VYHLÁŠKA 184/2026 Z. z. ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy

§ 1

(1)

Vzor zoznamu aktív informačných technológií verejnej správy je uvedený v

prílohe č. 1

.

(2)

Bezpečnostné opatrenia informačných technológií verejnej správy pozostávajú najmä

z minimálnych bezpečnostných opatrení podľa

prílohy č. 2

. Minimálne bezpečnostné opatrenia sú rozdelené do Kategórie I, Kategórie II a Kategórie

III v rámci jednotlivých oblastí kybernetickej bezpečnosti a informačnej bezpečnosti.

Vo vzťahu k informačným technológiám verejnej správy sa realizujú bezpečnostné opatrenia

aspoň na úrovni minimálnych bezpečnostných opatrení tej kategórie, ktorá sa na orgán

riadenia vzťahuje, ak

§ 2 ods. 3

neustanovuje inak.

(3)

Pri duplicite alebo nekompatibilite minimálnych bezpečnostných opatrení rôznych kategórií,

ktoré sa vzťahujú na konkrétnu informačnú technológiu verejnej správy, majú prednosť

ustanovenia upravujúce minimálne bezpečnostné opatrenia vyššej kategórie.

(4)

Minimálne bezpečnostné opatrenia Kategórie I v rámci jednotlivých oblastí kybernetickej

bezpečnosti a informačnej bezpečnosti vo vzťahu k informačným technológiám verejnej

správy sa vzťahujú na

a)

obec do 6 000 obyvateľov,

b)

právnickú osobu podľa

§ 5 ods. 2 písm. e) zákona

okrem právnickej osoby, ktorá je kritickým subjektom,

1

)

c)

osobu podľa

§ 5 ods. 2 písm. g) zákona

.

(5)

Minimálne bezpečnostné opatrenia Kategórie I a Kategórie II v rámci jednotlivých

oblastí kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahu k informačným

technológiám verejnej správy sa vzťahujú na

a)

obec nad 6 000 obyvateľov okrem mesta, ktoré je sídlom kraja,

b)

mestskú časť,

c)

Kanceláriu verejného ochrancu práv,

d)

Úrad komisára pre deti,

e)

Úrad komisára pre osoby so zdravotným postihnutím,

f)

Radu pre mediálne služby,

g)

iný štátny orgán podľa

§ 5 ods. 2 písm. b) zákona

.

(6)

Minimálne bezpečnostné opatrenia Kategórie I, Kategórie II a Kategórie III v rámci

jednotlivých oblastí kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahu

k informačným technológiám verejnej správy sa vzťahujú na

a)

mesto, ktoré je sídlom kraja,

b)

vyšší územný celok,

c)

ministerstvo a ostatný ústredný orgán štátnej správy,

d)

Úrad pre reguláciu elektronických komunikácií a poštových služieb,

e)

Najvyšší kontrolný úrad Slovenskej republiky,

f)

Úrad pre dohľad nad zdravotnou starostlivosťou,

g)

Úrad na ochranu osobných údajov Slovenskej republiky,

h)

Generálnu prokuratúru Slovenskej republiky,

i)

Dopravný úrad,

j)

Ústav pamäti národa,

k)

Tlačovú agentúru Slovenskej republiky,

l)

Slovenskú televíziu a rozhlas,

m)

Kanceláriu Súdnej rady Slovenskej republiky,

n)

Kanceláriu Najvyššieho súdu Slovenskej republiky,

o)

Kanceláriu Ústavného súdu Slovenskej republiky,

p)

Kanceláriu prezidenta Slovenskej republiky,

q)

Kanceláriu Národnej rady Slovenskej republiky,

r)

Kanceláriu Najvyššieho správneho súdu Slovenskej republiky,

s)

Sociálnu poisťovňu,

t)

zdravotnú poisťovňu,

u)

Národné centrum zdravotníckych informácií,

v)

Finančné riaditeľstvo Slovenskej republiky,

w)

Národnú agentúru pre sieťové a elektronické služby,

x)

Zbor väzenskej a justičnej stráže,

y)

právnickú osobu podľa

§ 5 ods. 2 písm. e) zákona

, ktorá je kritickým subjektom,

z)

komoru regulovanej profesie a komoru, na ktorú je prenesený výkon verejnej moci s

povinným členstvom,

aa)

záujmové združenie právnických osôb DataCentrum elektronizácie územnej samosprávy

Slovenska.

(7)

Bezpečnostné projekty informačných systémov verejnej správy sa vypracujú a implementujú

podľa

prílohy č. 3

.

(8)

Správca predkladá bezpečnostný projekt podľa

§ 23 ods. 1 a 2 zákona

na schválenie podľa

§ 23 ods. 3 písm. g) zákona

orgánu vedenia prostredníctvom vládneho informačného systému kybernetickej bezpečnosti.

(9)

Systémové informácie z informačných technológií verejnej správy podľa

§ 23 ods. 3 písm. i)

a

§ 23a ods. 2 písm. d) zákona

v oblasti bezpečnosti informačných technológií verejnej správy zasiela správca orgánu

vedenia prostredníctvom vládneho informačného systému kybernetickej bezpečnosti a

ich rozsah upravuje

príloha č. 4

.

