SK
ZÁKON 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov
Table of Provisions (12)
Statutory Text (12 Articles)
„Príloha č. 3
k zákonu č. 45/2011 Z. z.
SEKTORY V PÔSOBNOSTI ÚSTREDNÝCH ORGÁNOV
Sektor
Podsektor
Ústredný orgán
1. Doprava
Cestná doprava
Letecká doprava
Vodná doprava
Železničná doprava
Ministerstvo dopravy a výstavby Slovenskej republiky
2. Elektronické komunikácie
Satelitná komunikácia
Siete a služby pevných elektronických komunikácií a mobilných elektronických komunikácií
Ministerstvo dopravy a výstavby Slovenskej republiky
3. Energetika
Baníctvo
Elektroenergetika
Plynárenstvo
Ropa a ropné produkty
Ministerstvo hospodárstva Slovenskej republiky
4. Pošta
Poskytovanie poštových služieb, poštový platobný styk a obstarávateľská činnosť
Ministerstvo dopravy a výstavby Slovenskej republiky
5. Priemysel
Farmaceutický priemysel
Hutnícky priemysel
Chemický priemysel
Ministerstvo hospodárstva Slovenskej republiky
6. Informačné a komunikačné technológie
Informačné systémy a siete
Úrad podpredsedu vlády Slovenskej republiky pre investície a informatizáciu
7. Voda a atmosféra
Meteorologická služba
Vodné stavby
Zabezpečovanie pitnej vody
Ministerstvo životného prostredia Slovenskej republiky
8. Zdravotníctvo
Ministerstvo zdravotníctva Slovenskej republiky
“.
Čl. I
§ 1
Predmet zákona
Tento zákon upravuje
a)
podmienky pre riadenie a zabezpečenie kybernetickej bezpečnosti, najmä
1.
postavenie a povinnosti prevádzkovateľa základnej služby,
2.
bezpečnostné opatrenia,
3.
hlásenie kybernetického bezpečnostného incidentu, významnej kybernetickej hrozby,
udalosti odvrátenej v poslednej chvíli a zraniteľnosti,
4.
riešenie kybernetického bezpečnostného incidentu,
5.
opatrenia proti produktom IKT, službám IKT alebo procesom IKT ohrozujúcim kybernetickú
bezpečnosť a proti škodlivému obsahu,
b)
správu v oblasti kybernetickej bezpečnosti, najmä
1.
organizáciu, pôsobnosť a povinnosti orgánov verejnej moci v oblasti kybernetickej
bezpečnosti,
2.
úlohy a pôsobnosť národnej autority pre certifikáciu kybernetickej bezpečnosti,
3.
národnú stratégiu kybernetickej bezpečnosti,
4.
národný plán reakcie na rozsiahle kybernetické bezpečnostné incidenty a kybernetické
krízy,
5.
jednotný informačný systém kybernetickej bezpečnosti,
6.
súčinnosť a výmenu informácií,
c)
organizáciu a pôsobnosť jednotiek pre riešenie kybernetických bezpečnostných incidentov
(ďalej len „jednotka CSIRT“) a ich akreditáciu,
d)
audit kybernetickej bezpečnosti a dohľad nad plnením povinností prevádzkovateľa základnej
služby podľa tohto zákona alebo povinností uložených na základe tohto zákona (ďalej
len „dohľad“).“.
§ 2
Pôsobnosť zákona
(1)
Tento zákon sa vzťahuje na informačné systémy zriadené a prevádzkované v pôsobnosti
Ministerstva obrany Slovenskej republiky v rozsahu určenom ústredným orgánom spôsobom
podľa § 33 ods. 5.
(2)
Ak ide o osobu, ktorá poskytuje službu DNS, službu registrácie názvu domény, službu
cloud computingu, službu dátového centra, sieť na sprístupňovanie obsahu, riadenú
službu, bezpečnostnú službu, službu online trhu, službu internetového vyhľadávača
alebo platformu služieb sociálnej siete, možno ju zapísať do registra prevádzkovateľov
základnej služby a tento zákon sa na ňu vzťahuje aj vtedy, ak nemá trvalý pobyt, miesto
podnikania alebo sídlo na území Slovenskej republiky,
a)
má trvalý pobyt, miesto podnikania alebo sídlo v členskom štáte Európskej únie alebo
štáte, ktorý je zmluvnou stranou Dohody o Európskom hospodárskom priestore (ďalej
len „členský štát Európskej únie“) a na území Slovenskej republiky
1.
najčastejšie prijíma rozhodnutia týkajúce sa bezpečnostných opatrení na riadenie
rizík,
2.
vykonáva opatrenia s cieľom zachovania kybernetickej bezpečnosti, ak nemožno určiť
trvalý pobyt, miesto podnikania alebo sídlo podľa písmena a),
3.
má prevádzkareň s najvyšším počtom zamestnancov spomedzi prevádzkarní umiestnených
v členských štátoch Európskej únie,
b)
nemá trvalý pobyt, miesto podnikania alebo sídlo v členskom štáte Európskej únie
a
1.
má trvalý pobyt, miesto podnikania alebo sídlo na území Slovenskej republiky jej
zástupca podľa
§ 21 ods. 1
,
2.
vzťahuje sa na ňu povinnosť podľa
§ 21 ods. 1
, ale nemá určeného zástupcu s trvalým pobytom, miestom podnikania alebo sídlom v
Slovenskej republike alebo v inom členskom štáte Európskej únie podľa
§ 21 ods. 1.
(3)
Tento zákon sa nevzťahuje na
a)
požiadavky na zabezpečenie sietí a informačných systémov podľa všeobecného predpisu
o ochrane utajovaných skutočností,
b)
osobitné ustanovenia o úlohách a oprávneniach spravodajskej služby pri ochrane kybernetického
priestoru podľa osobitného predpisu,
1
)
c)
ustanovenia osobitných predpisov o vyšetrovaní, odhaľovaní a stíhaní trestných činov,
2
)
d)
požiadavky na zabezpečenie sietí a informačných systémov v sektore bankovníctva,
financií alebo finančného systému podľa osobitného predpisu,
3
)
vrátane štandardov a zásad vydaných alebo prijatých Európskou centrálnou bankou,
Európskym systémom centrálnych bánk, Eurosystémom alebo európskymi orgánmi dohľadu,
4
)
ako aj dohľad a kontrolu plnenia týchto požiadaviek a ani na platobné systémy a na
systémy zúčtovania a vyrovnania cenných papierov a ich infraštruktúry dohliadané alebo
prevádzkované Európskou centrálnou bankou alebo Eurosystémom podľa osobitných predpisov.
5
)
§ 3
Vymedzenie základných pojmov
(1)
Na účely tohto zákona sa rozumie
a)
sieťou elektronická komunikačná sieť podľa osobitného predpisu,
8
)
b)
informačným systémom funkčný celok, ktorý zabezpečuje získavanie, zhromažďovanie,
automatické spracúvanie, udržiavanie, sprístupňovanie, poskytovanie, prenos, ukladanie,
archiváciu, likvidáciu a ochranu údajov prostredníctvom technických prostriedkov alebo
programových prostriedkov,
c)
kybernetickým priestorom globálny dynamický otvorený systém sietí a informačných
systémov, ktorý tvoria aktivované prvky kybernetického priestoru, osoby vykonávajúce
aktivity v tomto systéme a vzťahy a interakcie medzi nimi,
d)
kontinuitou strategická a taktická schopnosť organizácie plánovať a reagovať na udalosti
a incidenty s cieľom pokračovať vo výkone činností na prijateľnej, vopred stanovenej
úrovni,
e)
dôvernosťou záruka, že údaj alebo informácia nie je prezradená neoprávneným subjektom
alebo procesom,
f)
dostupnosťou záruka, že údaj alebo poskytovaná služba sú pre používateľa, informačný
systém, sieť alebo zariadenie prístupné vo chvíli, keď sú potrebné a požadované,
g)
integritou záruka, že bezchybnosť, úplnosť alebo správnosť údaja neboli narušené,
h)
kybernetickou bezpečnosťou stav, v ktorom sú siete a informačné systémy schopné odolávať
na určitom stupni spoľahlivosti akémukoľvek konaniu, ktoré ohrozuje dostupnosť, pravosť,
integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo
súvisiacich služieb poskytovaných alebo prístupných prostredníctvom týchto sietí a
informačných systémov,
i)
rizikom potenciál straty alebo narušenia v dôsledku kybernetického bezpečnostného
incidentu vyjadrený ako kombinácia rozsahu takejto straty alebo narušenia a pravdepodobnosti
výskytu kybernetického bezpečnostného incidentu,
j)
kybernetickou hrozbou kybernetická hrozba podľa čl. 2 bodu 8 nariadenia Európskeho
parlamentu a Rady (EÚ) 2019/881 zo 17. apríla 2019 o agentúre ENISA (Agentúra Európskej
únie pre kybernetickú bezpečnosť) a o certifikácii kybernetickej bezpečnosti informačných
a komunikačných technológií a o zrušení nariadenia (EÚ) č. 526/2013 (akt o kybernetickej
bezpečnosti) (ďalej len „nariadenie (EÚ) 2019/881“),
k)
významnou kybernetickou hrozbou kybernetická hrozba, o ktorej možno na základe jej
technických charakteristík predpokladať, že má potenciál spôsobiť závažný kybernetický
bezpečnostný incident alebo môže mať iný závažný vplyv na sieť a informačný systém
subjektu alebo používateľov služieb subjektu tým, že spôsobí značnú škodu,
9
)
l)
kybernetickou krízou obdobie, počas ktorého bezprostredne hrozí vznik rozsiahleho
kybernetického bezpečnostného incidentu alebo trvá rozsiahly kybernetický bezpečnostný
incident,
m)
kybernetickým bezpečnostným incidentom udalosť ohrozujúca dostupnosť, pravosť, integritu
alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo služieb
poskytovaných alebo prístupných prostredníctvom sietí a informačných systémov,
n)
rozsiahlym kybernetickým bezpečnostným incidentom kybernetický bezpečnostný incident,
ktorý spôsobí narušenie na úrovni presahujúcej schopnosť Slovenskej republiky naň
reagovať, alebo ktorý má významný vplyv aspoň na dva členské štáty Európskej únie,
o)
riešením kybernetického bezpečnostného incidentu aktivita a postup zamerané na prevenciu,
odhaľovanie, analýzu a obmedzovanie kybernetického bezpečnostného incidentu alebo
na reakciu naň a zotavenie z neho,
p)
udalosťou odvrátenou v poslednej chvíli udalosť, ktorá by mohla ohroziť dostupnosť,
pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov
alebo služieb poskytovaných alebo prístupných prostredníctvom týchto sietí a informačných
systémov, ale ktorej vzniku sa úspešne zabránilo alebo ku ktorej nedošlo,
q)
zraniteľnosťou akýkoľvek nežiaduci stav alebo chyba technického prostriedku alebo
programového prostriedku, alebo nedostatok procesu vrátane nesprávnej bezpečnostnej
konfigurácie, ktorá môže byť zneužitá kybernetickou hrozbou,
r)
produktom IKT produkt IKT podľa čl. 2 ods. 12 nariadenia (EÚ) 2019/881,
s)
službou IKT služba IKT podľa čl. 2 ods. 13 nariadenia (EÚ) 2019/881,
t)
procesom IKT proces IKT podľa čl. 2 ods. 14 nariadenia (EÚ) 2019/881,
u)
európskym certifikátom kybernetickej bezpečnosti európsky certifikát kybernetickej
bezpečnosti podľa čl. 2 ods. 11 nariadenia (EÚ) 2019/881,
v)
správcom TLD osoba, ktorej bola pridelená osobitná doména najvyššej úrovne (TLD)
a ktorá je zodpovedná za správu TLD vrátane registrácie názvov domén v rámci TLD a
za technickú prevádzku TLD vrátane prevádzky názvových serverov, údržby jeho databáz
a distribúcie súborov zóny TLD v rámci názvových serverov bez ohľadu na to, či ktorúkoľvek
z týchto operácií vykonáva sama alebo prostredníctvom inej osoby,
w)
službou DNS hierarchický distribuovaný systém názvov, ktorý umožňuje identifikáciu
internetových služieb a zdrojov a to, aby zariadenia koncových používateľov používali
služby smerovania internetu a pripojenia na účely prístupu k týmto službám a zdrojom,
x)
službou registrácie názvu domény služba, ktorú vykonáva registrátor alebo zástupca
konajúci v mene registrátora, ktorej cieľom je vznik práva na využívanie domény druhej
úrovne držiteľom domény v dohodnutom rozsahu, na dohodnuté časové obdobie a za dohodnutých
podmienok,
y)
kľúčovou službou služba pre zachovanie dôležitých spoločenských oblastí alebo hospodárskych
činností, pri ktorej dopad kybernetického bezpečnostného incidentu v informačnom systéme
alebo v sieti, na ktorých fungovaní je závislé poskytovanie služby, môže spôsobiť
1.
