ZÁKON 67/2026 Z. z. ktorým sa mení a dopĺňa zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a ktorým sa menia a dopĺňajú niektoré zákony

Čl. I

Zákon č.

95/2019 Z. z.

o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov

v znení zákona č. 134/2020 Z. z., zákona č. 423/2020 Z. z., zákona č. 287/2021 Z.

z., zákona č. 395/2021 Z. z., zákona č. 264/2022 Z. z., zákona č. 325/2022 Z. z.,

zákona č. 351/2022 Z. z., zákona č. 301/2023 Z. z. a zákona č. 367/2024 Z. z. sa mení

a dopĺňa takto

1.

V § 1 sa odsek 1 dopĺňa písmenom d), ktoré znie

„d)

postup schvaľovania národnej koncepcie informatizácie verejnej správy (ďalej len

„národná koncepcia“).“.

2.

V § 1 ods. 3 sa slová „služby

2a

) alebo poskytovateľmi digitálnej služby

2b

) podľa osobitného predpisu;

3

)“ nahrádzajú slovom „služby;

2a

)“.

Poznámka pod čiarou k odkazu 2a znie

„

2a

) § 3 ods. 2 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení

niektorých zákonov v znení zákona č. 366/2024 Z. z.“.

Poznámka pod čiarou k odkazu 2b sa vypúšťa.

3.

Poznámka pod čiarou k odkazu 4a znie

„

4a

) Zákon č. 157/2024 Z. z. o Slovenskej televízii a rozhlase a o zmene niektorých zákonov.“.

4.

V § 2 ods. 5 druhej vete sa vypúšťa bodkočiarka a časť vety za bodkočiarkou a na

konci sa pripája táto veta: „Ak je orgánov riadenia podľa druhej vety viac, správcu

určí orgán vedenia; ak jedným z orgánov riadenia je ústredný orgán štátnej správy,

orgán vedenia určí za správcu tento ústredný orgán štátnej správy, alebo niektorý

z týchto ústredných orgánov štátnej správy.“.

6.

V § 3 sa za písmeno t) vkladá nové písmeno u), ktoré znie

„u)

hlavným webovým sídlom webové sídlo orgánu riadenia, na ktorom sú zverejňované a

aktualizované informácie o jeho činnosti podľa § 12 ods. 1 písm. i), kontaktné údaje

alebo informácie, ktoré je povinný zverejňovať podľa osobitného predpisu;

6aa

) orgán riadenia môže byť správcom viac ako jedného hlavného webového sídla,“.

Doterajšie písmená u) až w) sa označujú ako písmená v) až x).

Poznámka pod čiarou k odkazu 6aa znie

„

6aa

) Zákon č. 211/2000 Z. z. o slobodnom prístupe k informáciám a o zmene a doplnení

niektorých zákonov (zákon o slobode informácií) v znení neskorších predpisov.“.

7.

V § 5 ods. 2 písm. d) sa slová „Rada pre vysielanie a retransmisiu“ nahrádzajú slovami

„Rada pre mediálne služby“.

8.

V § 5 ods. 2 písm. h) sa vypúšťa čiarka a slová „ktorého jedinými členmi sú Ministerstvo

financií Slovenskej republiky a Združenie miest a obcí Slovenska“.

9.

V § 6 ods. 1 písm. d) sa za slovo „integrovaného“ vkladajú slová „a odolného“ a slová

„Národnej koncepcii informatizácie verejnej správy Slovenskej republiky (ďalej len

„národná koncepcia“)“ sa nahrádzajú slovami „národnej koncepcii“.

10.

§ 8 znie

㤠8

(1)

Orgán vedenia

a)

monitoruje výkon riadenia v správe informačných technológií verejnej správy na účely

sledovania aktuálneho stavu v správe informačných technológií verejnej správy a ich

vývoji a sledovania spôsobov a postupov pri vykonávaní tejto správy,

b)

analyzuje údaje získané z monitorovania, kontroly a z iných podnetov na účely identifikácie

rizík a nedostatkov v správe informačných technológií verejnej správy,

c)

vydáva metodické usmernenia, usmerňuje a koordinuje orgány riadenia na účely jednotného

spôsobu výkonu riadenia v správe informačných technológií verejnej správy a centrálneho

riadenia informatizácie spoločnosti.

(2)

Orgán vedenia tiež analyzuje údaje získané z monitoringu a hodnotenia informačných

technológií vo verejnej správe, zo zberu spätnej väzby k elektronickým službám od

koncových používateľov a iné údaje získané pri výkone pôsobnosti orgánu vedenia vo

vzťahu k informačným technológiám, a to na účely

a)

prípravy všeobecne záväzných právnych predpisov,

b)

plnenia úloh spočívajúcich v tvorbe štátnej politiky, najmä prípravy národnej koncepcie

a ďalších koncepčných a strategických dokumentov s celoštátnou pôsobnosťou,

c)

navrhovania alebo prijímania iných opatrení ako podľa písmena a) alebo písmena b),

alebo

d)

hodnotenia výsledkov a kvality výkonu správy informačných technológií verejnej správy.

(3)

Orgán riadenia poskytuje orgánu vedenia súčinnosť potrebnú na riadny výkon vedenia

v správe informačných technológií verejnej správy a poskytuje mu údaje o informačných

technológiách verejnej správy na analytické účely.

