VYHLÁŠKA 227/2025 Z. z. o bezpečnostných opatreniach

§ 1

Táto vyhláška ustanovuje obsah bezpečnostných opatrení, rozsah všeobecných bezpečnostných

opatrení pre siete a informačné systémy a operačné technológie a obsah a štruktúru

bezpečnostnej dokumentácie podľa

§ 20 zákona

.

§ 2

Na účely tejto vyhlášky sa rozumie

a)

aktívom hmotný alebo nehmotný komponent informačnej architektúry, ktorý má pre prevádzkovateľa

základnej služby hodnotu, najmä služby, procesy, informácie alebo údaje,

b)

primárnym aktívom aktívum, ktoré je nevyhnutné na dosiahnutie cieľov prevádzkovateľa

základnej služby,

c)

podporným aktívom aktívum, na ktorom je závislé jedno alebo viacero primárnych aktív,

d)

bezpečnostnou politikou dokumentácia, ktorá určuje smerovanie prevádzkovateľa základnej

služby v oblasti kybernetickej bezpečnosti na úrovni riadenia a určuje povinnosti,

zodpovednosti, požiadavky, zákazy a zásady správania sa v jednotlivých oblastiach

kybernetickej bezpečnosti,

e)

bezpečnostným štandardom súbor pravidiel spojených s kybernetickou bezpečnosťou,

ktoré jednotne interpretujú požiadavky bezpečnostných politík v konkrétnych situáciách,

určujú aktivity, hlavné pravidlá, zodpovednosti a organizáciu riadenia kybernetickej

bezpečnosti a ktorých účelom je vytvorenie jednotného prostredia pre dodržiavanie

bezpečnostných politík.

§ 3

(1)

Bezpečnostné opatrenia tvoria opatrenia podľa

§ 20 ods. 4 zákona

, ktoré sú minimálne bezpečnostné opatrenia a

a)

opatrenia pre oblasti kybernetickej bezpečnosti podľa

§ 20 ods. 2 zákona

, alebo

b)

sektorové bezpečnostné opatrenia, ak sú ustanovené.

(2)

Rozsah všeobecných bezpečnostných opatrení pre oblasti kybernetickej bezpečnosti

podľa

§ 20 ods. 2 zákona

je uvedený v

prílohe č. 1

a určuje sa na základe analýzy rizík.

§ 4

(1)

Bezpečnostná dokumentácia obsahuje

a)

schválenú stratégiu kybernetickej bezpečnosti určujúcu ciele, ktoré je potrebné v

riadení kybernetickej bezpečnosti dosiahnuť, spolu s uvedením základných princípov

na ich dosiahnutie a určením právomocí a zodpovedností za systémy manažérstva, riadenie

rizík a aktualizáciu bezpečnostnej dokumentácie,

b)

schválené bezpečnostné politiky pre jednotlivé oblasti riadenia kybernetickej bezpečnosti

vrátane opisu súvisiacej organizačnej štruktúry, procesov a väzieb, pracovných rolí,

zodpovednosti a delenia právomocí a opisu rámca riadenia bezpečnostných rizík,

c)

vykonanú klasifikáciu informácií podľa

prílohy č. 2

; ak prevádzkovateľ základnej služby disponuje vlastnou metodikou pre klasifikáciu

informácií, vykoná sa mapovanie na klasifikačné stupne v súlade s

prílohou č. 2

,

d)

určenie sietí a informačných systémov a operačných technológií do príslušnej kategórie

informačných a komunikačných technológií alebo operačných technológií; v prípade nejednoznačnosti

rozhodne o určení kategórie prevádzkovateľ základnej služby,

e)

vykonanú analýzu rizík a určenie úrovne identifikovaných rizík, akceptovaných rizík

a zvyškových rizík pre aktíva spolu so zoznamom aktív,

f)

zadokumentované určenie rozsahu a spôsobu prijatia, dodržiavania a vykonávania bezpečnostných

opatrení vrátane odôvodnenia neprijatia bezpečnostného opatrenia podľa

§ 5 ods. 1 písm. e)

,

g)

poslednú záverečnú správu o výsledkoch auditu kybernetickej bezpečnosti (ďalej len

„audit“) podľa

§ 29 zákona

,

h)

iné dokumenty, ak to ustanovuje osobitný predpis.

1

)

(2)

Zadokumentované určenie rozsahu a spôsobu podľa odseku 1 písm. f) obsahuje najmä

zoznam prijatých a neprijatých bezpečnostných opatrení a s nimi súvisiace schémy a

základné opisy

a)

topológie a infraštruktúry operačných technológií,

b)

topológie a infraštruktúry informačných a komunikačných technológií,

c)

súvisiacej aplikačnej architektúry,

d)

súvisiacej bezpečnostnej architektúry.

§ 5

(1)

Riadenie rizík obsahuje

a)

identifikáciu aktív postupmi podľa

§ 6

,

b)

identifikáciu rizík, ktorej súčasťou je aj opis prijatých a vykonávaných bezpečnostných

opatrení,

c)

analýzu rizík; ak prevádzkovateľ základnej služby disponuje vlastnou bezpečnostnou

metodikou, vykoná sa mapovanie na úrovne rizika v súlade so štruktúrou uvedenou v

bezpečnostnej metodike zverejnenej na webovom sídle úradu,

d)

hodnotenie rizík,

e)

prijatie bezpečnostných opatrení v závislosti od identifikovaných rizík vrátane informácie,

ktoré bezpečnostné opatrenia sú prijaté a ktoré bezpečnostné opatrenia nie sú prijaté

spolu s odôvodnením,

f)

preskúmavanie identifikovaných rizík najmenej raz ročne a v závislosti od výsledkov

aj aktualizáciu rizík a revíziu prijatých bezpečnostných opatrení.