ohrozenie dostupnosti, pravosti, integrity alebo dôvernosti uchovávaných, prenášaných
alebo spracúvaných údajov alebo súvisiacich služieb poskytovaných alebo prístupných
prostredníctvom týchto sietí a informačných systémov, ktoré postihuje viac ako 25
000 osôb,
2.
obmedzenie alebo narušenie kritického subjektu, jeho základnej služby alebo kritickej
infraštruktúry,
3.
hospodársku stratu vyššiu ako 0,1 % hrubého domáceho produktu podľa údajov z bezprostredne
predchádzajúceho rozpočtového roka, alebo
4.
hospodársku stratu alebo hmotnú škodu najmenej jednému užívateľovi viac ako 250 000
eur,
z)
významným vplyvom na verejný poriadok, bezpečnosť alebo verejné zdravie vplyv, pri
ktorom dopad kybernetického bezpečnostného incidentu v informačnom systéme alebo v
sieti, na ktorých fungovaní je závislé poskytovanie služby, môže spôsobiť narušenie
verejného poriadku, bezpečnosti, ohrozenie verejného zdravia, mimoriadnu udalosť alebo
tieseň, ktorá môže
1.
vyžadovať vykonanie záchranných prác alebo výkon činností a opatrení súvisiacich
s poskytovaním pomoci v tiesni,
2.
spôsobiť viac ako 100 zranených osôb vyžadujúcich lekárske ošetrenie alebo úmrtie
aspoň jednej osoby,
aa)
významným systémovým rizikom riziko narušenia systému, ktoré môže mať závažné negatívne
dôsledky alebo zásadným spôsobom sťažuje udržanie kybernetickej bezpečnosti, a tým
ohrozuje život alebo zdravie osôb, hospodárske fungovanie štátu, verejný poriadok,
bezpečnosť alebo majetok osôb, alebo ohrozuje bezpečnostné záujmy Slovenskej republiky,
ab)
osobou, ktorá je vzhľadom na svoj osobitný význam na vnútroštátnej alebo regionálnej
úrovni kritická osoba, ktorej narušenie z dôvodu kybernetického bezpečnostného incidentu
môže vyžadovať vykonanie záchranných prác alebo výkon činností a opatrení súvisiacich
s poskytovaním pomoci v tiesni.
(2)
Prevádzkovateľom základnej služby je ten, kto je zapísaný v registri prevádzkovateľov
základnej služby.
§ 4
Pôsobnosť orgánov verejnej moci
Pôsobnosť v oblasti kybernetickej bezpečnosti vykonávajú
a)
Národný bezpečnostný úrad (ďalej len „úrad“),
b)
Ministerstvo dopravy Slovenskej republiky, Ministerstvo financií Slovenskej republiky,
Ministerstvo hospodárstva Slovenskej republiky, Ministerstvo obrany Slovenskej republiky,
Ministerstvo vnútra Slovenskej republiky, Ministerstvo zdravotníctva Slovenskej republiky,
Ministerstvo životného prostredia Slovenskej republiky, Ministerstvo investícií, regionálneho
rozvoja a informatizácie Slovenskej republiky a Správa štátnych hmotných rezerv Slovenskej
republiky (ďalej len „ústredný orgán“),
c)
ministerstvá a ostatné ústredné orgány štátnej správy,
10
)
ktoré nie sú ústredným orgánom, Generálna prokuratúra Slovenskej republiky, Najvyšší
kontrolný úrad Slovenskej republiky, Úrad pre dohľad nad zdravotnou starostlivosťou,
Úrad na ochranu osobných údajov Slovenskej republiky, Úrad pre reguláciu sieťových
odvetví a iné štátne orgány v rozsahu svojej pôsobnosti (ďalej len „iný orgán štátnej
správy“).
§ 5
Úrad
(1)
Úrad v oblasti kybernetickej bezpečnosti
a)
riadi a koordinuje výkon štátnej správy,
b)
určuje štandardy, operačné postupy, vydáva metodiku a politiku správania sa v kybernetickom
priestore,
c)
určuje zásady predchádzania kybernetickým bezpečnostným incidentom a zásady ich riešenia,
d)
vypracúva národnú stratégiu kybernetickej bezpečnosti a ročnú správu o stave kybernetickej
bezpečnosti v Slovenskej republike a národný plán reakcie na rozsiahle kybernetické
bezpečnostné incidenty a kybernetické krízy, je orgánom pre riadenie kybernetických
kríz a plní úlohu národného koordinátora riadenia rozsiahlych kybernetických bezpečnostných
incidentov a kybernetických kríz, v spolupráci s príslušnými štátnymi orgánmi,
e)
je národným kontaktným miestom pre kybernetickú bezpečnosť, pre vnútroštátnu spoluprácu
a pre zahraničie a zabezpečuje spoluprácu s jednotnými kontaktnými miestami členských
štátov Európskej únie,
f)
plní notifikačné a nahlasovacie povinnosti voči príslušným orgánom Európskej únie
a podieľa sa a podporuje vytváranie partnerstiev na národnej a medzinárodnej úrovni
v oblasti kybernetickej bezpečnosti,
g)
zabezpečuje členstvo Slovenskej republiky v skupine pre spoluprácu a v sieti jednotiek
CSIRT,
h)
v spolupráci s Ministerstvom zahraničných vecí a európskych záležitostí Slovenskej
republiky rozvíja medzinárodnú spoluprácu a sleduje vplyvy aktivít v oblasti kybernetickej
bezpečnosti na zahraničnopolitické záujmy Slovenskej republiky a partnerov v rámci
Európskej únie,
i)
spolupracuje s ústrednými orgánmi, inými orgánmi štátnej správy a jednotkami CSIRT,
prevádzkovateľmi základnej služby a s vedeckými inštitúciami a akademickými inštitúciami
pri plnení úloh podľa tohto zákona,
j)
spravuje a prevádzkuje jednotný informačný systém kybernetickej bezpečnosti,
k)
koná vo veci určenia subjektu ako prevádzkovateľa základnej služby a jeho zápisu
do registra prevádzkovateľov základnej služby,
l)
vedie a spravuje
1.
register prevádzkovateľov základnej služby,
2.
zoznam akreditovaných jednotiek CSIRT,
3.
zoznam autorizovaných orgánov posudzovania zhody,
4.
zoznam vydaných európskych certifikátov kybernetickej bezpečnosti,
5.
zoznam notifikovaných osôb akreditovaných v rozsahu schémy certifikácie kybernetickej
bezpečnosti podľa čl. 49 nariadenia (EÚ) 2019/881,
m)
systematicky získava, sústreďuje, analyzuje a vyhodnocuje informácie o stave kybernetickej
bezpečnosti v Slovenskej republike,
n)
akredituje jednotky CSIRT okrem Národnej jednotky CSIRT a vládnej jednotky CSIRT
a zaraďuje ich do zoznamu akreditovaných jednotiek CSIRT,
o)
určuje ústredný orgán pre sektor podľa prílohy č. 1 alebo prílohy č. 2 v súlade s
oblasťami jeho pôsobnosti podľa osobitného predpisu
10aaa
)
a plní úlohy ústredného orgánu pre typ subjektu podľa
prílohy č. 1
a
prílohy č. 2
,
p)
zabezpečuje a zodpovedá za koordinované riešenie kybernetických bezpečnostných incidentov
na národnej úrovni,
q)
rieši kybernetické bezpečnostné incidenty, vyhlasuje výstrahu a varovania pred závažným
kybernetickým bezpečnostným incidentom, ukladá povinnosť vykonať reaktívne opatrenie
a schvaľuje ochranné opatrenie,
r)
zasiela a vyhlasuje včasné varovania, výstrahy alebo vyhlasuje stav kybernetickej
krízy,
s)
prijíma vnútroštátne hlásenia o kybernetických bezpečnostných incidentoch, kybernetických
hrozbách, udalostiach odvrátených v poslednej chvíli a o zraniteľnostiach,
t)
prijíma hlásenia o kybernetických bezpečnostných incidentoch, kybernetických hrozbách
a zraniteľnostiach zo zahraničia a zabezpečuje spoluprácu s medzinárodnými organizáciami
a orgánmi iných štátov pri riešení kybernetických bezpečnostných incidentov s cezhraničným
charakterom,
u)
vykonáva dohľad,
v)
vykonáva audit alebo požiada certifikovaného audítora kybernetickej bezpečnosti o
vykonanie auditu u prevádzkovateľa základnej služby,
w)
vydáva znalostné štandardy a zverejňuje ich na svojom webovom sídle, a v spolupráci
s Ministerstvom školstva, výskumu, vývoja a mládeže Slovenskej republiky vykonáva
a zabezpečuje budovanie bezpečnostného povedomia,
x)
koordinuje výskum a vývoj,
y)
je vnútroštátnym orgánom pre certifikáciu kybernetickej bezpečnosti a orgánom posudzovania
zhody podľa osobitného predpisu
10aa
)
,
z)
plní úlohy kompetenčného a odvetvového centra podľa osobitného predpisu
10ab
)
,
aa)
vykonáva kontrolu a dozor podľa čl. 58 ods. 7 písm. a) a b) nariadenia (EÚ) 2019/881
a prijíma opatrenia podľa čl. 58 ods. 8 písm. c) nariadenia (EÚ) 2019/881,
ab)
v rámci systému certifikácie kybernetickej bezpečnosti vydáva bezpečnostné štandardy,
certifikačné schémy a postupy,
ac)
vedie a zverejňuje na svojom webovom sídle zoznam orgánov posudzovania zhody v systéme
certifikácie kybernetickej bezpečnosti, zoznam certifikačných orgánov audítorov kybernetickej
bezpečnosti a zoznam právnických osôb, prostredníctvom ktorých je možné realizovať
audity kybernetickej bezpečnosti,
ad)
posudzuje bezpečnostné riziká dodávateľa na výkon činností, ktoré priamo súvisia
s prevádzkou sietí a informačných systémov pre prevádzkovateľa základnej služby (ďalej
len „tretia strana“) pre kybernetickú bezpečnosť Slovenskej republiky a správu o tomto
posúdení predkladá Bezpečnostnej rade Slovenskej republiky,
ae)
predkladá príslušnému osobitnému kontrolnému výboru Národnej rady Slovenskej republiky
každoročne správu o dodržiavaní noriem týkajúcich sa ochrany telekomunikačného tajomstva
a osobných údajov občanov Slovenskej republiky,
af)
rozhoduje o blokovaní škodlivého obsahu alebo škodlivej aktivity, ktorá smeruje do
kybernetického priestoru Slovenskej republiky alebo z kybernetického priestoru Slovenskej
republiky (ďalej len „blokovanie“) a zabezpečuje vykonanie tohto rozhodnutia alebo
vykonáva blokovanie na základe žiadosti,
ag)
plní úlohy orgánu dohľadu nad trhom
10ac
)
pre produkt s digitálnymi prvkami.
10ad
)
(2)
Na účely zabezpečenia plnenia úloh podľa tohto zákona môže úrad na účel zabezpečenia
kybernetickej bezpečnosti uzatvoriť písomnú dohodu o spolupráci a o výmene informácií
a podkladov s orgánmi verejnej moci alebo s inou právnickou osobou.
10a
)
Pri poskytnutí informácií je prijímajúci subjekt povinný zabezpečiť najmenej rovnakú
úroveň dôvernosti ako subjekt, ktorý informácie poskytol.
(3)
Na účely zabezpečenia plnenia úloh podľa tohto zákona môže úrad uzatvoriť písomnú
dohodu o spolupráci s fyzickou osobou. Dohoda o spolupráci musí obsahovať konkrétnu
formu a podmienky spolupráce a fyzická osoba musí byť oprávnená na oboznamovanie sa
s utajovanými skutočnosťami príslušného stupňa utajenia, ak to plnenie úloh vyžaduje.