(4)

Ak sa údaje získavané orgánom vedenia týkajú elektronických služieb používaných koncovým

používateľom, orgán riadenia zabezpečí, aby ich získaval aj s identifikátorom osoby

a s metaúdajmi o konaní, podaní alebo o úradnom dokumente, ktorých sa elektronická

služba týka vrátane informácie o priebehu a stave ich vybavenia.

(5)

Orgán riadenia zabezpečí dostupnosť údajov alebo informácie, ktoré je povinný poskytovať

podľa tohto zákona orgánu vedenia, spôsobom a v štruktúre, aby ich orgán vedenia mohol

prijať do ním určenej informačnej technológie; zásahy do informačných technológií

orgánu riadenia na tento účel sú možné len s jeho súhlasom. Orgán vedenia zabezpečuje

aj nástroje na anonymizáciu a pseudonymizáciu osobných údajov, ktoré orgán riadenia

môže použiť.

(6)

Osobné údaje podľa odseku 4

a)

nemožno zverejniť, ani ich ďalej poskytovať alebo sprístupňovať tretím stranám, okrem

prípadov výslovne ustanovených zákonom a za podmienok zabezpečujúcich ochranu osobných

údajov,

b)

možno spracúvať až po pseudonymizovaní alebo anonymizovaní, pričom

1.

pseudonymizácia osobných údajov sa vykoná len, ak v konkrétnom prípade nie je možné

použiť anonymizované údaje na dosiahnutie účelu analýzy,

2.

pre orgán vedenia nesmie byť objektívne možná spätná identifikácia fyzickej osoby,

ale musí byť možné identifikovať, ktoré informácie sa týkajú jednej a tej istej osoby,

3.

identifikátor osoby sa ani po anonymizácii ani pseudonymizácii nemusí poskytnúť orgánu

vedenia,

c)

môžu byť vo výstupe z analýzy spracované len spôsobom, keď sú anonymizované a nie

je objektívne možná spätná identifikácia fyzickej osoby.

(7)

Ak sú obsahom údajov, ktoré orgán vedenia analyzuje, aj osobné údaje, orgán vedenia

je oprávnený takéto osobné údaje spracúvať na účely podľa odseku 1 písm. b) alebo

písm. c) alebo podľa odseku 2, a to v rozsahu podľa odseku 4. Oprávnenie podľa prvej

vety sa vzťahuje na osobné údaje v rozsahu nevyhnutnom na dosiahnutie účelu spracúvania

a po dobu nevyhnutnú na dosiahnutie tohto účelu.

(8)

Orgán riadenia predkladá orgánu vedenia dokumenty v procese plánovania, vytvárania,

zmeny alebo rušenia informačnej technológie verejnej správy v rozsahu a spôsobom ustanoveným

všeobecne záväzným právnym predpisom, ktorý vydá ministerstvo investícií na úseku

bezpečnosti, v oblasti riadenia projektov alebo v oblasti riadenia prevádzky. Orgán

vedenia posudzuje predložené dokumenty najmä z hľadiska súladu s požiadavkami bezpečnosti,

s cieľmi informatizácie a rozvoja informačných technológií verejnej správy, ktoré

vyplývajú z národnej koncepcie a ďalších koncepčných a strategických dokumentov s

celoštátnou pôsobnosťou, z hľadiska súladu s povinnosťami orgánu riadenia podľa tohto

zákona, ako aj z hľadiska ekonomickej výhodnosti postupu orgánu riadenia alebo súladu

s programovým riadením.“.

11.

V § 10 ods. 1 sa vypúšťajú slová „s cieľom budovania riadnej a efektívnej úrovne

informatizácie vo verejnej správe“ a na konci sa pripája táto veta: „Cieľom národnej

koncepcie je budovanie takej úrovne informatizácie vo verejnej správe, ktorá vytvorí

možnosti pre orgány riadenia zvyšovať efektívnosť vo výkone ich pôsobnosti, optimalizovať

náklady a kapacity potrebné na tento výkon a zvyšovať dostupnosť a využiteľnosť poskytovaných

elektronických služieb.“.

12.

V § 11 odsek 4 znie

„(4)

Orgán riadenia plní povinnosti podľa § 13a až 23 v rozsahu a spôsobom v závislosti

od veľkosti orgánu riadenia, druhu orgánu riadenia, dôležitosti alebo inej vlastnosti

informačnej technológie verejnej správy, rozsahu poskytovaných elektronických služieb,

výdavkov vynakladaných na informačné technológie verejnej správy alebo od spôsobu

financovania; rozsah a spôsob ustanoví všeobecne záväzný právny predpis, ktorý vydá

ministerstvo investícií.“.

Poznámka pod čiarou k odkazu 11 sa vypúšťa.

15.

§ 12 sa dopĺňa odsekom 3, ktorý znie

„(3)

Správca sprístupní elektronickú službu verejnej správy alebo inú informačnú technológiu

verejnej správy na používanie verejnosti až po sprístupnení informácie o elektronickej

službe verejnej správy alebo o informačnej technológii verejnej správy v centrálnom

metainformačnom systéme verejnej správy podľa odseku 1 písm. b). Informácie podľa

odseku 1 písm. b) sa v rozsahu sprístupnenom orgánom riadenia použijú aj na účely

využívania elektronickej služby a elektronickú komunikáciu s orgánom riadenia prostredníctvom

ústredného portálu.

