohodneme podľa potrieb organizácie. Napíšte nám, alebo vyplňte bezplatný dotazník pre predbežné posúdenie.
Bezplatné NIS2 sebahodnotenie →— 12 otázok, okamžitý výsledok, bez ukladania údajov.
info@just-b-ltd.comČasté otázky
- Ktorý zákon platí na Slovensku?
- Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení novely č. 366/2024 Z. z., účinnej od 1. januára 2025. Príslušným orgánom je Národný bezpečnostný úrad.
- Čo má obsahovať register informačných systémov?
- Minimálne obchodný účel systému, vlastníka, dopady na dôvernosť, integritu a dostupnosť, závislosti a dostupný náhradný postup.
- Čo sa považuje za auditný dôkaz?
- Dokument, záznam, technický výstup alebo výsledok testu, ktorý preukazuje, že opatrenie bolo zavedené a v určenom období skutočne fungovalo.
- Pre koho je školenie určené?
- Pre vrcholové vedenie, IT manažérov, bezpečnostných špecialistov a odborníkov na regulačný súlad. Jednodňové, 4 – 6 hodín, maximálne 20 účastníkov.
- Dokedy trvá prechodné obdobie?
- Do 31. decembra 2026 môže prevádzkovateľ základnej služby realizovať bezpečnostné opatrenia aj podľa predpisov účinných do konca roka 2024. Od 1. januára 2027 platia výlučne požiadavky novely.