§ 5a
Systém certifikácie kybernetickej bezpečnosti
(1)
Systémom certifikácie kybernetickej bezpečnosti je súbor pravidiel a postupov na
riadenie jednotlivých schém certifikácie kybernetickej bezpečnosti.
(2)
Schéma certifikácie kybernetickej bezpečnosti je súbor pravidiel, technických požiadaviek,
technických noriem a postupov, ktoré sa uplatňujú na certifikáciu alebo posudzovanie
zhody konkrétnych produktov IKT, služieb IKT alebo procesov IKT.
(3)
Certifikáciu kybernetickej bezpečnosti pre úrovne záruky základná, významná alebo
vysoká podľa osobitého predpisu
10b
)
vykonáva len akreditovaná osoba.
10c
)
Akreditovanou osobou pre certifikáciu kybernetickej bezpečnosti pre úroveň záruky
vysoká
10d
)
môže byť len úrad.
10e
)
§ 6
Národná jednotka CSIRT
(1)
Úrad zriaďuje Národné centrum kybernetickej bezpečnosti ako svoju organizačnú zložku,
ktorá má postavenie národnej jednotky CSIRT s pôsobnosťou pre Slovenskú republiku,
ktorá musí spĺňať podmienky akreditácie podľa
§ 14
a plniť úlohy jednotky CSIRT podľa
§ 15
pre všetky sektory a podsektory uvedené v
prílohe č. 1
alebo v
prílohe č. 2
okrem tých sektorov a podsektorov, pre ktoré plní úlohy jednotky CSIRT ústredný orgán.
Národná jednotka CSIRT je zaradená v zozname akreditovaných jednotiek CSIRT.
(2)
Národná jednotka CSIRT plní úlohu ústredného orgánu v rozsahu podľa
§ 9 ods. 1 písm. a)
, ak ústredný orgán túto úlohu nezabezpečí spôsobom podľa
§ 9 ods. 2
.
(3)
Na činnosti národnej jednotky CSIRT sa vyslaním svojich zástupcov a ďalšími formami
spolupráce môže podieľať aj iný orgán štátnej správy v rozsahu a spôsobom ustanovenými
na základe uzatvorených zmlúv o spolupráci.
(4)
Plnenie úloh úradu podľa odsekov 1 a 2 nezbavuje prevádzkovateľa základnej služby
ani ústredný orgán zodpovednosti za plnenie povinností podľa tohto zákona a ani za
plnenie povinností vo vzťahu k sieťam a informačným systémom podľa osobitných predpisov.
(5)
Úrad prostredníctvom národnej jednotky CSIRT na účely zverejňovania zraniteľností
alebo zamedzenia ich zneužitia plní úlohu koordinátora vo veciach komunikácie o zistených
alebo nahlásených zraniteľnostiach medzi prevádzkovateľom základnej služby, výrobcom
alebo dodávateľom produktu IKT alebo služby IKT a inými dotknutými osobami. Na účely
podľa prvej vety úrad prostredníctvom národnej jednotky CSIRT
a)
identifikuje a kontaktuje dotknuté osoby,
b)
komunikuje o zraniteľnosti s výrobcom alebo poskytovateľom produktu IKT alebo služby
IKT,
c)
oznamuje prevádzkovateľovi základnej služby zraniteľnosť, ktorá sa ho týka a odporučí
mu opatrenia na zamedzenie jej zneužiteľnosti; opatrenia na úseku kontroly a riešenia
kybernetických bezpečnostných incidentov tým nie sú dotknuté,
d)
poskytuje pomoc osobám oznamujúcim zraniteľnosti,
e)
riadi zverejňovanie zraniteľností.
(6)
Úrad zabezpečí, aby bolo možné oznamovať zraniteľnosti aj prostredníctvom jednotného
informačného systému kybernetickej bezpečnosti vrátane anonymných oznámení a na žiadosť
oznamovateľa zabezpečí zachovanie jeho anonymity vo vzťahu k oznámeným skutočnostiam.
(7)
Ak ide o zraniteľnosť týkajúcu sa služby, ku ktorej vykonáva služby jednotka CSIRT
v inom členskom štáte Európskej únie, postúpi úrad oznámenie o zraniteľnosti tejto
jednotke CSIRT a informuje o tom oznamovateľa.
(8)
Úrad prostredníctvom národnej jednotky CSIRT vykonáva neinvazívne zisťovanie a hodnotenie
zraniteľností verejne prístupnej siete a informačného systému v kybernetickom priestore
Slovenskej republiky, ktoré nemá negatívny vplyv na tieto siete a informačné systémy,
ako ani na služby, ktoré poskytujú a činnosti, ktoré zabezpečujú.
§ 7
Národná stratégia kybernetickej bezpečnosti a národný plán reakcie na rozsiahle kybernetické
bezpečnostné incidenty a kybernetické krízy
(1)
Národná stratégia kybernetickej bezpečnosti je východiskový strategický dokument,
ktorý komplexne určuje strategický prístup Slovenskej republiky k zabezpečeniu vysokej
úrovne kybernetickej bezpečnosti. Súčasťou národnej stratégie kybernetickej bezpečnosti
sú politiky a národný plán reakcie na rozsiahle kybernetické bezpečnostné incidenty
a kybernetické krízy, ktorý je konkrétnym plánom čiastkových úloh a zdrojov.
(2)
Národná stratégia kybernetickej bezpečnosti obsahuje najmä
a)
ciele a priority,
b)
rámec riadenia na dosiahnutie cieľov a priorít,
c)
rámec riadenia na objasnenie úloh a povinností zainteresovaných osôb na vnútroštátnej
úrovni a ich zoznam,
d)
mechanizmus na identifikáciu relevantných prostriedkov a hodnotenie rizík,
e)
identifikáciu opatrení na zabezpečenie pripravenosti a schopnosti reakcie na kybernetické
hrozby, zraniteľnosti a kybernetické bezpečnostné incidenty a zotavenia z nich vrátane
spolupráce medzi verejným sektorom a súkromným sektorom,
f)
rámec pre posilnenú koordináciu medzi príslušnými orgánmi podľa tohto zákona za účelom
výmeny informácií o rizikách, kybernetických hrozbách a kybernetických bezpečnostných
incidentoch,
g)
plán vrátane potrebných opatrení na zvýšenie všeobecnej úrovne informovanosti občanov
Slovenskej republiky o kybernetickej bezpečnosti.
(3)
V rámci národnej stratégie kybernetickej bezpečnosti sa prijímajú politiky najmä
na zabezpečenie
a)
kybernetickej bezpečnosti v dodávateľskom reťazci produktov IKT a služieb IKT,
b)
zohľadňovania požiadaviek na kybernetickú bezpečnosť produktov IKT a služieb IKT
vo verejnom obstarávaní, a to aj ak ide o certifikáciu kybernetickej bezpečnosti,
kryptografické opatrenia a využívanie produktov s otvoreným zdrojovým kódom,
c)
riadenia zraniteľností vrátane podpory a sprostredkovania koordinovaného zverejňovania
zraniteľností,
d)
udržania všeobecnej dostupnosti, integrity a dôvernosti základných komunikačných
protokolov a infraštruktúry otvoreného internetu,
e)
podpory vývoja a integrácie pokročilých technológií so zámerom implementovať najmodernejšie
opatrenia na riadenie rizík,
f)
podpory a rozvoja vzdelávania a odbornej prípravy v oblasti kybernetickej bezpečnosti,
kvalifikácií v oblasti kybernetickej bezpečnosti, zvyšovania informovanosti a výskumných
a vývojových iniciatív v oblasti kybernetickej bezpečnosti, ako aj usmernenia o správnych
postupoch a kontrolách bezpečnostného vzdelávania a získavania vedomostí a zručností,
zamerané na občanov Slovenskej republiky a iné zainteresované osoby,
g)
podpory akademických inštitúcií a výskumných inštitúcií pri vývoji, zlepšovaní a
zavádzaní nástrojov kybernetickej bezpečnosti a bezpečnej sieťovej infraštruktúry,
h)
postupov a vhodných nástrojov zdieľania informácií na podporu dobrovoľného zdieľania
informácií o kybernetickej bezpečnosti medzi prevádzkovateľmi základnej služby a inými
osobami, pri dodržaní podmienok ich zdieľania,
i)
posilnenia kybernetickej bezpečnosti a schopnosti identifikovať a odvrátiť kybernetickú
hrozbu a obnoviť pôvodný stav po kybernetickom bezpečnostnom incidente,
j)
podpory aktívnej kybernetickej ochrany.
(4)
Ústredný orgán a iný orgán štátnej správy spolupracujú s úradom na vypracovaní národnej
stratégie kybernetickej bezpečnosti a na tento účel sú povinné poskytnúť úradu informácie
v potrebnom rozsahu.
(5)
Národnú stratégiu kybernetickej bezpečnosti schvaľuje vláda Slovenskej republiky
na návrh úradu, na obdobie piatich rokov.
(6)
Národný plán reakcie na rozsiahle kybernetické bezpečnostné incidenty a kybernetické
krízy je strategický dokument, ktorý určuje ciele a spôsoby riadenia rozsiahlych kybernetických
bezpečnostných incidentov a kybernetických kríz a obsahuje najmä
a)
ciele, prípravu a opatrenia v oblasti pripravenosti na vznik rozsiahleho kybernetického
bezpečnostného incidentu a kybernetickej krízy,
b)
úlohy orgánov krízového riadenia pri riadení kybernetických kríz v rozsahu ich oprávnení
podľa osobitných predpisov,
c)
postupy riadenia kybernetických kríz vrátane ich začlenenia do krízového riadenia
mimo času vojny a vojnového stavu a postupy a spôsob výmeny informácií,
d)
identifikáciu príslušných dotknutých osôb a potrebnej infraštruktúry a iných zdrojov,
e)
opatrenia a úlohy na účely zabezpečenia účinnej účasti na koordinovanom riadení rozsiahlych
kybernetických bezpečnostných incidentov a kybernetických kríz na úrovni Európskej
únie, ako aj podporu tohto riadenia.
(7)
Národný plán reakcie na rozsiahle kybernetické bezpečnostné incidenty a kybernetické
krízy a jeho zmenu schvaľuje vláda Slovenskej republiky na návrh úradu.
(8)
Ústredný orgán a iný orgán štátnej správy spolupracujú s úradom na vypracovaní národného
plánu reakcie na rozsiahle kybernetické bezpečnostné incidenty a kybernetické krízy
a na tento účel sú povinné poskytnúť úradu informácie v potrebnom rozsahu.
§ 8
Jednotný informačný systém kybernetickej bezpečnosti
(1)
Jednotný informačný systém kybernetickej bezpečnosti je informačný systém, ktorého
správcom a prevádzkovateľom je úrad a ktorý slúži na efektívne riadenie, koordináciu,
evidenciu a kontrolu výkonu štátnej správy v oblasti kybernetickej bezpečnosti a jednotiek
CSIRT. Jednotný informačný systém kybernetickej bezpečnosti je určený aj na spracovanie
a vyhodnocovanie údajov a informácií o stave kybernetickej bezpečnosti a slúži pri
krízovom plánovaní v čase mieru, riadení štátu v krízových situáciách mimo času vojny
a vojnového stavu,
11
)
ako aj na potrebné činnosti v čase vojny alebo vojnového stavu.
(2)
Jednotný informačný systém kybernetickej bezpečnosti obsahuje komunikačný systém
pre hlásenie a riešenie kybernetických bezpečnostných incidentov a centrálny systém
včasného varovania. Jednotný informačný systém pozostáva z verejnej časti a neverejnej
časti a prístup k nemu je bezodplatný. Verejná časť jednotného informačného systému
kybernetickej bezpečnosti obsahuje
a)
register ústredných orgánov,
b)
register prevádzkovateľov základnej služby,
c)
zoznam akreditovaných jednotiek CSIRT,
d)
metodiky, usmernenia, štandardy, politiky a oznamy,
e)
informácie potrebné na používanie jednotného informačného systému kybernetickej bezpečnosti,
f)
výstrahy, varovania a ďalšie informácie slúžiace na minimalizovanie, odvrátenie alebo
nápravu následkov kybernetického bezpečnostného incidentu,
g)
nástroj na registráciu zmien, hlásenie zmien a ostatné súvisiace nástroje.