11a

)“.

16.

V § 13 odsek 1 znie

„(1)

Koncepcia rozvoja je orgánom riadenia vypracovaný súbor cieľov, nástrojov a konkrétnych

plánovaných aktivít, ktorého účelom je definovať architektúru informačných technológií

vo verejnej správe, ktorých je správcom a naplniť požiadavky národnej koncepcie a

strategických priorít informatizácie verejnej správy. Cieľom koncepcie rozvoja je

najmä plánovať budovanie, prevádzku a rozvoj informačných technológií vo verejnej

správe v dlhodobom horizonte tak, aby tieto technológie umožnili zvyšovať efektívnosť

vo výkone pôsobnosti orgánu riadenia, optimalizovať náklady a kapacity potrebné na

tento výkon a zvyšovať dostupnosť a využiteľnosť poskytovaných elektronických služieb.“.

17.

V § 13 ods. 2 úvodnej vete sa slovo „šiestich“ nahrádza číslom „12“.

18.

V § 13 ods. 6 sa slová „každoročne v termíne do 31. mája posúdi“ nahrádzajú slovami

„priebežne posudzuje“.

19.

V § 13a ods. 5 sa slová „§ 15 ods. 8“ nahrádzajú slovami „§ 15 ods. 6“.

20.

V § 13a ods. 7 sa za prvú vetu vkladá nová druhá veta, ktorá znie: „Údaje zo spätnej

väzby podľa prvej vety možno poskytovať tretím osobám až po pseudonymizovaní alebo

anonymizovaní osobných údajov, pričom pseudonymizácia osobných údajov sa vykoná len,

ak v konkrétnom prípade nie je možné použiť anonymizované údaje na dosiahnutie účelu

poskytnutia.“ a v tretej vete sa slová „v určenej lehote, najskôr 31. januára,“ nahrádzajú

slovami „do 31. januára“.

21.

V § 14 ods. 6 písm. c) sa na konci čiarka nahrádza bodkočiarkou a pripájajú sa tieto

slová: „informácie možno sprístupniť až po pseudonymizovaní alebo anonymizovaní osobných

údajov, pričom pseudonymizácia osobných údajov sa vykoná len, ak v konkrétnom prípade

nie je možné použiť anonymizované údaje na dosiahnutie účelu sprístupnenia,“.

22.

V § 15 odsek 2 znie

„(2)

Na zabezpečenie riadenia projektov v oblasti informačných technológií verejnej správy

je správca povinný

a)

vydať vnútorný predpis upravujúci plánovanie projektov, procesné riadenie a implementáciu

projektov,

b)

zabezpečiť, aby sa realizované projekty uskutočňovali v súlade s koncepciou rozvoja,

c)

zabezpečiť, aby projekt mal určené merateľné ukazovatele súladu s koncepciou rozvoja,

identifikované požiadavky, identifikované riziká, určené prínosy a určené merateľné

kritériá kvality,

d)

identifikovať požiadavky podľa odseku 3,

e)

nastaviť požiadavky prevádzky pre všetky informačné technológie verejnej správy,

ktoré sú súčasťou projektu,

f)

odôvodniť vybrané riešenie pre veľké projekty s ohľadom na možné alternatívy a odôvodniť,

najmä z pohľadu hodnoty za peniaze, zvolený postup obstarania a implementácie a tieto

informácie sprístupniť verejnosti,

g)

akceptovať len také zmluvné podmienky, podľa ktorých

1.

užívanie informačnej technológie verejnej správy správcom, prevádzkovateľom alebo

orgánom verejnej moci na výkon ich zmluvnej povinnosti alebo zákonom ustanovenej pôsobnosti

nie je obmedzené,

2.

dohodnuté spôsoby použitia informačného systému, dokumentácie k nemu a zdrojového

kódu správcom, prevádzkovateľom alebo orgánom verejnej moci ich neobmedzujú v možnosti

použitia akýmkoľvek spôsobom potrebným na výkon ich činnosti,

3.

dohodnuté spôsoby použitia informačného systému, dokumentácie k nemu a zdrojového

kódu nebránia súťažným spôsobom z neuzatvoreného okruhu osôb vybrať dodávateľa služieb

spojených s touto technológiou, najmä služieb podpory prevádzky, údržby a rozvoja

a zabezpečiť dodávanie týchto služieb,

4.

je možné udeliť súhlas na použitie informačného systému, dokumentácie k nemu a zdrojového

kódu akémukoľvek správcovi, prevádzkovateľovi na účely výkonu činnosti pre správcu

alebo akémukoľvek orgánu verejnej moci v rovnakom rozsahu, v akom právom na použitie

disponuje ten, kto súhlas udeľuje,

5.

ak vznikne činnosťou dodávateľa a správcu alebo prevádzkovateľa dielo spoluautorov,

majetkové práva k tomuto dielu bude vykonávať vo svojom mene a na svoj účet výhradne

správca, vrátane možnosti zmeny alebo iného zásahu do diela spoluautorov, pričom správca

sa môže dohodnúť inak, len ak to vedie k vyššej miere hospodárnosti alebo efektívnosti,