(10)

Klasifikácia informácií sa vykonáva podľa pravidiel klasifikačnej schémy, ktorú prijal

orgán riadenia v rozsahu podľa

prílohy č. 5

.

§ 2

(1)

Riadenie rizík zahŕňa

a)

identifikáciu aktív,

b)

identifikáciu rizík vrátane popisu prijatých bezpečnostných opatrení,

c)

analýzu rizík vykonanú podľa metodiky vydanej orgánom vedenia alebo metodiky vydanej

podľa osobitného predpisu

2

)

Národným bezpečnostným úradom,

d)

hodnotenie rizík,

e)

prijatie bezpečnostných opatrení podľa identifikovaných rizík vrátane odôvodnenia

prípadných odchýlok od minimálnych bezpečnostných opatrení kategórie, ktorá sa na

orgán riadenia vzťahuje,

f)

preskúmanie rizík minimálne raz ročne a podľa potreby aj ich aktualizáciu a revíziu

bezpečnostných opatrení,

g)

analýzu vplyvov, ktorá hodnotí následky krízových scenárov na činnosť správcu, určuje

cieľovú dobu obnovy a cieľový bod obnovy.

(2)

Identifikácia rizík sa vykonáva na princípe najhoršieho scenára. Úroveň rizika sa

určuje podľa metodiky vydanej orgánom vedenia alebo metodiky vydanej podľa osobitného

predpisu

2

)

Národným bezpečnostným úradom.

(3)

Minimálne bezpečnostné opatrenie kategórie, ktorá sa na orgán riadenia vzťahuje,

sa na základe dokumentov podľa odseku 4 nemusí realizovať, ak

a)

konkrétne minimálne bezpečnostné opatrenie nie je relevantné pre dané riziko,

b)

riziku sa možno vyhnúť ukončením alebo nezačatím činnosti, ktorá ho spôsobuje, alebo

c)

riziku sa možno vyhnúť iným spôsobom ako prijatím minimálneho bezpečnostného opatrenia.

(4)

Výsledok analýzy rizík a návrh bezpečnostných opatrení vrátane odôvodnenia podľa

odseku 1 písm. e) musia byť písomne schválené štatutárnym orgánom správcu alebo ním

povereným riadiacim pracovníkom.

§ 3

(1)

Aktívum sa identifikuje a vedie v evidencii aktív.

(2)

Evidencia aktív je centralizovane riadená a zodpovedá aktuálnemu stavu.

(3)

Súčasťou evidencie aktív je aj označenie bezpečnostných funkcií podporných aktív

alebo odkazy na príslušnú časť bezpečnostnej dokumentácie týchto funkcií.

(4)

Evidencia aktív obsahuje najmä identifikáciu a evidenciu

a)

primárnych aktív,

b)

podporných aktív,

c)

vlastníkov aktív,

d)

osôb zodpovedných za identifikáciu a evidenciu aktív.

§ 4

(1)

Ak je na účel bezpečnosti informačnej technológie verejnej správy vhodné prijať súbor

bezpečnostných opatrení nad rámec minimálnych bezpečnostných opatrení uvedených v

tejto vyhláške, zmeny v rozsahu bezpečnostných opatrení orgán riadenia zadokumentuje

a odôvodní.

(2)

Ak sa v tejto vyhláške ustanovuje použitie postupu podľa technickej normy, slovenskej

technickej normy, európskeho normalizačného produktu alebo európskej normy, je možné

postupovať aj podľa ich ekvivalentu, ak sa takýmto postupom dosiahne rovnaký výsledok

a dodržia sa požiadavky podľa tejto vyhlášky. Pri pochybnostiach o vhodnosti použitia

ekvivalentnej normy alebo špecifikácie podľa prvej vety je rozhodujúce vyjadrenie

orgánu vedenia k možnosti ich použitia.

§ 5

(1)

Do 30. júna 2027 sa minimálne bezpečnostné opatrenia kategórie, ktorá sa na orgán

riadenia vzťahuje podľa

§ 1

, v rozsahu podľa

prílohy č. 2

považujú za prijaté, aj ak sú prijaté minimálne bezpečnostné opatrenia kategórie,

ktorá sa na orgán riadenia vzťahuje podľa

§ 1

, v rozsahu podľa

prílohy č. 2

k vyhláške Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu

č.

179/2020 Z. z.

, ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných

technológií verejnej správy, v znení účinnom do 31. decembra 2026.

(2)

V organizácii správcu, ktorý je zriadený alebo založený od 1. januára 2026, sa táto

vyhláška vykoná do 12 mesiacov odo dňa zriadenia alebo založenia organizácie.

§ 6

Zrušuje sa vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a

informatizáciu č.

179/2020 Z. z.

, ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných

technológií verejnej správy.

§ 7

Táto vyhláška nadobúda účinnosť 1. januára 2027.