(3)
Komunikačný systém pre hlásenie a riešenie kybernetických bezpečnostných incidentov
je komunikačný systém, ktorým sa zabezpečuje
a)
hlásenia podľa
§ 24
,
b)
systematické získavanie, sústreďovanie, analyzovanie a vyhodnocovanie informácií
o kybernetických bezpečnostných incidentoch,
c)
komunikácia medzi národnou jednotkou CSIRT, vládnou jednotkou CSIRT a akreditovanými
jednotkami CSIRT v Slovenskej republike a takýmito jednotkami CSIRT v inom členskom
štáte Európskej únie vrátane výmeny informácií a údajov potrebných na účinnú spoluprácu
pri zabezpečovaní ich úloh v oblasti kybernetickej bezpečnosti.
(4)
Centrálny systém včasného varovania je informačný systém, ktorý zaisťuje včasnú výmenu
informácií o kybernetických hrozbách, kybernetických bezpečnostných incidentoch a
rizikách s nimi spojených medzi úradom a subjektmi podľa odseku 5.
(5)
K neverejnej časti jednotného informačného systému kybernetickej bezpečnosti má priamy
prístup v elektronickej forme v reálnom čase, v rozsahu určenom úradom alebo osobitným
predpisom
12
)
a na základe vecnej pôsobnosti
a)
ústredný orgán,
b)
jednotka CSIRT zaradená v zozname akreditovaných jednotiek CSIRT,
c)
prevádzkovateľ základnej služby,
d)
Národná banka Slovenska,
e)
Úrad na ochranu osobných údajov Slovenskej republiky,
f)
Úrad pre reguláciu elektronických komunikácií a poštových služieb,
g)
iný orgán verejnej moci rozhodnutím úradu.
(6)
Ten, kto je povinný podľa tohto zákona poskytovať informácie, údaje a hlásenia prostredníctvom
jednotného informačného systému kybernetickej bezpečnosti, je povinný ich poskytovať
bezodplatne a bezodkladne po tom, ako sa dozvie o skutočnosti zakladajúcej túto povinnosť.
Informácie, údaje a hlásenia sa poskytujú spôsobom určeným funkcionalitou jednotného
informačného systému kybernetickej bezpečnosti.
§ 9
Ústredný orgán
(1)
Ústredný orgán v rozsahu svojej pôsobnosti pre sektor alebo podsektor podľa
prílohy č. 1
alebo
prílohy č. 2
, zodpovedá za zabezpečenie kybernetickej bezpečnosti tým, že
a)
plní úlohy jednotky CSIRT spôsobom podľa odseku 2,
b)
poskytuje úradu požadovanú súčinnosť a informácie získané z vlastnej činnosti dôležité
na zabezpečenie kybernetickej bezpečnosti; informácie sa poskytujú len za podmienky,
že ich poskytnutím nedôjde k ohrozeniu plnenia konkrétnej úlohy spravodajskej služby
podľa osobitného predpisu
13
)
alebo k odhaleniu jej zdrojov, prostriedkov, totožnosti osôb konajúcich v jej prospech
alebo k ohrozeniu medzinárodnej spravodajskej spolupráce,
c)
spolupracuje s ostatnými ústrednými orgánmi a prevádzkovateľmi základnej služby vo
svojej pôsobnosti pri plnení úloh podľa tohto zákona,
d)
buduje bezpečnostné povedomie, koordinovanú spoluprácu na všetkých stupňoch riadenia
kybernetickej bezpečnosti a aplikuje bezpečnostné opatrenia a politiku správania sa
v kybernetickom priestore,
e)
identifikuje prevádzkovateľa základnej služby a ich aktuálny zoznam predkladá úradu
na účely zaradenia do registra prevádzkovateľov základnej služby,
f)
spolupracuje so zahraničnou inštitúciou obdobného zamerania.
(2)
Ústredný orgán na plnenie úloh podľa odseku 1 písm. a) v rozsahu svojej pôsobnosti
pre sektor alebo podsektor podľa
prílohy č. 1
alebo
prílohy č. 2
využíva Národné centrum kybernetickej bezpečnosti alebo zriaďuje a prevádzkuje vlastnú
akreditovanú jednotku CSIRT alebo využíva akreditovanú jednotku CSIRT v pôsobnosti
ústredného orgánu, ak sa tak zmluvne dohodnú.
§ 10
Kybernetická bezpečnosť iného orgánu štátnej správy
Na účely zaistenia kontinuity a riadenia rizík súvisiacich so zabezpečením sietí a
informačných systémov a procesu riešenia kybernetických bezpečnostných incidentov,
iný orgán štátnej správy v rozsahu svojej pôsobnosti zodpovedá za zabezpečenie kybernetickej
bezpečnosti tým, že prijíma a dodržiava vhodné a primerané bezpečnostné opatrenia
podľa
§ 20
.
§ 10a
Súčinnosť
(1)
Orgán verejnej moci, prevádzkovateľ základnej služby a právnická osoba v sektore
podľa
prílohy č. 1
alebo
prílohy č. 2
sú povinní poskytnúť úradu na plnenie jeho úloh pri riešení kybernetického bezpečnostného
incidentu podľa tohto zákona požadovanú súčinnosť a informácie získané z vlastnej
činnosti dôležité na zabezpečenie kybernetickej bezpečnosti a riešenie kybernetického
bezpečnostného incidentu; informácie sa poskytujú len za podmienky, že sú nevyhnutné
pre riešenie kybernetického bezpečnostného incidentu a ich poskytnutím nedôjde k ohrozeniu
plnenia konkrétnej úlohy podľa osobitného predpisu
13a)
alebo spravodajskej služby podľa osobitného predpisu
13
)
alebo k odhaleniu jej zdrojov, prostriedkov, totožnosti osôb, ktoré konajú v jej
prospech, alebo k ohrozeniu medzinárodnej spravodajskej spolupráce.
(2)
Žiadosť o súčinnosť musí byť riadne odôvodnená a musí obsahovať konkrétny rozsah
požadovanej súčinnosti podľa tohto zákona.
§ 11
Vládna jednotka CSIRT
Zriaďuje sa vládna jednotka CSIRT v pôsobnosti Ministerstva investícií, regionálneho
rozvoja a informatizácie Slovenskej republiky pre podsektor informačné systémy verejnej
správy. Vládna jednotka CSIRT musí spĺňať podmienky akreditácie podľa
§ 14
a plniť úlohy podľa
§ 15
. Vládna jednotka CSIRT sa zaraďuje do zoznamu akreditovaných jednotiek CSIRT.
§ 12
Mlčanlivosť a ochrana osobných údajov
(1)
Kto plní alebo plnil úlohy na základe tohto zákona alebo v súvislosti s ním, je povinný
zachovávať mlčanlivosť o skutočnostiach, o ktorých sa v súvislosti s plnením úloh
podľa tohto zákona dozvedel a ktoré nie sú verejne známe. Povinnosť zachovávať mlčanlivosť
trvá aj po skončení dohody o spolupráci podľa
§ 5 ods. 3
, pracovnoprávneho vzťahu alebo obdobného pracovného vzťahu vrátane služobného pomeru.
14
)
Ustanoveniami o povinnosti zachovávať mlčanlivosť podľa tohto zákona nie je dotknutá
povinnosť mlčanlivosti alebo zachovania tajomstva podľa osobitných predpisov.
15
)
(2)
O zbavení povinnosti mlčanlivosti osoby podľa odseku 1 rozhodne v pôsobnosti
a)
úradu riaditeľ úradu,
b)
iného subjektu štatutárny orgán.
(3)
Na účely konania pred orgánom verejnej moci, na účely trestného konania, oznamovania
skutočnosti nasvedčujúcej tomu, že bol spáchaný trestný čin, alebo oznamovania kriminality
alebo inej protispoločenskej činnosti
16
)
sa povinnosť zachovávať mlčanlivosť podľa odseku 1 nevzťahuje na prevádzkovateľa
základnej služby a jeho zamestnancov.
(4)
Oznamovanie kybernetických bezpečnostných incidentov v rozsahu podľa tohto zákona,
informovanie o hlásenom kybernetickom bezpečnostnom incidente, úkony súvisiace s riešením
kybernetických bezpečnostných incidentov, vyhlásenie výstrahy a varovania alebo stavu
kybernetickej krízy spôsobom podľa tohto zákona nie je porušením povinnosti zachovávať
mlčanlivosť podľa tohto zákona a podľa osobitných predpisov.
15
)
(5)
Za škodu spôsobenú prevádzkovateľom základnej služby, jeho zamestnancom alebo osobe
oznamujúcej kybernetický bezpečnostný incident, ktorá vznikla oznámením podľa odseku
4, zodpovedá úrad.
(6)
Na účely riešenia kybernetického bezpečnostného incidentu v rozsahu potrebnom na
jeho identifikáciu a zabezpečenia kybernetickej bezpečnosti úrad v záujme národnej
bezpečnosti spracováva v jednotnom informačnom systéme kybernetickej bezpečnosti na
čas nevyhnutne potrebný osobné údaje spôsobom podľa osobitného predpisu.
17
)
(7)
Úrad zabezpečí nepretržitú ochranu osobných údajov a informácií spracúvaných podľa
tohto zákona pred nezákonným vyzradením, zneužitím, poškodením, neoprávneným zničením,
odcudzením a stratou spôsobom podľa osobitného predpisu.
18
)
(8)
Informácie a osobné údaje získané na základe tohto zákona alebo v súvislosti s ním
môže úrad použiť len na plnenie úloh podľa tohto zákona.
§ 13
Akreditácia jednotky CSIRT
(1)
Zhodu jednotky CSIRT s podmienkami akreditácie jednotky CSIRT posudzuje úrad na základe
žiadosti.
(2)
Žiadosť podľa odseku 1 predkladá úradu v elektronickej podobe orgán verejnej moci,
ktorý k žiadosti prikladá dokumentáciu preukazujúcu splnenie podmienok akreditácie
jednotky CSIRT.
(3)
Konanie podľa odseku 1 sa začína dňom doručenia žiadosti úradu podľa odseku 2. Ak
žiadosť nie je úplná, úrad vyzve žiadateľa na jej doplnenie v určenej lehote, ktorá
nesmie byť kratšia ako desať dní. Ak žiadateľ žiadosť v stanovenej lehote nedoplní
požadovaným spôsobom, úrad na žiadosť ďalej neprihliada.
(4)
Úrad o akreditácii rozhodne do 90 dní odo dňa doručenia úplnej žiadosti, a ak posúdi
splnenie zhody jednotky CSIRT s podmienkami akreditácie jednotky CSIRT, vydá rozhodnutie
o akreditácii. Rozhodnutie o akreditácii sa vydáva na dobu určitú, najviac na päť
rokov.
(5)
Úrad môže na základe žiadosti opakovane predĺžiť platné rozhodnutie o akreditácii,
ak nenastala zmena podmienok, na základe ktorých bolo rozhodnutie o akreditácii vydané.
Žiadosť podľa predchádzajúcej vety sa predkladá úradu najmenej šesť mesiacov pred
uplynutím doby platnosti rozhodnutia o akreditácii, ktoré sa má predĺžiť. Na konanie
a na podanie žiadosti sa primerane vzťahujú odseky 2 až 4. Ak úrad predĺženie akreditácie
uzná, vydá o tom rozhodnutie podľa odseku 4 s doložkou „predĺženie“.
(6)
Úrad na základe žiadosti uzná aj akreditáciu jednotky CSIRT, ktorá bola akreditovaná
podľa predpisov iného štátu alebo medzinárodnej organizácie, ak je preukázateľne zabezpečené
splnenie podmienok akreditácie jednotky CSIRT; podmienka podľa
§ 14 písm. a)
sa nepreukazuje. Na konanie a na podanie žiadosti sa primerane vzťahujú odseky 2
až 4. Úrad o akreditácii vydá rozhodnutie podľa odseku 4 s doložkou „uznanie“ najviac
na dobu platnosti, na ktorú bola jednotka CSIRT akreditovaná podľa predpisov iného
štátu alebo medzinárodnej organizácie.
(7)
Úrad jednotku CSIRT akreditovanú spôsobom podľa tohto zákona zaradí do zoznamu akreditovaných
jednotiek CSIRT.
