Čo zmenila vyhláška 212/2026 na audite kybernetickej bezpečnosti
Vyhláška NBÚ č. 212/2026 Z. z. bola vyhlásená 27. augusta 2026 a je účinná od 1. septembra 2026. Mení vyhlášku č. 493/2022 Z. z. o audite kybernetickej bezpečnosti — a mení práve to, čo v praxi určuje plán aj náklady: ako často sa audit vykonáva, dokedy musí byť ukončený a z čoho sa počíta jeho rozsah.
Nový cyklus auditu
Pôvodný dvojročný cyklus sa skončil. Vo znení podľa 212/2026 rozhoduje o frekvencii to, či subjekt prevádzkuje kritickú základnú službu, a či medzi auditmi vykonáva sebahodnotenie.
| Povinnosť | Rozhodujúca udalosť | Lehota | Poznámka |
|---|---|---|---|
| Prvý audit alebo sebahodnotenie | Zapísanie do registra | 2 roky | Kto neprevádzkuje kritickú základnú službu, môže využiť sebahodnotenie; úplný audit je aj tak potrebný do piatich rokov. |
| Ďalšie audity — PKZS | Uzavretie predchádzajúceho auditu | Do konca 3. kalendárneho roka po roku uzavretia | Príloha 2, časť B, odsek 1 v znení 212/2026. |
| Ďalšie audity — ostatné subjekty | Uzavretie predchádzajúceho auditu | Do konca 5. kalendárneho roka po roku uzavretia | Podmienkou je sebahodnotenie každé dva roky podľa § 29 ods. 8 zákona. |
| Sebahodnotenie | Dvojročný cyklus | Správa do konca príslušného roka | Podáva sa prostredníctvom JISKB (§ 2 ods. 7). V roku auditu sa sebahodnotenie nevykonáva. |
| Audit po významnej zmene | Zmena s vplyvom na bezpečnostné opatrenia | 6 mesiacov | Pred novelou dva mesiace. |
| Trvanie auditu | Začatie auditu | Najviac 12 po sebe nasledujúcich mesiacov | § 2 ods. 5. Audit sa uzatvára odovzdaním záverečnej správy — tento dátum začína nový cyklus. |
Predĺžený cyklus neznamená menej práce, iba menej auditov. Medzi auditmi nastupuje sebahodnotenie a šesťmesiačná lehota po významnej zmene — v praxi sa práve významná zmena stáva skutočnou rozhodujúcou udalosťou. Vyhláška pritom nevymenúva, čo sa za ňu považuje.
Rozsah auditu sa dá vypočítať
Najväčšia praktická zmena je v prílohe 2. Rozsah auditu už nie je vecou dohody, ale výpočtu — a to znamená, že si ho organizácia vie spočítať pred dopytom u audítora.
- Efektívny počet zamestnancov. Vlastní a dodávateľskí zamestnanci zapojení do bezpečnostných opatrení. Pri rovnakej činnosti sa môže použiť odmocnina počtu, zaokrúhlená nahor.
- Základný počet osobodní. Určuje ho pásmo efektívneho počtu zamestnancov podľa tabuľky 1 prílohy 2.
- Vzorka prevádzok. Prevádzka s neopakujúcou sa službou vstupuje vždy spolu s ústredím; z opakujúcich sa berie odmocnina počtu prevádzok.
- Koeficient zložitosti. Zo súčtu bodov za zložitosť služieb a za zložitosť IKT a OT (3 – 9 bodov na každej strane) určuje matica koeficient v rozsahu 0,80 až 1,40.
- Korekcie. Audítor môže odôvodneným rozhodnutím upraviť rozsah o ±30 % s predchádzajúcim súhlasom organizácie. Vzdialená časť auditu najviac 30 % času na mieste; plánovanie a spracovanie správy najviac 30 %; čas na mieste nesmie klesnúť pod 70 % vypočítanej hodnoty.
Profil rozsahu NIS2 auditu → — ukáže, čo vo vašej organizácii rozsah auditu tvorí a čo z toho dokážete ovplyvniť. Presný počet osobodní posielame na vyžiadanie.
Čo koeficient posúva
Dve zo šiestich vstupných hodnôt dokáže organizácia pred auditom ešte ovplyvniť: dosiahnutú úroveň plnenia opatrení a závislosť od tretích strán. Ostatné štyri sú dané.
| Strana zložitosti | Faktory, ktoré do nej vstupujú |
|---|---|
| Zložitosť služieb | Počet ďalších kybernetických predpisov, ktoré sa na subjekt vzťahujú; počet služieb a to, či sú ich procesy opakujúce sa; dosiahnutá úroveň plnenia bezpečnostných opatrení. |
| Zložitosť IKT a OT | Počet informačných systémov; počet tretích strán s významným vplyvom na bezpečnosť služby; počet OT systémov. |
Každá strana dáva súčet v rozsahu 3 až 9 bodov a matica z nich určuje koeficient. Bodové pásma a maticu obsahuje príloha 2; profil rozsahu ukáže, kde vaša organizácia v týchto faktoroch stojí, a presný prepočet posielame na vyžiadanie.
