Source: https://bpis.sk/new/index.php?page=zak69.php
Timestamp: 2020-05-28 00:18:16+00:00

Document:
ZÁKON è. 69/2018 Z.z.
Úplné znenie zákona è. 69/2018 Z. z. o kybernetickej bezpeènosti a o zmene a doplnení niektorých zákonov
organizáciu, pôsobnos� a povinnosti orgánov verejnej moci v oblasti kybernetickej bezpeènosti,
národnú stratégiu kybernetickej bezpeènosti,
jednotný informaèný systém kybernetickej bezpeènosti,
organizáciu a pôsobnos� jednotiek pre riešenie kybernetických bezpeènostných incidentov (ïalej len „jednotka CSIRT“) a ich akreditáciu,
postavenie a povinnosti prevádzkovate¾a základnej služby a poskytovate¾a digitálnej služby,
bezpeènostné opatrenia,
systém zabezpeèenia kybernetickej bezpeènosti,
Tento zákon ustanovuje minimálne požiadavky na zabezpeèenie kybernetickej bezpeènosti.
Tento zákon sa nevz�ahuje na
požiadavky na zabezpeèenie sietí a informaèných systémov pod¾a všeobecného predpisu o ochrane utajovaných skutoèností,
osobitné ustanovenia o úlohách a oprávneniach orgánu štátu pri ochrane kybernetického priestoru pod¾a osobitného predpisu,1)
ustanovenia osobitných predpisov o vyšetrovaní, odha¾ovaní a stíhaní trestných èinov,2)
požiadavky týkajúce sa bezpeènosti sietí, infraštruktúr a informaèných systémov a oznamovania kybernetických bezpeènostných incidentov v sektore bankovníctva, financií alebo finanèného systému pod¾a osobitných predpisov,3) vrátane štandardov a zásad vydaných alebo prijatých Európskou centrálnou bankou, Európskym systémom centrálnych bánk,
Eurosystémom alebo európskymi orgánmi doh¾adu,4) ak ich úèinok je aspoò rovnocenný s úèinkom povinností pod¾a tohto zákona, vrátane rozhodnutí, štandardov a zásad vydaných alebo prijatých Národnou bankou Slovenska, ak ich cie¾om je dosiahnu� rovnocennú alebo vyššiu úroveò bezpeènosti sietí, infraštruktúr a informaèných systémov ako pod¾a tohto zákona, a ani na platobné systémy a na systémy zúètovania a vyrovnania cenných papierov a ich infraštruktúry dohliadané alebo prevádzkované Európskou centrálnou bankou alebo Eurosystémom pod¾a osobitných predpisov,5)
požiadavky na zabezpeèenie sietí a informaèných systémov v sektore pod¾a osobitného predpisu,6) ak ich cie¾om je dosiahnu� vyššiu úroveò bezpeènosti sietí a informaèných systémov ako pod¾a tohto zákona,
sie�ou a informaèným systémom elektronická komunikaèná sie�, informaèný systém, každé zariadenie a komunikaèný systém alebo údaje, ktoré sú v nich vytvárané, ukladané, spracúvané, získavané alebo prenášané prostredníctvom elektronickej komunikaènej siete alebo informaèného systému, na úèely prevádzkovania, používania, ochrany a udržiavania týchto sietí a systémov,
kybernetickým priestorom globálny dynamický otvorený systém sietí a informaèných systémov, ktorý tvoria aktivované prvky kybernetického priestoru, osoby vykonávajúce aktivity v tomto systéme a vz�ahy a interakcie medzi nimi,
kontinuitou strategická a taktická schopnos� organizácie plánova� a reagova� na udalosti a incidenty s cie¾om pokraèova� vo výkone èinností na prijate¾nej, vopred stanovenej úrovni,
dôvernos�ou záruka, že údaj alebo informácia nie je prezradená neoprávneným subjektom alebo procesom,
dostupnos�ou záruka, že údaj alebo informácia je pre používate¾a, informaèný systém, sie� alebo zariadenie prístupné vo chvíli, keï je údaj a informácia potrebná a požadovaná,
integritou záruka, že bezchybnos�, úplnos� alebo správnos� informácie neboli narušené,
kybernetickou bezpeènos�ou stav, v ktorom sú siete a informaèné systémy schopné odoláva� na urèitom stupni spo¾ahlivosti akémuko¾vek konaniu, ktoré ohrozuje dostupnos�, pravos�, integritu alebo dôvernos� uchovávaných, prenášaných alebo spracúvaných údajov alebo súvisiacich služieb poskytovaných alebo prístupných prostredníctvom týchto sietí a informaèných systémov,