§ 14
Podmienky akreditácie jednotky CSIRT
Žiadateľ o akreditáciu jednotky CSIRT podľa
§ 13
dokumentáciou preukazuje, že jednotka CSIRT
a)
má požadované technické, technologické a personálne vybavenie podľa všeobecne záväzného
právneho predpisu, ktorý vydá úrad,
b)
má vytvorené podmienky umožňujúce chránený prenos a spracovanie údajov spôsobom podľa
osobitného predpisu,
19
)
c)
chráni informácie a údaje, ktoré v súvislosti s plnením povinností podľa tohto zákona
získava a spracováva ich tak, aby nebola narušená ich dostupnosť, dôvernosť, autentickosť
a integrita,
20
)
d)
má umiestnenú dokumentáciu, informačné systémy a ostatné informačno-komunikačné technológie
v zabezpečenom priestore tak, aby nebola narušená ich dôvernosť, autentickosť a integrita.
20
)
§ 15
Úlohy jednotky CSIRT
(1)
Ten, kto plní úlohy jednotky CSIRT v rozsahu svojej pôsobnosti určenej podľa
prílohy č. 1
alebo
prílohy č. 2
, zodpovedá za riešenie kybernetických bezpečnostných incidentov a vykonáva preventívne
služby a reaktívne služby.
(2)
Preventívne služby sa zameriavajú na prevenciu kybernetických bezpečnostných incidentov
a)
vytváraním bezpečnostného povedomia,
b)
výcvikom,
c)
spoluprácou s ostatnými jednotkami CSIRT,
d)
monitorovaním a evidenciou zraniteľností, kybernetických hrozieb, kybernetických
kríz a kybernetických bezpečnostných incidentov,
e)
pripojením na jednotný informačný systém kybernetickej bezpečnosti,
f)
poskytovaním informácií a údajov do jednotného informačného systému kybernetickej
bezpečnosti,
g)
prijímaním a zasielaním včasného varovania pred kybernetickými bezpečnostnými incidentmi
prostredníctvom jednotného informačného systému kybernetickej bezpečnosti,
h)
poskytovaním pomoci s monitorovaním siete a informačného systému alebo vykonávaním
takéhoto monitorovania po dohode so správcom siete alebo prevádzkovateľom siete alebo
prevádzkovateľom informačného systému,
i)
vykonávaním neinvazívneho zisťovania a hodnotenia zraniteľností verejne prístupnej
siete a informačného systému v rozsahu pôsobnosti jednotky CSIRT podľa odseku 1, ktoré
nemá negatívny vplyv na tieto siete a informačné systémy, ako ani na služby, ktoré
poskytujú a činnosti, ktoré zabezpečujú,
j)
vykonávaním hodnotenia zraniteľností, ktoré boli zistené podľa písmena h), po dohode
so správcom siete alebo prevádzkovateľom siete alebo prevádzkovateľom informačného
systému,
k)
spoluprácou s národnou jednotkou CSIRT a inými jednotkami CSIRT,
l)
využívaním podnetov, skúseností a spolupráce s osobami pôsobiacimi v oblasti kybernetickej
bezpečnosti.
(3)
Reaktívne služby sa zameriavajú na riešenie kybernetických bezpečnostných incidentov
a sú nimi najmä
a)
výstraha a varovanie,
b)
detekcia kybernetických bezpečnostných incidentov,
c)
analýza kybernetických bezpečnostných incidentov,
d)
odozva, ohraničenie, riešenie a náprava následkov kybernetických bezpečnostných incidentov,
e)
asistencia pri riešení kybernetického bezpečnostného incidentu na mieste,
f)
reakcia na kybernetický bezpečnostný incident,
g)
podpora reakcií na kybernetické bezpečnostné incidenty,
h)
koordinácia reakcií na kybernetické bezpečnostné incidenty,
i)
návrh opatrení na zabránenie ďalšiemu pokračovaniu, šíreniu a opakovanému výskytu
kybernetických bezpečnostných incidentov.
(4)
Reaktívne služby vykonáva jednotka CSIRT za účasti prevádzkovateľa základnej služby.
(5)
Ten, kto plní úlohy jednotky CSIRT, môže určovať spôsob, rozsah a priorizáciu prostriedkov
a zdrojov pri poskytovaní preventívnych služieb a reaktívnych služieb prostredníctvom
objektívnych kritérií založených na analýze rizík zraniteľností, kybernetických hrozieb,
kybernetických kríz a kybernetických bezpečnostných incidentov.
§ 16
Povinnosti toho, kto plní úlohy jednotky CSIRT
(1)
Ten, kto plní úlohy jednotky CSIRT,
a)
musí zabezpečiť, aby jednotka CSIRT v jeho pôsobnosti, ktorá je zaradená v zozname
akreditovaných jednotiek CSIRT, nepretržite počas celej doby svojej prevádzky spĺňala
podmienky akreditácie jednotky CSIRT podľa
§ 14
a zároveň plnila všetky úlohy podľa
§ 15
,
b)
oznamuje úradu všetky zmeny, ktoré majú vplyv na akreditáciu jednotky CSIRT bezodkladne
po tom, ako nastali,
c)
si vyžiada vyjadrenie Národnej banky Slovenska alebo Európskej centrálnej banky k
postupu ústredného orgánu pri plnení úloh podľa tohto zákona, ak prevádzkovateľom
základnej služby je dohliadaný subjekt finančného trhu,
21
)
nad ktorým vykonáva dohľad Národná banka Slovenska podľa osobitných predpisov
22
)
alebo nad ktorým vykonáva dohľad Európska centrálna banka podľa osobitného predpisu.
22a
)
(2)
Ak akreditovaná jednotka CSIRT prestane spĺňať podmienky podľa
§ 14
alebo ak neplní úlohy podľa
§ 15
, ten, kto plní úlohy jednotky CSIRT, to bezodkladne oznámi úradu; úrad na základe
oznámenia podľa predchádzajúcej vety zruší rozhodnutie o akreditácii a jednotku CSIRT
vyradí zo zoznamu akreditovaných jednotiek CSIRT.
(3)
Úrad môže na základe vlastného zistenia oboznámiť toho, kto plní úlohy jednotky CSIRT
o nedostatkoch v plnení podmienok podľa
§ 14
alebo úloh podľa
§ 15
s uvedením lehoty na ich odstránenie. Ak nedostatky podľa prechádzajúcej vety na
základe oznámenia úradu neodstráni v určenej lehote, úrad zruší rozhodnutie o akreditácii
a jednotku CSIRT vyradí zo zoznamu akreditovaných jednotiek CSIRT.
(4)
Ten, kto plní úlohy jednotky CSIRT, zabezpečuje spoluprácu s úradom, príslušným ústredným
orgánom a ostatnými jednotkami CSIRT, ako aj s jednotkami CSIRT z iných členských
štátov Európskej únie a účasť na partnerských preskúmaniach organizovaných v rámci
spolupráce medzi členskými štátmi Európskej únie, Európskou komisiou a Agentúrou Európskej
únie pre kybernetickú bezpečnosť.
§ 17
Prevádzkovateľ základnej služby
(1)
Do registra prevádzkovateľov základnej služby sa zapisuje
a)
ústredný orgán štátnej správy a iný štátny orgán s celoštátnou pôsobnosťou,
b)
kritický subjekt,
c)
osoba bez ohľadu na splnenie podmienok veľkosti pre stredný podnik, ktorá vykonáva
činnosť v niektorom zo sektorov podľa
prílohy č. 1
alebo
prílohy č. 2
a ktorá
1.
je podnikom poskytujúcim verejnú elektronickú komunikačnú sieť alebo verejnú elektronickú
komunikačnú službu,
2.
je poskytovateľom dôveryhodnej služby,
3.
je správcom TLD,
4.
poskytuje službu DNS,
5.
je v Slovenskej republike jediným poskytovateľom služby, ktorá je kľúčovou službou,
6.
poskytuje službu, ktorej narušenie by mohlo mať významný vplyv na verejný poriadok,
bezpečnosť alebo verejné zdravie,
7.
poskytuje službu alebo má také postavenie, že narušenie poskytovania služby alebo
zásah do postavenia by mohli vyvolať významné systémové riziko najmä v sektore, v
ktorom by takéto narušenie alebo zásah mohli mať cezhraničný vplyv,
8.
je vzhľadom na svoj osobitný význam na vnútroštátnej alebo regionálnej úrovni kritická
pre konkrétny sektor, alebo
9.
je určená ako subjekt hospodárskej mobilizácie spôsobom podľa osobitného predpisu,
23
)
d)
štátny orgán vykonávajúci pôsobnosť v najmenej dvoch okresoch a vyšší územný celok,
ak by narušenie ich činnosti mohlo mať významný vplyv na verejný poriadok, bezpečnosť
alebo verejné zdravie; ustanovenie písmena a) tým nie je dotknuté,
e)
osoba, ktorá spĺňa najmenej podmienky veľkosti pre stredný podnik a vykonáva činnosť
v niektorom zo sektorov podľa
prílohy č. 1
alebo
prílohy č. 2
,
f)
mesto, ak by narušenie výkonu jeho pôsobnosti mohlo mať významný vplyv na verejný
poriadok, bezpečnosť alebo verejné zdravie,
g)
správca informačnej technológie verejnej správy,
23a
)
na ktorého sa vo vzťahu k informačným technológiám verejnej správy vzťahujú minimálne
bezpečnostné opatrenia Kategórie II alebo Kategórie III podľa osobitného predpisu,
23aa
)
h)
osoba, ktorá poskytuje službu registrácie názvu domény bez ohľadu na splnenie podmienok
veľkosti pre stredný podnik alebo
i)
tretia strana, ktorá má významný vplyv pri zabezpečovaní kybernetickej bezpečnosti,
a má uzatvorenú zmluvu s prevádzkovateľom základnej služby, ktorý prevádzkuje kritickú
základnú službu.
(2)
Ten, kto vykonáva činnosť podľa odseku 1 je povinný do 60 dní odo dňa, kedy činnosť
začne vykonávať, oznámiť to úradu. Oznámenie podľa predchádzajúcej vety musí obsahovať
a)
názov, sídlo a kontaktné údaje vrátane elektronických adries, verejných IP adries
a telefónnych čísel,
b)
zoznam členských štátov Európskej únie, v ktorých vykonáva činnosť alebo poskytuje
službu,
c)
názov, sídlo a kontaktné údaje zástupcu podľa
§ 21 ods. 1.
(3)
Úrad zapíše do registra prevádzkovateľov základnej služby osobu podľa odseku 1
a)
po predchádzajúcej konzultácii s príslušným ústredným orgánom, a to z vlastnej iniciatívy
alebo na základe odôvodnenej žiadosti osoby podľa odseku 1, alebo
b)
na návrh príslušného ústredného orgánu.
(4)
Zápis do registra prevádzkovateľov základnej služby oznámi úrad bezodkladne prevádzkovateľovi
základnej služby prostredníctvom jednotného informačného systému kybernetickej bezpečnosti
a doručí do elektronickej schránky podľa osobitného predpisu;
23b
)
osobitné rozhodnutie sa nevydáva.
(5)
Práva a povinnosti prevádzkovateľa základnej služby vznikajú prevádzkovateľovi základnej
služby dňom uvedeným v oznámení o zápise do registra prevádzkovateľov základnej služby,
najskôr však tridsiaty deň nasledujúci po dni tohto zápisu.
(6)
Ak dôjde k zmene zapísaných skutočností, úrad vykoná zmenu v registri prevádzkovateľov
základnej služby, a to aj bez návrhu. Prevádzkovateľ základnej služby je povinný každú
zmenu zapísaných skutočností, ktorá nie je referenčným údajom, oznámiť najneskôr do
14 dní prostredníctvom jednotného informačného systému kybernetickej bezpečnosti úradu.
Na vykonanie zmeny a povinnosť jej oznamovania sa primerane použijú odseky 3 až 5.
(7)
Úrad môže vymazať prevádzkovateľa základnej služby z registra prevádzkovateľov základnej
služby
a)
na základe odôvodnenej žiadosti prevádzkovateľa základnej služby, po predchádzajúcej
konzultácii s príslušným ústredným orgánom, najneskôr do 60 dní odo dňa doručenia
odôvodnenej žiadosti,
b)
na základe oznámenia ústredného orgánu, alebo
c)
z vlastnej iniciatívy v odôvodnených prípadoch.
(8)
Úrad o výmaze prevádzkovateľa základnej služby z registra prevádzkovateľov základnej
služby informuje prevádzkovateľa základnej služby.