Audit sa výslovne vzťahuje aj na OT
Novela rozšírila predmet auditu na prevádzkové technológie. Pre výrobné podniky to znamená, že riadenie strojov, výrobné linky a servisné prístupy dodávateľov strojov nie sú mimo rozsahu — a že audítor hľadá dôkazy aj v prostredí, kde zvyčajne neexistuje centrálna správa ani záznamy o prístupoch.
Druhá zmena rovnakého druhu: do zoznamu nedostatkov sa po novom uvádzajú aj čiastočne plnené opatrenia, nie iba neplnené. Opatrenie, ktoré „väčšinou funguje", má teda rovnaký výstup ako opatrenie chýbajúce — s lehotou na odstránenie.
Prechodné pravidlá
| Dátum | Čo platí |
|---|---|
| 31. 8. 2026 | Audit začatý do tohto dňa a neuzavretý sa dokončí podľa pôvodných pravidiel (§ 3a vyhlášky 493/2022). |
| 31. 12. 2026 | Audit začatý do tohto dňa možno vykonať aj podľa pôvodných pravidiel. |
| 31. 12. 2026 | Podľa prechodného ustanovenia zákona č. 366/2024 Z. z. sú do tohto dňa akceptovateľné aj bezpečnostné opatrenia podľa predpisov účinných do 31. 12. 2024. |
| 1. 1. 2027 | Bezpečnostné opatrenia už výlučne podľa vyhlášky č. 227/2025 Z. z. |
Čo v zverejnenom texte nie je
V návrhu vyhlášky sa objavili dve pravidlá, ktoré sa vo vyhlásenom texte nenachádzajú: sledovanie nápravných opatrení po 16 a 18 mesiacoch a rotácia audítora po dvoch po sebe nasledujúcich auditoch. Na návrh nemožno zakladať povinnosť, no pri plánovaní dodávateľov s nimi má zmysel počítať ako s rizikom.
Rovnako opatrne treba zaobchádzať s číslom 3 403 dotknutých subjektov: pochádza z odôvodnenia zákona, nie z normatívneho textu. Na odhad veľkosti trhu sa použiť dá, na zaradenie subjektu nie.
Čo z toho vyplýva pre plán
Predĺžený cyklus posúva ťažisko z prípravy na audit na priebežné dokazovanie: dvojročné sebahodnotenie, definícia významnej zmeny a dôkazy, ktoré prežijú tri alebo päť rokov bez externej kontroly. Prvý krok je obvykle zaradenie subjektu a prepočet rozsahu; druhý je inventúra dôkazov.
Kalkulačka rozsahu auditu → · Bezplatné sebahodnotenie → · Príprava na audit →
info@just-b-ltd.comČasté otázky
- Ako často treba audit?
- Prevádzkovateľ kritickej základnej služby do konca tretieho kalendárneho roka po roku, v ktorom bol uzavretý predchádzajúci audit. Ostatné subjekty do konca piateho kalendárneho roka, ak každé dva roky vykonajú sebahodnotenie.
- Dokedy musí byť audit ukončený?
- Najviac 12 po sebe nasledujúcich mesiacov od začatia. Uzatvára sa odovzdaním záverečnej správy; tento dátum začína nový cyklus.
- Aká lehota platí po významnej zmene?
- Šesť mesiacov. Vyhláška nevymenúva, čo je významná zmena, preto je vhodné mať vlastnú definíciu — nové OT prostredie, nová prevádzka, výmena základného systému, nový významný dodávateľ, migrácia do cloudu, fúzia.
- Kto vykonáva sebahodnotenie?
- Manažér kybernetickej bezpečnosti; správa sa podáva prostredníctvom JISKB. Za správnosť zodpovedá on, za schválenie výsledkov analýzy rizík a návrhu opatrení určená osoba, nie manažér.
- Platí to aj pre nás, ak sme len dodávateľ?
- Priamo nie, no povinnosť sa prenáša zmluvne: podľa § 19 ods. 2 zákona musí prevádzkovateľ uzavrieť s dodávateľom zmluvu s bezpečnostnými požiadavkami. Zmluvy uzavreté podľa predchádzajúceho znenia zostávajú v platnosti do pôvodne dohodnutého času a tento čas nemožno predĺžiť.
Stránka je odborný prehľad, nie právne stanovisko. Rozhodujúci je text vyhlášky č. 493/2022 Z. z. v znení vyhlášky č. 212/2026 Z. z. a zákona č. 69/2018 Z. z. v znení novely č. 366/2024 Z. z. v konsolidovanej podobe na Slov-Lexe. Stav k 22. septembru 2026.