6.

programový prostriedok tretej strany sa môže stať súčasťou informačného systému len

vtedy, ak

6a.

s tým správca výslovne súhlasí,

6b.

podmienky použitia programového prostriedku tretej strany nebránia použitiu prvého

bodu až štvrtého bodu vo vzťahu k ostatným častiam informačného systému, dokumentácie

k nemu a zdrojového kódu a

6c.

podmienky použitia programového prostriedku tretej strany sú v súlade aspoň s prvým

bodom a tretím bodom, pričom podmienky podľa druhého bodu, štvrtého bodu a piateho

bodu nemusia byť splnené,

7.

právo použiť databázu, ktorá vykazuje kvalitatívne alebo kvantitatívne podstatný

vklad do získania, overenia alebo predvedenia jej obsahu a nie je výsledkom tvorivej

duševnej činnosti autora a právo udeliť súhlas na extrakciu alebo reutilizáciu celého

obsahu takejto databázy alebo jej kvalitatívne alebo kvantitatívne podstatnej časti

sa prevedie na správcu,

8.

je správca jediným a výhradným disponentom so všetkými informáciami zhromaždenými

alebo získanými počas projektu a prevádzky projektom vytvoreného riešenia vrátane

jeho zmien a servisu,

9.

pri zmene dodávateľa pôvodný dodávateľ poskytne správcovi úplnú súčinnosť pri prechode

na nového dodávateľa, najmä v oblasti architektúry a integrácie informačných systémov

a

10.

dodávateľ informačného systému alebo služieb k informačnému systému poskytne inému

dodávateľovi pri vytváraní nového informačného systému súčinnosť, ktorá je potrebná

na riadne vytvorenie a uvedenie do prevádzky, najmä v oblasti migrácie dát a v oblasti

integrácie informačných systémov,

h)

zabezpečiť, aby veľký projekt alebo projekt, ktorý pozostáva z dodania viacerých

funkčných celkov, bol z hľadiska dodania rozdelený na čiastkové plnenia, pričom

1.

každé čiastkové plnenie musí mať vlastný prínos bez ohľadu na celkové plnenie,

2.

po každom čiastkovom plnení musí byť možné projekt ukončiť, ak stratil svoje pôvodné

opodstatnenie,

3.

cena jedného čiastkového plnenia nesmie presiahnuť sumu ustanovenú všeobecne záväzným

právnym predpisom, ktorý vydá ministerstvo investícií, a

4.

lehota dodania každého čiastkového plnenia nesmie presiahnuť lehotu ustanovenú všeobecne

záväzným právnym predpisom, ktorý vydá ministerstvo investícií,

i)

predložiť veľký projekt na posúdenie a schválenie orgánu vedenia a začať s jeho realizáciou

až po jeho schválení,

j)

predložiť zámer na vytvorenie a prevádzkovanie mobilnej aplikácie na posúdenie a

schválenie orgánu vedenia a začať s jeho realizáciou, len ak orgán vedenia do 20 pracovných

dní odo dňa doručenia úplného zámeru nevysloví s realizáciou nesúhlas; na predkladanie

zámeru sa § 13a ods. 10 použije rovnako,

k)

zabezpečiť riadenie zmien podľa odseku 5,

l)

udržiavať technické informácie o realizovanom riešení v aktuálnom a správnom stave

vrátane informácií o vzťahoch medzi jednotlivými jeho prvkami.“.

Poznámka pod čiarou k odkazu 18 sa vypúšťa.

23.

V § 15 sa vypúšťajú odseky 3, 4 a 11.

Doterajšie odseky 5 až 10 sa označujú ako odseky 3 až 8 a doterajšie odseky 12 a 13

sa označujú ako odseky 9 a 10.

24.

V § 15 odsek 8 znie

„(8)

Správca je povinný sprístupňovať v centrálnom metainformačnom systéme verejnej správy

projektovú dokumentáciu informačnej technológie verejnej správy, pričom na rozsah

sprístupňovaných informácií sa použijú ustanovenia osobitného predpisu o obmedzení

prístupu k informáciám,

19

) a nesprístupňovať tie časti, ktorých sprístupnenie by bolo rizikové z pohľadu bezpečnosti

informačnej technológie verejnej správy.“.

Poznámka pod čiarou k odkazu 19 znie

„

19

) § 8 až 13 zákona č. 211/2000 Z. z. v znení neskorších predpisov.“.

25.

V § 15 ods. 9 sa slová „§ 15 ods. 4 písm. f)“ nahrádzajú slovami „odseku 2 písm.

j)“.

26.

V § 15 ods. 10 sa slová „odseku 2 písm. d) prvý bod, odseku 4 písm. e) a odseku 10“

nahrádzajú slovami „odseku 2 písm. g) prvého bodu a písm. i) a odseku 8“.

27.

V § 16 ods. 2 písm. b) sa slová „§ 15 ods. 8 písm. c)“ nahrádzajú slovami „§ 15 ods.

6 písm. c)“.

28.

V § 16 ods. 3 písm. h) sa slová „§ 15 ods. 2 písm. d)“ nahrádzajú slovami „§ 15 ods.

2 písm. g)“.

29.