§ 18
Kritická základná služba
(1)
Kritickou základnou službou je
a)
výkon pôsobnosti ústredného orgánu štátnej správy
10
)
alebo iného štátneho orgánu s celoštátnou pôsobnosťou,
b)
činnosť v sektore podľa
prílohy č. 1
, okrem sektoru verejná správa, ak ju vykonáva osoba, ktorá prekračuje limity veľkosti
určené pre stredný podnik,
23c
)
c)
kvalifikovaná dôveryhodná služba,
d)
správa TLD,
e)
služba DNS,
f)
poskytovanie verejnej elektronickej komunikačnej siete alebo verejnej elektronickej
komunikačnej služby osobou, ktorá dosahuje najmenej podmienky veľkosti pre stredný
podnik,
g)
vykonávanie činnosti alebo existencia postavenia podľa
§ 17 ods. 1 písm. c) piateho až deviateho bodu
,
h)
poskytovanie základnej služby kritickým subjektom, alebo
i)
informačná činnosť a elektronické služby, vykonávané s použitím informačnej technológie
verejnej správy,
23a
)
určených úradom.
(2)
Ak prevádzkovateľ základnej služby vykonáva aspoň jednu z kritických základných služieb,
je prevádzkovateľom kritickej základnej služby a túto skutočnosť je povinný oznámiť
úradu.
(3)
Skutočnosť, že prevádzkovateľ základnej služby prevádzkuje kritickú základnú službu,
ako aj každú zmenu v týchto skutočnostiach, zapíše úrad do registra prevádzkovateľov
základnej služby; na toto oznámenie a spôsob zápisu, ako aj na povinnosť oznamovania
zmien a na ich zápis sa primerane použije
§ 17 ods. 3.
§ 19
Povinnosti prevádzkovateľa základnej služby
(1)
Prevádzkovateľ základnej služby je povinný do 12 mesiacov odo dňa zápisu do registra
prevádzkovateľov základnej služby v závislosti od vykonanej analýzy rizík prijať,
dodržiavať a vykonávať všeobecné bezpečnostné opatrenia najmenej v rozsahu bezpečnostných
opatrení podľa
§ 20
a vykonávať ich s cieľom zabezpečovania kybernetickej bezpečnosti a odolnosti. Na
účely plnenia povinnosti podľa prvej vety prevádzkovateľ základnej služby prijíma,
dodržiava a vykonáva sektorové bezpečnostné opatrenia, ak sú ustanovené;
24
)
povinnosť prijímať opatrenia podľa
§ 20 ods. 4
tým nie je dotknutá. Osoba poskytujúca niektorú zo služieb alebo vykonávajúcu niektorú
z činností podľa
§ 2 ods. 2
plní bezpečnostné opatrenia podľa osobitného predpisu.
24a
)
(2)
Prevádzkovateľ základnej služby je povinný pri výkone činnosti, ktorá priamo súvisí
s dostupnosťou, dôvernosťou a integritou prevádzky sietí a informačných systémov prevádzkovateľa
základnej služby prostredníctvom tretej strany, uzatvoriť zmluvu o zabezpečení plnenia
bezpečnostných opatrení a notifikačných povinností podľa tohto zákona počas celej
doby výkonu tejto činnosti; pri uzatvorení zmluvy sa vykonáva analýza rizík. Tretia
strana je počas trvania zmluvného vzťahu povinná vykonávať a realizovať bezpečnostné
opatrenia v súlade s písomnou zmluvou a týmto zákonom a je povinná podrobiť sa kontrole
plnenia týchto opatrení zo strany prevádzkovateľa základnej služby. Ak ide o zmluvu
podľa prvej vety uzatvorenú s prevádzkovateľom základnej služby, ktorý prevádzkuje
kritickú základnú službu, kontrolu môže vykonávať aj úrad; na tento účel má tretia
strana postavenie prevádzkovateľa základnej služby. Uzatvorenie zmluvy podľa prvej
vety nesmie brániť v hospodárskej súťaži.
(3)
Povinnosť uzatvoriť zmluvu podľa odseku 2 neplatí, ak je tretia strana prevádzkovateľom
základnej služby, alebo ak je riziko vo vzťahu k činnosti, ktorá priamo súvisí s dostupnosťou,
dôvernosťou a integritou prevádzky sietí a informačných systémov prevádzkovateľa základnej
služby prostredníctvom tretej strany nízke.
(4)
Prevádzkovateľ základnej služby je povinný informovať v nevyhnutnom rozsahu tretiu
stranu o hlásenom kybernetickom bezpečnostnom incidente za predpokladu, že by sa plnenie
zmluvy podľa odseku 2 stalo nemožným, ak úrad nerozhodne inak. Povinnosť zachovávať
mlčanlivosť tým nie je dotknutá.
(5)
Ak prevádzkovateľ základnej služby túto službu poskytuje aj v inom členskom štáte
Európskej únie, úrad v súčinnosti s príslušným orgánom tohto členského štátu rozhodne
o tom, podľa kritérií ktorého členského štátu bude prevádzkovateľ základnej služby
identifikovaný tak, aby bol jednoznačne identifikovaný ako prevádzkovateľ základnej
služby aspoň v jednom z týchto členských štátov.
(6)
Prevádzkovateľ základnej služby je ďalej povinný
a)
riešiť kybernetický bezpečnostný incident,
b)
bezodkladne hlásiť závažný kybernetický bezpečnostný incident,
c)
spolupracovať s úradom a ústredným orgánom pri riešení hláseného kybernetického bezpečnostného
incidentu a na tento účel im poskytnúť potrebnú súčinnosť, ako aj informácie získané
z vlastnej činnosti dôležité pre riešenie kybernetického bezpečnostného incidentu,
d)
v čase kybernetického bezpečnostného incidentu zabezpečiť dôkaz alebo dôkazný prostriedok
tak, aby mohol byť použitý v trestnom konaní,
e)
oznámiť orgánu činnému v trestnom konaní alebo Policajnému zboru skutočnosti, že
bol spáchaný trestný čin, ktorého sa kybernetický bezpečnostný incident týka, ak sa
o ňom hodnoverným spôsobom dozvie,
f)
analyzovať závislosti svojich aktív, informačných systémov, využívaných produktov
IKT a služieb IKT tretích strán v dodávateľskom reťazci a poskytovaných služieb s
cieľom identifikovať možné dopady kybernetického bezpečnostného incidentu,
g)
prijať, dodržiavať a vykonávať bezpečnostné opatrenia s prihliadnutím na bezpečnostné
metodiky a politiky úradu, najnovšie bezpečnostné trendy, príklady dobrej praxe a
medzinárodné normy,
h)
vytvoriť a zaviesť účinný mechanizmus včasného informovania štatutárneho orgánu a
zodpovedných vedúcich zamestnancov o kybernetických hrozbách, zraniteľnostiach, kybernetických
bezpečnostných incidentoch, udalostiach odvrátených v poslednej chvíli, možných dopadoch
kybernetických bezpečnostných incidentov, výsledkoch analýzy rizík a stavu implementácie
ošetrenia rizík s cieľom dodržiavania tohto zákona,
i)
oznamovať úradu menovanie alebo zmenu štatutárneho orgánu, ak táto zmena nie je referenčným
údajom.
(7)
Prevádzkovateľ základnej služby je povinný hlásiť zmeny v zapísaných údajoch, okrem
referenčných údajov do 30 dní odo dňa ich vzniku prostredníctvom jednotného informačného
systému kybernetickej bezpečnosti a ak prevádzkovateľ základnej služby prevádzkuje
kritickú základnú službu, je povinný hlásiť úradu aj informáciu o uzatvorení zmluvy
s treťou stranou o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností,
ktorá má významný vplyv pri zabezpečovaní kybernetickej bezpečnosti a aj informáciu
o jej ukončení. Úrad vykoná zmenu v registri prevádzkovateľov základnej služby, a
to aj bez návrhu.
(8)
Prevádzkovateľ základnej služby nezodpovedá za škodu, ktorá vznikne inému subjektu
obmedzením kontinuity činnosti pri riešení kybernetického bezpečnostného incidentu
spôsobom a postupom podľa
§ 27
. Za škodu spôsobenú obmedzením kontinuity činnosti kybernetickým bezpečnostným incidentom
plnením povinnosti spôsobom podľa predchádzajúcej vety zodpovedá úrad.
§ 20
Bezpečnostné opatrenia
(1)
Bezpečnostnými opatreniami na účely tohto zákona sú úlohy, procesy, role a technológie
v organizačnej, personálnej, fyzickej a technologickej oblasti, ktorých cieľom je
dosiahnutie, zaručenie a udržanie kybernetickej bezpečnosti počas životného cyklu
sietí a informačných systémov a operačných technológií. Bezpečnostné opatrenia sú
realizované na základe vykonanej analýzy rizík a s prihliadnutím na bezpečnostné metodiky
a politiky úradu, najnovšie bezpečnostné trendy a medzinárodné normy a v súlade s
bezpečnostnými štandardami v oblasti kybernetickej bezpečnosti a prijímajú sa s cieľom
a)
identifikovať zraniteľnosti, kybernetické hrozby a riziká,
b)
chrániť preventívne informačné aktíva pred kybernetickou hrozbou a zabrániť vzniku
kybernetického bezpečnostného incidentu,
c)
detegovať kybernetické bezpečnostné incidenty,
d)
reagovať na identifikované zraniteľnosti a kybernetické bezpečnostné incidenty a
minimalizovať ich vplyv na siete a informačné systémy a
e)
obnoviť siete a informačné systémy, napraviť negatívne dopady po vzniku kybernetického
bezpečnostného incidentu a uviesť poskytované služby do stavu plynulého a nerušeného
poskytovania.
(2)
Bezpečnostné opatrenia sa prijímajú aspoň pre
a)
organizáciu a riadenie informačnej bezpečnosti a kybernetickej bezpečnosti,
b)
správu zraniteľností a kybernetických hrozieb,
c)
správu aktív a riadenie kybernetických hrozieb a rizík,
d)
riadenie udalostí a kybernetických bezpečnostných incidentov,
e)
riadenie kontinuity činností, zálohovanie, obnovu systémov po havárii a krízové riadenie,
f)
bezpečnosť pri nadobúdaní, vývoji a údržbe siete, informačných systémov, aplikácií
a konfigurácií,
g)
postupy posudzovania účinnosti opatrení, riadenie súladu a kontrolné činnosti,
h)
kryptografické opatrenia a zásady používania kryptografie,
i)
bezpečnosť a spôsobilosti ľudských zdrojov,
j)
správu identít a prístupov,
k)
bezpečnosť pri prevádzke sietí a informačných systémov,
l)
ochranu proti škodlivému kódu a nežiaducemu obsahu,
m)
systémovú bezpečnosť, sieťovú bezpečnosť a komunikačnú bezpečnosť,
n)
monitorovanie, zaznamenávanie a hlásenie udalostí,
o)
fyzickú bezpečnosť, bezpečnosť prostredia a správu koncových zariadení,
p)
ochranu záznamov, súkromia a označovanie informácií,
q)
dodávateľský reťazec,
r)
obstarávanie a využívanie certifikovaných produktov IKT, služieb IKT a procesov IKT.
(3)
Bezpečnostné opatrenia sa prijímajú a realizujú v rozsahu a spôsobom podľa
§ 32 ods. 1 písm. b)
alebo osobitného predpisu
24
)
, ak je vydaný, a na základe schválenej bezpečnostnej dokumentácie, ktorá musí byť
aktuálna a musí zodpovedať reálnemu stavu.
(4)
Bezpečnostné opatrenia musia zahŕňať najmenej
a)
určenie manažéra kybernetickej bezpečnosti, ktorý je pri návrhu, prijímaní a presadzovaní
bezpečnostných opatrení nezávislý od štruktúry riadenia prevádzky a vývoja služieb
informačných technológií a ktorý spĺňa znalostné štandardy pre výkon roly manažéra
kybernetickej bezpečnosti,
b)
detekciu kybernetických bezpečnostných incidentov,
c)
evidenciu kybernetických bezpečnostných incidentov,
d)
postupy riešenia a riešenie kybernetických bezpečnostných incidentov,
e)
určenie kontaktnej osoby pre prijímanie a evidenciu hlásení,
f)
pripojenie do komunikačného systému pre hlásenie a riešenie kybernetických bezpečnostných
incidentov a centrálneho systému včasného varovania,
g)
určenie a pridelenie úloh, rolí a zodpovednosti podľa podmienok prevádzkovateľa základnej
služby a zabezpečenie primeraného vzdelávania a preškoľovania pre všetky zavedené
roly,
h)
určenie konkrétnej osoby alebo konkrétnych osôb zodpovedných za schvaľovanie bezpečnostných
opatrení, dohľad, kontrolu a audit, zabezpečenie primeranosti zdrojov na riadenie
kybernetickej bezpečnosti a za vzdelávanie,
i)
vzdelávanie a budovanie bezpečnostného povedomia v oblasti kybernetickej bezpečnosti.