(2)

Súčasťou riadenia rizík je analýza funkčného vplyvu, ktorá pozostáva z hodnotenia

vplyvu na činnosť prevádzkovateľa základnej služby spôsobeného krízovým scenárom,

ktorý môže zasiahnuť zdroje a aktíva podporujúce procesy prevádzkovateľa základnej

služby alebo spôsobiť ohrozenie alebo narušenie kontinuity jeho služieb. Súčasťou

analýzy funkčného vplyvu je určenie cieľovej doby obnovy a cieľového bodu obnovy.

(3)

Určenie úrovne identifikovaného rizika sa vykoná vopred nastaveným súborom pravidiel,

ktoré umožnia určiť vopred definované úrovne rizika pre najhoršie scenáre. Na určenie

úrovne identifikovaného rizika podľa prvej vety sa použijú štandardné a rovnaké metodické

postupy.

(4)

Scenáre rizík predstavujú špecifické situácie realizácie rizík v kontexte vybraných

aktív, pričom môžu byť kombináciou viacerých aktív, kybernetických hrozieb, zraniteľností

a ich následkov ako sled alebo kombinácia udalostí vedúcich od počiatočnej príčiny

k nežiaducemu následku kybernetického bezpečnostného incidentu.

(5)

Pre potreby analýzy rizík sa prvky zoznamov aktív, hrozieb, zraniteľností a následkov

môžu združiť do jednotlivých skupín; tieto skupiny je možné použiť univerzálne pre

identifikované scenáre.

(6)

Analýzou rizík podľa odseku 1 písm. c) sa určuje pravdepodobnosť vzniku škodlivej

udalosti, ktorá môže byť spôsobená zneužitím existujúcej zraniteľnosti aktíva potenciálnymi

hrozbami v spojitosti s existujúcimi bezpečnostnými opatreniami. V rámci analýzy rizík

sú identifikované následky pri narušení dôvernosti, integrity alebo dostupnosti aktíva.

(7)

Výsledky analýzy rizík a návrhy bezpečnostných opatrení v nadväznosti na identifikované

riziká preukázateľným spôsobom schvaľuje osoba podľa

§ 20 ods. 4 písm. h) zákona

.

§ 6

(1)

Aktívum sa identifikuje a vedie v evidencii aktív. Evidencia aktív sa skladá z identifikovateľných

primárnych aktív a podporných aktív.

(2)

Aktíva sa identifikujú tak, že sú jednoznačne určené hranice jednotlivých sietí a

informačných systémov a rozhrania medzi určenými hranicami.

(3)

Evidencia aktív je centralizovane riadená a zodpovedá aktuálnemu stavu.

(4)

Evidencia aktív sa môže skladať z textovej časti, tabuľkovej časti alebo grafickej

časti a jej súčasťou je aj označenie bezpečnostných funkcií podporných aktív alebo

odkazy na príslušnú časť bezpečnostnej dokumentácie týchto funkcií.

(5)

Evidencia aktív obsahuje najmä identifikáciu a evidenciu

a)

primárnych aktív,

b)

podporných aktív,

c)

vlastníkov aktív,

d)

zodpovedných osôb za identifikáciu a evidenciu aktív.

(6)

Podporné aktívum, ktoré súvisí s viacerými primárnymi aktívami, preberá najvyššiu

hodnotu zo súvisiacich aktív.

§ 7

(1)

Bezpečnostné opatrenia sa navrhujú, prijímajú a vykonávajú tak, aby ošetrili všetky

riziká identifikované v rámci vykonanej analýzy rizík, naplnili požiadavky stratégie

kybernetickej bezpečnosti, bezpečnostnej politiky a bezpečnostných opatrení podľa

§ 3 až 6

.

(2)

Zmluva podľa

§ 19 ods. 2 zákona

obsahuje najmä

a)

záväzok dodávateľa na výkon činnosti, ktorá priamo súvisí s dostupnosťou, dôvernosťou

a integritou prevádzky sietí a informačných systémov prevádzkovateľa základnej služby

(ďalej len „tretia strana“) dodržiavať bezpečnostné politiky prevádzkovateľa základnej

služby,

b)

vyjadrenie súhlasu tretej strany s uvedenými bezpečnostnými politikami,

c)

ustanovenie o rozsahu, spôsobe a možnosti vykonávania kontrolných činností a auditu

prevádzkovateľom základnej služby u tretej strany,

d)

ustanovenie o povinnosti informovať prevádzkovateľa základnej služby o kybernetickom

bezpečnostnom incidente a o skutočnostiach majúcich vplyv na zabezpečovanie kybernetickej

bezpečnosti a poskytnúť súčinnosť pri jeho riešení.

(3)

Vzor bezpečnostnej dokumentácie a vzor zmluvy podľa § 19 ods. 2 zákona sa zverejnia

na webovom sídle úradu.

§ 8

Zmluva podľa

§ 19 ods. 2 zákona

uzatvorená do 31. augusta 2025 ostáva v platnosti najneskôr do doby pôvodne v nej

dohodnutej; túto dobu nemožno po 31. auguste 2025 predĺžiť, ak už uzatvorená zmluva

nie je v súlade s bezpečnostnými opatreniami podľa

§ 3 až 7

. Týmto ustanovením nie je dotknutý

§ 34b ods. 5 zákona

.

§ 9

Zrušuje sa vyhláška Národného bezpečnostného úradu č.

362/2018 Z. z.

, ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej

dokumentácie a rozsah všeobecných bezpečnostných opatrení v znení vyhlášky č. 264/2023

Z. z.

§ 10

Touto vyhláškou sa preberajú právne záväzné akty Európskej únie uvedené v

prílohe č. 3

.

§ 11

Táto vyhláška nadobúda účinnosť 1. septembra 2025.