§ 18 vrátane nadpisu znie

㤠18

Základné ustanovenia

(1)

Správca prijíma a realizuje bezpečnostné opatrenia k informačnej technológii verejnej

správy v jeho správe podľa tohto zákona a všeobecne záväzného právneho predpisu, ktorý

vydá ministerstvo investícií.

(2)

Správca, ktorý je prevádzkovateľom základnej služby, prijíma a realizuje bezpečnostné

opatrenia k informačnej technológii verejnej správy podľa tohto zákona a aj v rozsahu

a za podmienok podľa osobitného predpisu.

20

)“.

Poznámka pod čiarou k odkazu 20 znie

„

20

) § 20 ods. 4 zákona č. 69/2018 Z. z. v znení neskorších predpisov.“.

Poznámky pod čiarou k odkazom 21 a 22 sa vypúšťajú.

30.

V § 19 ods. 1 písm. g) a ods. 3 písm. e) sa za slovo „riešenia“ vkladá slovo „kybernetických“.

31.

V § 19 ods. 2 písm. c) sa za slovo „riešených“ vkladá slovo „kybernetických“.

32.

V § 19 ods. 5 písmeno a) znie

„a)

dodržiava opatrenia týkajúce sa bezpečnosti informačných technológií verejnej správy,“.

33.

V § 21 ods. 2 písm. b) sa slová „klasifikované z hľadiska dôvernosti ako chránené

alebo prísne chránené podľa osobitného predpisu.

22b

)“ nahrádzajú slovami „používané a prístupné len určeným skupinám oprávnených osôb,

ktorých neoprávnené odhalenie, prezradenie alebo zničenie môže mať negatívny vplyv

na poskytovanie služby verejnej správy.“.

34.

V § 21 ods. 3 písmeno b) znie

„b)

aktualizuje bezpečnostný projekt pre tento systém vypracovaný podľa § 23 ods. 1 a

2,“.

35.

V § 21 sa odsek 3 dopĺňa písmenami c) až g), ktoré znejú

„c)

zavedie jednotný systém riadenia informačnej bezpečnosti pre všetky informačné systémy,

ktoré sú v jeho správe,

d)

zabezpečí riadenie konfigurácie informačného systému verejnej správy a jeho častí,

e)

určí bezpečnostne závažné operácie, ktorými sa rozumejú najmä správa prístupov a

prístupových údajov, ukladanie záznamov o systémových udalostiach, realizácia bezpečného

oddelenia vnútornej časti systému a siete od vonkajšej časti, a zavedie dokumentovanie

postupov pre tieto operácie,

f)

zabezpečí nepretržitý monitoring informačného systému verejnej správy,

g)

zabezpečí vykonanie bezpečnostného auditu informačného systému verejnej správy v

pravidelných intervaloch určených najmä s ohľadom na dôležitosť informačného systému

verejnej správy a na minulé zistenia bezpečnostných auditov a pri zistení závažných

bezpečnostných nedostatkov prepracuje bezpečnostný projekt a naň nadväzujúce dokumenty.“.

36.

V § 23 sa odsek 1 dopĺňa písmenom d), ktoré znie

„d)

z technickej dokumentácie a prevádzkovej dokumentácie informačného systému verejnej

správy.“.

37.

V § 23 odseky 3 a 4 znejú

„(3)

Správca je povinný

a)

nahlasovať každý kybernetický bezpečnostný incident

24

) vládnej jednotke CSIRT,

25

)

b)

bezodkladne riešiť kybernetický bezpečnostný incident a prijať opatrenia na zníženie

rizika

26

) vyplývajúceho zo zraniteľnosti bezodkladne po tom, ako sa o kybernetickom bezpečnostnom

incidente alebo zraniteľnosti dozvedel,

c)

prijať alebo upraviť bezpečnostné opatrenia, ak pri riešení kybernetického bezpečnostného

incidentu, riešení penetračného testovania, hodnotení zraniteľností alebo posúdení

bezpečnosti informačných technológií alebo informačných systémov orgánu riadenia zistí

riziko alebo hrozbu podľa osobitného predpisu

3

) pre bezpečnosť informačnej technológie verejnej správy alebo ak bola identifikovaná

a vyhodnotená jej zraniteľnosť, a oznámiť vládnej jednotke CSIRT prijaté bezpečnostné

opatrenia,

d)

viesť evidenciu kybernetických bezpečnostných incidentov a evidenciu postupov na

riešenie kybernetických bezpečnostných incidentov,

e)

určiť a zverejniť na svojom webovom sídle kontaktné údaje na kontaktný bod alebo

primeraný počet kontaktných bodov na nahlasovanie kybernetického bezpečnostného incidentu,

f)

zverejniť na svojom webovom sídle pravidlá na oznamovanie zraniteľností,

g)

predkladať bezpečnostný projekt podľa odsekov 1 a 2 na schválenie orgánu vedenia;

ak orgán vedenia do 20 pracovných dní odo dňa predloženia bezpečnostného projektu

nevyjadrí nesúhlas, platí, že bezpečnostný projekt schválil v predloženom znení,

h)

zasielať najmenej raz ročne orgánu vedenia zoznam aktív podľa § 19 ods. 1 písm. c),

i)

zasielať spôsobom určeným orgánom vedenia vládnej jednotke CSIRT ňou určené systémové

informácie o aktívach, rizikách, kontaktných bodoch a evidencii kybernetických bezpečnostných

incidentov informačných technológií verejnej správy v rozsahu ustanovenom všeobecne

záväzným právnym predpisom, ktorý vydá ministerstvo investícií, a aktualizovať zaslané

údaje do 14 dní po tom, ako došlo k ich zmene,

j)

poskytnúť orgánu vedenia súčinnosť a spoluprácu pri plnení jeho úloh podľa § 23a

a plniť pokyny orgánu vedenia pri výkone jeho oprávnení podľa § 23a.