(5)
Bezpečnostné opatrenia sa prijímajú a realizujú na základe analýzy rizík kybernetickej
bezpečnosti, ktorá určuje pravdepodobnosť vzniku škodlivej udalosti. Súčasťou analýzy
rizík je aj analýza politického rizika tretej strany, pričom politické riziko sa posudzuje
najmä vzhľadom na
a)
plnenie záväzkov z medzinárodných zmlúv, ktorými je Slovenská republika viazaná,
a na jej členstvo v medzinárodných organizáciách,
b)
možnosť ovplyvňovania a zasahovania do činnosti tretej strany štátom, ktorý nie je
členským štátom Európskej únie a Organizácie Severoatlantickej zmluvy (ďalej len „cudzí
štát“),
c)
analýzu vlastníckej štruktúry a riadiacej štruktúry tretej strany vrátane vlastníckeho
podielu cudzieho štátu a priamych zahraničných investícií do tretej strany,
d)
analýzu právnych predpisov a medzinárodných záväzkov cudzieho štátu v oblasti ochrany
základných ľudských práv a slobôd, kybernetickej bezpečnosti, boja proti počítačovej
kriminalite, ochrany osobných údajov a ochrany informácií,
e)
informácie špecifické pre cudzí štát a informácie spravodajskej služby o možných
kybernetických hrozbách pre záujmy Slovenskej republiky.
Politické riziká schvaľuje vláda Slovenskej republiky na základe stanoviska úradu.
Stanovisko úradu sa predkladá Bezpečnostnej rade Slovenskej republiky. Politické riziká
úrad zverejňuje v jednotnom informačnom systéme kybernetickej bezpečnosti. Úrad v
analýze politického rizika zohľadní vyjadrenie Ministerstva zahraničných vecí a európskych
záležitostí Slovenskej republiky, Ministerstva hospodárstva Slovenskej republiky,
Ministerstva vnútra Slovenskej republiky, Slovenskej informačnej služby a Ministerstva
obrany Slovenskej republiky z oblasti ich pôsobnosti.
(6)
Povinnosť dodržiavať všeobecné bezpečnostné opatrenia a sektorové bezpečnostné opatrenia
v rozsahu podľa tohto zákona a všeobecne záväzných právnych predpisov vydaných na
jeho vykonanie sa vzťahuje aj na právne vzťahy, o ktorých tak ustanoví osobitný predpis.
Čl. II
Zákon Národnej rady Slovenskej republiky č.
198/1994 Z. z.
o Vojenskom spravodajstve v znení zákona č. 166/2003 Z. z., zákona č. 178/2004 Z.
z., zákona č. 319/2012 Z. z., zákona č. 281/2015 Z. z. a zákona č. 444/2015 Z. z.
sa dopĺňa takto
1.
V § 2 ods. 1 sa za písmeno g) vkladá nové písmeno h), ktoré znie
„h)
aktivity a ohrozenia v kybernetickom priestore,
1ba
)“.
Doterajšie písmená h) až j) sa označujú ako písmená i) až k).
Poznámka pod čiarou k odkazu 1ba znie
„
1ba
) § 3 písm. b) zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení
niektorých zákonov.“.
2.
V § 2 sa za odsek 1 vkladá nový odsek 2, ktorý znie
„(2)
Ak je to potrebné na zabránenie aktivitám a ohrozeniam podľa odseku 1, Vojenské spravodajstvo
vykonáva primerané bezpečnostné opatrenia.“.
Doterajšie odseky 2 až 6 sa označujú ako odseky 3 až 7.
3.
Za § 4 sa vkladá § 4a, ktorý vrátane nadpisu znie
㤠4a
Centrum pre kybernetickú obranu Slovenskej republiky
(1)
Vojenské spravodajstvo plní úlohy na úseku obrany štátu v kybernetickom priestore
2a
) (ďalej len „kybernetická obrana“) a kybernetickej bezpečnosti v rozsahu ustanovenom
osobitným predpisom
2b
) prostredníctvom Centra pre kybernetickú obranu Slovenskej republiky (ďalej len „centrum“),
ktoré je osobitnou organizačnou zložkou Vojenského spravodajstva.
(2)
Centrum získava, sústreďuje, analyzuje a vyhodnocuje informácie dôležité na zabezpečenie
kybernetickej obrany, informuje dotknuté subjekty a navrhuje vhodné opatrenia.
(3)
Centrum je oprávnené požadovať od vlastníka alebo prevádzkovateľa objektov osobitnej
dôležitosti, ďalších dôležitých objektov
2c
) a prvkov kritickej infraštruktúry
2d
) súčinnosť a informácie v rozsahu potrebnom na účely zabezpečenia kybernetickej obrany.
(4)
Na účely zabezpečenia plnenia úloh podľa tohto zákona má centrum priamy prístup v
elektronickej podobe, v reálnom čase a v plnom rozsahu k jednotnému informačnému systému
kybernetickej bezpečnosti.
2e
)“.
Poznámky pod čiarou k odkazom 2a až 2e znejú
„
2a
) § 2 ods. 2 zákona č. 319/2002 Z. z. o obrane Slovenskej republiky v znení zákona
č. 69/2018 Z. z.
2b
) Zákon č. 69/2018 Z. z.
2c
) § 27 ods. 5 zákona č. 319/2002 Z. z. v znení zákona č. 330/2003 Z. z.
2d
) § 2 písm. a) zákona č. 45/2011 Z. z. o kritickej infraštruktúre.
2e
) § 8 zákona č. 69/2018 Z. z.“.
4.
Za § 14a sa vkladá § 14b, ktorý znie
㤠14b
Ak to nie je v rozpore s osobitným predpisom,
4
) na zabránenie aktivitám a ohrozeniam podľa
§ 2 ods. 1 je Vojenské spravodajstvo oprávnené získavať, sústreďovať a vyhodnocovať
informácie odvodené zo signálov v elektromagnetickom spektre. Vojenské spravodajstvo
pri plnení týchto úloh vystupuje ako národná autorita k domácim a zahraničným orgánom
obdobného zamerania a pôsobnosti.“.
Čl. III
Zákon č.
73/1998 Z. z.
o štátnej službe príslušníkov Policajného zboru, Slovenskej informačnej služby, Zboru
väzenskej a justičnej stráže Slovenskej republiky a Železničnej polície v znení zákona
č. 58/1999 Z. z., zákona č. 181/1999 Z. z., zákona č. 356/1999 Z. z., zákona č. 224/2000
Z. z., zákona č. 464/2000 Z. z., zákona č. 241/2001 Z. z., zákona č. 98/2002 Z. z.,
zákona č. 328/2002 Z. z., zákona č. 422/2002 Z. z., zákona č. 659/2002 Z. z., zákona
č. 212/2003 Z. z., zákona č. 201/2004 Z. z., zákona č. 178/2004 Z. z, zákona č. 365/2004
Z. z., zákona č. 382/2004 Z. z., zákona č. 201/2004 Z. z., zákona č. 732/2004 Z. z.,
zákona č. 201/2004 Z. z., zákona č. 727/2004 Z. z., zákona č. 69/2005 Z. z., zákona
č. 69/2005 Z. z., zákona č. 623/2005 Z. z., zákona č. 342/2007 Z. z., zákona č. 513/2007
Z. z., zákona č. 61/2008 Z. z., zákona č. 278/2008 Z. z., zákona č. 491/2008 Z. z.,
zákona č. 445/2008 Z. z., zákona č. 70/2009 Z. z., zákona č. 60/2010 Z. z., zákona
č. 151/2010 Z. z., zákona č. 543/2010 Z. z., zákona č. 547/2010 Z. z., zákona č. 48/2011
Z. z., zákona č. 79/2012 Z. z., zákona č. 361/2012 Z. z., zákona č. 345/2012 Z. z.,
zákona č. 80/2013 Z. z., zákona č. 462/2013 Z. z., zákona č. 307/2014 Z. z., zákona
č. 406/2015 Z. z. a zákona č. 125/2016 Z. z. sa dopĺňa takto
1.
V § 84 sa odsek 2 dopĺňa písmenom t), ktoré znie
„t)
príplatok za výkon činnosti v oblasti kybernetickej bezpečnosti.“.
2.
Za § 102b sa vkladá § 102c, ktorý vrátane nadpisu znie
㤠102c
Príplatok za výkon činnosti v oblasti kybernetickej bezpečnosti
(1)
Policajtovi, ktorý vykonáva osobitne významné úlohy alebo mimoriadne náročné činnosti
v oblasti kybernetickej bezpečnosti, možno priznať príplatok až do výšky 90 % súčtu
funkčného platu a hornej hranice prídavku za výsluhu rokov.
(2)
Príplatok podľa odseku 1 určuje minister v závislosti od náročnosti, zodpovednosti
a rozsahu činností v oblasti kybernetickej bezpečnosti.
(3)
Príplatok podľa odseku 1 sa zaokrúhľuje na 50 eurocentov nahor.“.
Čl. IV
Zákon č.
483/2001 Z. z.
o bankách a o zmene a doplnení niektorých zákonov v znení zákona č. 430/2002 Z. z.,
zákona č. 510/2002 Z. z., zákona č. 165/2003 Z. z., zákona č. 603/2003 Z. z., zákona
č. 215/2004 Z. z., zákona č. 554/2004 Z. z., zákona č. 747/2004 Z. z., zákona č. 69/2005
Z. z., zákona č. 340/2005 Z. z., zákona č. 341/2005 Z. z., zákona č. 214/2006 Z. z.,
zákona č. 644/2006 Z. z., zákona č. 209/2007 Z. z., zákona č. 659/2007 Z. z., zákona
č. 297/2008 Z. z., zákona č. 552/2008 Z. z., zákona č. 66/2009 Z. z., zákona č. 186/2009
Z. z., zákona č. 276/2009 Z. z., zákona č. 492/2009 Z. z., zákona č. 129/2010 Z. z.,
zákona č. 46/2011 Z. z., zákona č. 130/2011 Z. z., zákona č. 314/2011 Z. z., zákona
č. 394/2011 Z. z., zákona č. 520/2011 Z. z., zákona č. 547/2011 Z. z., zákona č. 234/2012
Z. z., zákona č. 352/2012 Z. z., zákona č. 132/2013 Z. z., zákona č. 352/2013 Z. z.,
zákona č. 213/2014 Z. z., zákona č. 371/2014 Z. z., zákona č. 374/2014 Z. z., zákona
č. 35/2015 Z. z., zákona č. 252/2015 Z. z., zákona č. 359/2015 Z. z., zákona č. 392/2015
Z. z., zákona č. 405/2015 Z. z., zákona č. 437/2015 Z. z., zákona č. 90/2016 Z. z.,
zákona č. 91/2016 Z. z., zákona č. 125/2016 Z. z., zákona č. 292/2016 Z. z., zákona
č. 298/2016 Z. z., zákona č. 299/2016 Z. z., zákona č. 315/2016 Z. z., zákona č. 386/2016
Z. z., zákona č. 2/2017 Z. z., zákona č. 264/2017 Z. z., zákona č. 279/2017 Z. z.
a zákona č. 18/2018 Z. z. sa dopĺňa takto
§ 91 sa dopĺňa odsekom 13, ktorý znie
„(13)
Za porušenie bankového tajomstva sa nepovažuje plnenie oznamovacej povinnosti banky,
zahraničnej banky a pobočky zahraničnej banky voči Národnému bezpečnostnému úradu
na účely plnenia ich povinnosti v oblasti kybernetickej bezpečnosti podľa osobitného
predpisu.
86j
)“.
Poznámka pod čiarou k odkazu 86j znie
„
86j
) Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých
zákonov.“.
Čl. IX
Zákon č.
305/2013 Z. z.
o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení
niektorých zákonov (zákon o e-Governmente) v znení zákona č. 214/2014
Z. z., zákona č. 29/2015 Z. z., zákona č. 130/2015 Z. z., zákona č. 273/2015 Z. z.,
zákona č. 272/2016 Z. z., zákona č. 374/2016 Z. z. a zákona č. 238/2017 Z. z. sa mení
takto
V § 60b ods. 3 sa slová „1. mája 2018“ nahrádzajú slovami „1. februára 2019“ a slová
„30. apríla 2018“ sa nahrádzajú slovami „31. januára 2019“.
Čl. V
Zákon č.
319/2002 Z. z.
o obrane Slovenskej republiky v znení zákona č. 330/2003 Z. z., zákona č. 545/2003
Z. z., zákona č. 570/2005 Z. z., zákona č. 333/2007 Z. z., zákona č. 452/2008 Z. z.,
zákona č. 473/2009 Z. z. a zákona č. 345/2012 Z. z. sa mení a dopĺňa takto
1.
V § 2 sa za odsek 1 vkladá nový odsek 2, ktorý znie
„(2)
Obrana štátu sa zabezpečuje aj v kybernetickom priestore
1a
) prostredníctvom opatrení zameraných na riešenie závažných kybernetických bezpečnostných
incidentov podľa osobitného predpisu
1b
) a obranu objektov osobitnej dôležitosti, ďalších dôležitých objektov a prvkov kritickej
infraštruktúry
1c
) pred kybernetickým napadnutím, ktoré v tejto oblasti vykonáva Vojenské spravodajstvo.
1d
)“.
Doterajšie odseky 2 až 5 sa označujú ako odseky 3 až 6.
Poznámky pod čiarou k odkazom 1a až 1c znejú
„
1a
) § 3 písm. b) zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení
niektorých zákonov.
1b
) § 27 ods. 10 zákona č. 69/2018 Z. z.
1c
) § 2 písm. a) zákona č. 45/2011 Z. z. o kritickej infraštruktúre.
1d
) § 4a zákona Národnej rady Slovenskej republiky č. 198/1994 Z. z. o Vojenskom spravodajstve
v znení zákona č. 69/2018 Z. z.“.
2.
V § 6 písm. f) sa na konci čiarka nahrádza bodkočiarkou a pripájajú tieto slová
„na obranu objektov osobitnej dôležitosti a ďalších dôležitých objektov v kybernetickom
priestore sa vzťahuje § 2 ods. 2,“.
3.
V § 18 sa za odsek 1 vkladá nový odsek 2, ktorý znie
„(2)
Osoby oprávnené na podnikanie sú na úseku obrany štátu v kybernetickom priestore
povinné poskytnúť Vojenským spravodajstvom požadovanú súčinnosť a informácie dôležité
na zabezpečenie obrany štátu v kybernetickom priestore.
15d
)“.
Doterajší odsek 2 sa označuje ako odsek 3.
Poznámka pod čiarou k odkazu 15d znie
„
15d
) § 4a ods. 3 zákona Národnej rady Slovenskej republiky č. 198/1994 Z. z. v znení
zákona č. 69/2018 Z. z.“.
Čl. VI
Zákon č.
215/2004 Z. z.
o ochrane utajovaných skutočností a o zmene a doplnení niektorých zákonov v znení
zákona č. 638/2005 Z. z., zákona č. 255/2006 Z. z., zákona č. 330/2007 Z. z., zákona
č. 668/2007 Z. z., zákona č. 290/2009 Z. z., zákona č. 400/2009 Z. z., zákona č. 192/2011
Z. z., zákona č. 122/2013 Z. z., zákona č. 195/2014 Z. z., zákona č. 261/2014 Z. z.,
zákona č. 362/2014 Z. z., zákona č. 247/2015 Z. z., zákona č. 338/2015 Z. z., zákona
č. 91/2016 Z. z., zákona č. 125/2016 Z. z., zákona č. 301/2016 Z. z., zákona č. 340/2016
Z. z., zákona č. 51/2017 Z. z., zákona č. 152/2017 Z. z. a zákona č. 334/2017 Z. z.
sa mení a dopĺňa takto
1.
V § 24 ods. 2 písm. d) sa na konci slovo „alebo“ nahrádza čiarkou.
2.
V § 24 ods. 2 písm. e) sa na konci vypúšťa bodka a pripája sa slovo „alebo“.
3.
V § 24 sa odsek 2 dopĺňa písmenom f), ktoré znie
„f)
sa navrhovaná osoba na výzvu úradu nedostaví na bezpečnostný pohovor; na výzvu úradu
sa primerane vzťahuje § 27 ods. 4.“.
4.
V § 35 ods. 2 sa za slová „osoba konajúca v prospech orgánov podľa osobitných predpisov“
vkladá čiarka a slová „osoba na základe dohody podľa osobitného predpisu
18a
)“.
Poznámka pod čiarou k odkazu 18a znie
„
18a
) § 5 ods. 2 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení
niektorých zákonov.“.
5.
§ 60 sa dopĺňa odsekom 9, ktorý znie
„(9)
Na poskytovanie utajovaných skutočností medzi ozbrojenými silami Slovenskej republiky
a ozbrojenými silami iného štátu, aliančného a koaličného partnera alebo partnera
vo vojenskej operácii v rámci bilaterálnej spolupráce uskutočňovanej podľa osobitného
predpisu
23a
) sa nevzťahujú odseky 3 až 6; o poskytnutí utajovaných skutočností podľa predchádzajúcej
vety rozhoduje minister obrany, o čom vedie evidenciu.“.
Poznámka pod čiarou k odkazu 23a znie
„
23a
) § 11 ods. 1 zákona č. 321/2002 Z. z. o ozbrojených silách Slovenskej republiky v
znení neskorších predpisov.“.
6.
V § 64 sa vypúšťajú odseky 2 a 3.
Doterajší odsek 4 sa označuje ako odsek 2.
7.
V § 64 ods. 2 sa slovo „Žiadateľ“ nahrádza slovami „Podnikateľ podľa odseku 1“.
Čl. VII
Zákon č.
45/2011 Z. z.
o kritickej infraštruktúre sa mení takto
1.
V § 1 sa vypúšťa odsek 2 vrátane poznámky pod čiarou k odkazu 1.
Súčasne sa zrušuje označenie odseku 1.
2.
V § 3 písm. c) sa slová „Ministerstvo financií Slovenskej republiky, Ministerstvo
dopravy, výstavby a regionálneho rozvoja Slovenskej republiky“ nahrádzajú slovami
„Úrad podpredsedu vlády pre investície a informatizáciu a Ministerstvo dopravy a výstavby
Slovenskej republiky“.
3.
V § 9 sa vypúšťa odsek 4.
4.
V § 10 ods. 2 sa slová „bezpečnostné prvky informačných systémov“ nahrádzajú slovami
„bezpečnostné opatrenia podľa osobitného predpisu
4a
)“.
Poznámka pod čiarou k odkazu 4a znie
„
4a
) § 20 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých
zákonov.“.
5.
Príloha č. 3 vrátane nadpisu znie
„Príloha č. 3
k zákonu č. 45/2011 Z. z.
SEKTORY V PÔSOBNOSTI ÚSTREDNÝCH ORGÁNOV
Sektor
Podsektor
Ústredný orgán
1. Doprava
Cestná doprava
Letecká doprava
Vodná doprava
Železničná doprava
Ministerstvo dopravy a výstavby Slovenskej republiky
2. Elektronické komunikácie
Satelitná komunikácia
Siete a služby pevných elektronických komunikácií a mobilných elektronických komunikácií
Ministerstvo dopravy a výstavby Slovenskej republiky
3. Energetika
Baníctvo
Elektroenergetika
Plynárenstvo
Ropa a ropné produkty
Ministerstvo hospodárstva Slovenskej republiky
4. Pošta
Poskytovanie poštových služieb, poštový platobný styk a obstarávateľská činnosť
Ministerstvo dopravy a výstavby Slovenskej republiky
5. Priemysel
Farmaceutický priemysel
Hutnícky priemysel
Chemický priemysel
Ministerstvo hospodárstva Slovenskej republiky
6. Informačné a komunikačné technológie
Informačné systémy a siete
Úrad podpredsedu vlády Slovenskej republiky pre investície a informatizáciu
7. Voda a atmosféra
Meteorologická služba
Vodné stavby
Zabezpečovanie pitnej vody
Ministerstvo životného prostredia Slovenskej republiky
8. Zdravotníctvo
Ministerstvo zdravotníctva Slovenskej republiky
“.
Čl. VIII
Zákon č.
351/2011 Z. z.
o elektronických komunikáciách v znení zákona č. 241/2012 Z. z., zákona č. 547/2011
Z. z., zákona č. 352/2013 Z. z., zákona č. 402/2013 Z. z., zákona č. 128/2014 Z. z.,
zákona č. 402/2013 Z. z., zákona č. 139/2015 Z. z., zákona č. 247/2015 Z. z., zákona
č. 269/2015 Z. z., zákona č. 97/2015 Z. z., zákona č. 444/2015 Z. z., zákona č. 391/2015
Z. z., zákona č. 247/2015 Z. z., zákona č. 125/2016 Z. z., zákona č. 353/2016 Z. z.,
zákona č. 386/2016 Z. z., zákona č. 238/2017 Z. z., zákona č. 243/2017 Z. z., zákona
č. 319/2017 Z. z. a zákona č. 56/2018 Z. z. sa dopĺňa takto
1.
§ 8 sa dopĺňa odsekom 3, ktorý znie
„(3)
Pri uplatňovaní pôsobnosti úradu vymedzenej týmto zákonom a pôsobnosti Národného
bezpečnostného úradu ustanovenej osobitným predpisom
15a
) si tieto úrady vymieňajú informácie a podklady dôležité na zabezpečenie kybernetickej
bezpečnosti v rozsahu a spôsobom ustanoveným na základe uzatvorených dohôd o spolupráci.
V prípade výmeny informácií prijímajúci úrad zabezpečí rovnakú úroveň dôvernosti ako
úrad, ktorý informáciu poskytne.“.
Poznámka pod čiarou k odkazu 15a znie
„
15a
) Zákon č. 69/2018 o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov.“.
2.
§ 63 sa dopĺňa odsekom 17, ktorý znie
„(17)
Údaje, ktoré sú predmetom telekomunikačného tajomstva podľa odseku 1 písm. b) až
d), možno sprístupniť Národnému bezpečnostnému úradu v záujme bezpečnosti štátu na
účely riešenia kybernetického bezpečnostného incidentu, na účel ich zberu, spracovávania
a uchovávania v rozsahu potrebnom na identifikáciu kybernetického bezpečnostného incidentu
a zabezpečenia kybernetickej bezpečnosti podľa všeobecného predpisu o kybernetickej
bezpečnosti.
15a
)“.
Čl. X
Zákon č.
281/2015 Z. z.
o štátnej službe profesionálnych vojakov a o zmene a doplnení niektorých zákonov
v znení zákona č. 378/2015 Z. z. a zákona č. 125/2016 Z. z. sa mení a dopĺňa takto
1.
V § 156 ods. 1 sa za písmeno h) vkladá nové písmeno i), ktoré znie
„i) príplatok za výkon špecializovanej činnosti,“.
Doterajšie písmená i) až k) sa označujú ako písmená j) až l).
2.
V § 156 od. 2 sa slová „písm. a) až i)“ nahrádzajú slovami „písm. a) až j)“.
3.
Za § 164 sa vkladá § 164a, ktorý vrátane nadpisu znie
㤠164a
Príplatok za výkon špecializovanej činnosti
(1)
Profesionálnemu vojakovi, ktorý vykonáva činnosť, ktorá vyžaduje vykonávanie osobitne
významných úloh alebo mimoriadne náročných úloh v oblasti kybernetickej bezpečnosti,
možno priznať príplatok za výkon špecializovanej činnosti až do výšky 90 % jeho hodnostného
platu.
(2)
Funkcie a výšku príplatku podľa odseku 1 ustanoví služobný predpis.
(3)
Príplatok podľa odseku 1 sa zaokrúhľuje na 50 eurocentov nahor.“.
Čl. XI
Tento zákon nadobúda účinnosť 1. apríla 2018 okrem čl. I
§ 12 ods. 6
, ktorý nadobúda účinnosť 25. mája 2018.