(4)

Povinnosti podľa odseku 3 sa nevzťahujú na správcu, ktorý je orgánom riadenia podľa

§ 5 ods. 2 písm. f) alebo písm. g).“.

Poznámky pod čiarou k odkazom 24 a 26 znejú

„

24

) § 3 ods. 1 písm. m) zákona č. 69/2018 Z. z. v znení neskorších predpisov.

26

) § 3 ods. 1 písm. i) zákona č. 69/2018 Z. z. v znení neskorších predpisov.“.

38.

V § 23 sa vypúšťa odsek 5.

Poznámka pod čiarou k odkazu 27 sa vypúšťa.

39.

V § 23a ods. 2 písm. d) sa slová „§ 23 ods. 3 písm. d)“ nahrádzajú slovami „§ 23

ods. 3 písm. i)“.

40.

V § 23a sa odsek 2 dopĺňa písmenami f) až h), ktoré znejú

„f)

prijíma nahlásenie kybernetického bezpečnostného incidentu správcom alebo prevádzkovateľom;

povinnosti prevádzkovateľa základnej služby podľa osobitného predpisu

3

) tým nie sú dotknuté,

g)

koordinuje zverejňovanie zraniteľností v informačných technológiách verejnej správy,

h)

spolupracuje na výskume a vývoji nástrojov a riešení v oblasti kybernetickej bezpečnosti.“.

41.

§ 23a sa dopĺňa odsekom 3, ktorý znie

„(3)

Orgán vedenia prostredníctvom vládnej jednotky CSIRT je na účely plnenia úloh podľa

tohto zákona oprávnený využiť automatizované nástroje na spracúvanie údajov a o využití

takýchto nástrojov je povinný informovať prostredníctvom svojho webového sídla. Orgán

vedenia prostredníctvom vládnej jednotky CSIRT je povinný vykonať posúdenie rizík

využitia automatizovaných nástrojov na spracúvanie údajov podľa prvej vety raz ročne

podľa medzinárodných štandardov v oblasti riadenia informačnej bezpečnosti.“.

42.

V § 28 ods. 1 sa slová „§ 8 ods. 2“ nahrádzajú slovami „§ 8 ods. 3 a 5“.

43.

V § 29 ods. 1 písm. a) sa slová „§ 6 ods. 1, § 12 ods. 1 písm. a), § 14 ods. 6, §

15 ods. 2 alebo § 16 ods. 3 písm. e) alebo povinnosti“ nahrádzajú slovami „§ 6 ods.

1 alebo podľa § 12 ods. 1 písm. a) alebo povinnosť“.

44.

V § 29 ods. 1 písm. b) prvom bode sa za slovami „§ 13“ čiarka nahrádza slovom „alebo“

a vypúšťajú sa slová „alebo povinnosť podľa § 15 ods. 11“.

45.

V § 29 ods. 1 písm. c) druhom bode sa slová „§ 8 ods. 2, § 12 ods. 1 písm. c) alebo

písm. j), § 15 ods. 4 písm. d) alebo písm. e), § 16 ods. 3 písm. d) alebo“ nahrádzajú

slovami „§ 8 ods. 3, 5 alebo ods. 8, § 12 ods. 1 písm. c) alebo písm. j) alebo podľa“.

46.

V § 29 ods. 1 písm. d) sa slová „od 125 eur do 5 000 eur“ nahrádzajú slovami „od

250 eur do 15 000 eur“ a na konci sa pripájajú slová „alebo v odseku 2“.

47.

V § 29 sa za odsek 1 vkladá nový odsek 2, ktorý znie

„(2)

Orgán vedenia uloží pokutu

a)

od 10 000 eur do 250 000 eur správcovi, ktorý poruší povinnosť podľa § 15 ods. 2

písm. i) alebo písm. j) alebo ods. 5,

b)

do 5 % z celkovej zmluvnej ceny, najmenej však 10 000 eur správcovi, ktorý poruší

povinnosť podľa § 16 ods. 3 písm. f),

c)

od 1 000 eur do 150 000 eur správcovi, ktorý poruší niektorú z povinností podľa §

15 ods. 2 písm. d) až g),

d)

od 1 000 eur do 35 000 eur správcovi, ktorý poruší povinnosť v rámci nastavenia zmluvných

vzťahov pre poskytovanie služieb podľa § 14 ods. 6,

e)

od 500 eur do 35 000 eur správcovi, ktorý poruší povinnosť podľa § 15 ods. 2 písm.

k) alebo podľa § 16 ods. 3 písm. e) alebo písm. h),

f)

od 250 eur do 35 000 eur správcovi, ktorý poruší povinnosť sprístupniť elektronickú

službu verejnej správy na používanie verejnosti po sprístupnení informácie o elektronickej

službe verejnej správy podľa § 12 ods. 3 prvej vety,

g)

od 250 eur do 25 000 eur správcovi, ktorý poruší povinnosť podľa § 15 ods. 2 písm.

h) alebo podľa § 16 ods. 3 písm. d).“.

Doterajšie odseky 2 až 6 sa označujú ako odseky 3 až 7.

48.

V § 29 ods. 3 sa za slová „odseku 1“ vkladajú slová „alebo odseku 2“.

49.

V § 30 sa pred odsek 1 vkladá nový odsek 1, ktorý znie

„(1)

Správca majetku štátu

37

) môže previesť správu majetku štátu,

37a

) ktorým je informačný systém, na iného správcu majetku štátu prostredníctvom zmluvy

o prevode správy,

37b

) a to aj ak informačný systém nie je prebytočným majetkom štátu.

37c

) Informačný systém môže podľa prvej vety nadobudnúť len správca majetku štátu, ktorý

ho nevyhnutne potrebuje na plnenie úloh v rámci predmetu jeho činnosti alebo v súvislosti

s ním. Informačný systém nemôže podľa prvej vety nadobudnúť štátny orgán bez právnej

subjektivity.“.

Doterajšie odseky 1 až 4 sa označujú ako odseky 2 až 5.

Poznámky pod čiarou k odkazom 37a až 37c znejú

„

37a

) § 3 ods. 1 zákona Národnej rady Slovenskej republiky č. 278/1993 Z. z. v znení zákona

č. 72/1999 Z. z.

37b

) § 9 zákona Národnej rady Slovenskej republiky č. 278/1993 Z. z. v znení neskorších

predpisov.

37c

) § 3 ods. 3 zákona Národnej rady Slovenskej republiky č. 278/1993 Z. z. v znení neskorších

predpisov.“.

50.

V § 30 ods. 2 sa nad slovom „štátu“ vypúšťa odkaz 37.

51.

V § 30 ods. 3 a 4 sa slová „odseku 1“ nahrádzajú slovami „odseku 2“.

52.

Poznámka pod čiarou k odkazu 38 znie

„

38

) Zákon Národnej rady Slovenskej republiky č. 278/1993 Z. z. v znení neskorších predpisov.“.

53.

V § 30 ods. 5 sa vypúšťa slovo „hnuteľný“.

54.

V § 31 sa vypúšťa písmeno a).

Doterajšie písmená b) až n) sa označujú ako písmená a) až m).

55.

V § 31 písm. d) sa slová „§ 15 ods. 4“ nahrádzajú slovami „§ 15 ods. 2“ a slová „písm.

d)“ sa nahrádzajú slovami „písm. h)“.

56.

V § 31 písm. h) sa slová „písmen c) až g), v závislosti od klasifikácie informácií

a kategorizácie sietí a informačných systémov“ nahrádzajú slovami „písmen b) až f),

v závislosti od kritérií podľa § 11 ods. 4“.

57.

V § 31 písm. i) treťom bode sa slová „klasifikácie informácií a od kategorizácie

sietí a informačných systémov“ nahrádzajú slovami „kritérií podľa § 11 ods. 4“.

58.

Za § 33a sa vkladá § 33b, ktorý vrátane nadpisu znie

㤠33b

Prechodné ustanovenia k úpravám účinným dňom vyhlásenia

(1)

Na právne vzťahy, ktoré vznikli do dňa účinnosti tohto zákona a na právne vzťahy,

ktoré vznikli ako výsledok verejného obstarávania začatého do dňa účinnosti tohto

zákona, sa vzťahuje § 15 ods. 2 písm. d) v znení účinnom do dňa účinnosti tohto zákona

a ustanovenia § 15 ods. 2 písm. g) v znení účinnom odo dňa účinnosti tohto zákona

sa na tieto vzťahy nepoužijú.

(2)

Konanie o uložení pokuty za správny delikt podľa § 29 v znení účinnom do dňa účinnosti

tohto zákona, ktoré bolo začaté a právoplatne neukončené do dňa účinnosti tohto zákona

sa dokončí podľa zákona v znení účinnom do dňa účinnosti tohto zákona a pri ukladaní

pokút sa použije tento zákon v znení účinnom odo dňa účinnosti tohto zákona, len ak

je to pre páchateľa správneho deliktu priaznivejšie. Protiprávnosť konania, ku ktorému

došlo do dňa účinnosti tohto zákona, sa posudzuje a sankcia sa ukladá podľa zákona

v znení účinnom v čase spáchania správneho deliktu; protiprávne konanie sa posudzuje

podľa zákona v znení účinnom odo dňa účinnosti tohto zákona, len ak je to pre páchateľa

správneho deliktu priaznivejšie.“.

59.

Slová „Rozhlas a televízia Slovenska“ vo všetkých tvaroch sa v celom texte zákona

nahrádzajú slovami „Slovenská televízia a rozhlas“ v príslušnom tvare.

Čl. II

Zákon č.

305/2013 Z. z.

o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení

niektorých zákonov (zákon o e-Governmente) v znení zákona č. 214/2014 Z. z., zákona

č. 29/2015 Z. z., zákona č. 130/2015 Z. z., zákona č. 273/2015 Z. z., zákona č. 272/2016

Z. z., zákona č. 374/2016 Z. z., zákona č. 238/2017 Z. z., zákona č. 69/2018 Z. z.,

zákona č. 313/2018 Z. z., zákona č. 211/2019 Z. z., zákona č. 134/2020 Z. z., zákona

č. 416/2020 Z. z., zákona č. 325/2022 Z. z., zákona č. 301/2023 Z. z., zákona č. 237/2024

Z. z., zákona č. 354/2024 Z. z. a zákona č. 365/2024 Z. z. sa mení a dopĺňa takto

1.

V § 9a ods. 1 sa na konci pripája táto veta: „Ak kolektívny orgán záujmového združenia

právnických osôb DataCentrum elektronizácie územnej samosprávy Slovenska rozhoduje

o otázkach týkajúcich sa výkonu verejnej správy, pri rovnosti hlasov je rozhodujúci

hlas člena kolektívneho orgánu, ktorý zastupuje ministerstvo financií, pričom kolektívny

orgán je uznášaniaschopný, ak sú prítomní členovia kolektívneho orgánu, ktorí zastupujú

aspoň dve ministerstvá určené rozhodnutím vlády Slovenskej republiky.“.

2.

V § 14 ods. 2 písmeno e) znie

„e)

doručenia žiadosti majiteľa elektronickej schránky o deaktiváciu elektronickej schránky,

alebo bezodkladne po jej doručení, ak ide o elektronickú schránku fyzickej osoby,

fyzickej osoby podnikateľa, zapísanej organizačnej zložky alebo toho, o kom to ustanoví

osobitný predpis, ak nie je zároveň v postavení orgánu verejnej moci,“.

3.

V § 14 sa odsek 2 dopĺňa písmenom f), ktoré znie

„f)

uvedenému v žiadosti ústavu na výkon väzby, ústavu na výkon trestu odňatia slobody,

ústavu na výkon trestu odňatia slobody pre mladistvých, detenčného ústavu, detenčného

ústavu pre mladistvých a nemocnice pre obvinených a odsúdených, ak ide o elektronickú

schránku osoby, ktorá je vo väzbe, výkone trestu odňatia slobody alebo vo výkone detencie,

ak s tým majiteľ elektronickej schránky vyjadril súhlas.“.

4.

V § 14 ods. 3 písm. d) a ods. 4 až 6 sa za slová „odseku 2 písm. e)“ vkladajú slová

„alebo písm. f)“.

5.

Za § 60j sa vkladá § 60k, ktorý vrátane nadpisu znie

㤠60k

Prechodné ustanovenie k úpravám účinným dňom vyhlásenia

Záujmové združenie právnických osôb DataCentrum elektronizácie územnej samosprávy

Slovenska do 15. júna 2026 zosúladí svoje stanovy s § 9a ods. 1 v znení účinnom odo

dňa účinnosti tohto zákona. Ak záujmové združenie právnických osôb DataCentrum elektronizácie

územnej samosprávy Slovenska nezosúladí svoje stanovy v lehote podľa prvej vety, postupuje

sa pri hlasovaní v kolektívnom orgáne podľa § 9a ods. 1 v znení účinnom odo dňa účinnosti

tohto zákona, pričom kolektívny orgán je uznášaniaschopný, ak sú prítomní členovia

kolektívneho orgánu, ktorí zastupujú aspoň dve ministerstvá určené rozhodnutím vlády

Slovenskej republiky.“.

Čl. III

Zákon č.

69/2018 Z. z.

o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení zákona

č. 373/2018 Z. z., zákona č. 134/2020 Z. z., zákona č. 287/2021 Z. z., zákona č. 55/2022

Z. z., zákona č. 231/2022 Z. z., zákona č. 366/2024 Z. z. a zákona č. 318/2025 Z.

z. sa mení a dopĺňa takto

1.

V § 17 ods. 1 písm. c) deviaty bod znie

„9.

je určená ako subjekt hospodárskej mobilizácie spôsobom podľa osobitného predpisu,

23

)“.

Poznámka pod čiarou k odkazu 23 znie

„

23

) § 4 ods. 1 písm. d) zákona č. 179/2011 Z. z. v znení neskorších predpisov.“.

2.

V § 17 ods. 1 písmeno g) znie

„g)

správca informačnej technológie verejnej správy,

23a

) na ktorého sa vo vzťahu k informačným technológiám verejnej správy vzťahujú minimálne

bezpečnostné opatrenia Kategórie II alebo Kategórie III podľa osobitného predpisu,

23aa

)“.

Poznámky pod čiarou k odkazom 23a a 23aa znejú

„

23a

) § 2 ods. 5 zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe

a o zmene a doplnení niektorých zákonov v znení zákona č. 67/2026 Z. z.

23aa

) § 3 ods. 3 a 4 vyhlášky Úradu podpredsedu vlády Slovenskej republiky pre investície

a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah

bezpečnostných opatrení informačných technológií verejnej správy.“.

Čl. IV

Tento zákon nadobúda účinnosť dňom vyhlásenia okrem čl. I bodov 5, 13 a 14, ktoré

nadobúdajú účinnosť 1. januára 2027.