rizikom miera kybernetického ohrozenia vyjadrená pravdepodobnos�ou vzniku nežiaduceho javu a jeho dôsledkami,
hrozbou každá primerane rozpoznate¾ná okolnos� alebo udalos� proti sie�am a informaèným systémom, ktorá môže ma� nepriaznivý vplyv na kybernetickú bezpeènos�,
kybernetickým bezpeènostným incidentom akáko¾vek udalos�, ktorá má z dôvodu narušenia bezpeènosti siete a informaèného systému, alebo porušenia bezpeènostnej politiky alebo záväznej metodiky negatívny vplyv na kybernetickú bezpeènos� alebo ktorej následkom je
strata dôvernosti údajov, znièenie údajov alebo narušenie integrity systému,
vysoká pravdepodobnos� kompromitácie èinností základnej služby alebo digitálnej služby alebo
ohrozenie bezpeènosti informácií,
závisí od sietí a informaèných systémov a je èinnos�ou aspoò v jednom sektore alebo podsektore pod¾a prílohy è. 1,
je informaèným systémom verejnej správy,8) alebo
prevádzkovate¾om základnej služby orgán verejnej moci alebo osoba, ktorá prevádzkuje aspoò jednu službu pod¾a písmena k),
digitálnou službou služba, ktorej druh je uvedený prílohe è. 2,
poskytovate¾om digitálnej služby právnická osoba alebo fyzická osoba – podnikate¾, ktorá poskytuje digitálnu službu a zároveò zamestnáva aspoò 50 zamestnancov a má roèný obrat alebo celkovú roènú bilanciu viac ako 10 000 000 eur,
riešením kybernetického bezpeènostného incidentu všetky postupy súvisiace s oznamovaním, odha¾ovaním, analýzou a reakciou na kybernetický bezpeènostný incident a s obmedzením jeho následkov.
Pôsobnos� orgánov verejnej moci
Pôsobnos� v oblasti kybernetickej bezpeènosti vykonáva
Národný bezpeènostný úrad (ïalej len „úrad“),
úrad, Ministerstvo dopravy a výstavby Slovenskej republiky, Ministerstvo financií Slovenskej republiky, Ministerstvo hospodárstva Slovenskej republiky, Ministerstvo obrany Slovenskej republiky, Ministerstvo vnútra Slovenskej republiky, Ministerstvo zdravotníctva Slovenskej republiky, Ministerstvo životného prostredia Slovenskej republiky, Slovenská informaèná služba, Úrad podpredsedu vlády pre investície a informatizáciu a Vojenské spravodajstvo (ïalej len „ústredný orgán“),
ministerstvá a ostatné ústredné orgány štátnej správy,10) ktoré nie sú ústredným orgánom, Generálna prokuratúra Slovenskej republiky, Najvyšší kontrolný úrad Slovenskej republiky, Úrad pre doh¾ad nad zdravotnou starostlivos�ou, Úrad na ochranu osobných údajov Slovenskej republiky, Úrad pre reguláciu sie�ových odvetví a iné štátne orgány v rozsahu svojej pôsobnosti (ïalej len „iný orgán štátnej správy“).
Úrad v oblasti kybernetickej bezpeènosti
urèuje štandardy, operaèné postupy, vydáva metodiku a politiku správania sa v kybernetickom priestore,
urèuje zásady predchádzania kybernetickým bezpeènostným incidentom a zásady ich riešenia,
vypracúva národnú stratégiu kybernetickej bezpeènosti a roènú správu o stave kybernetickej bezpeènosti v Slovenskej republike v spolupráci s príslušnými štátnymi orgánmi,
je národným kontaktným miestom pre kybernetickú bezpeènos� pre zahranièie a zabezpeèuje spoluprácu s jednotnými kontaktnými miestami èlenských štátov Európskej únie a Organizácie Severoatlantickej zmluvy,
plní notifikaèné a nahlasovacie povinnosti voèi príslušným orgánom Európskej únie a Organizácie Severoatlantickej zmluvy a podie¾a sa a podporuje vytváranie partnerstiev na národnej a medzinárodnej úrovni v oblasti kybernetickej bezpeènosti,
zabezpeèuje èlenstvo Slovenskej republiky v skupine pre spoluprácu a v sieti jednotiek CSIRT,
v spolupráci s Ministerstvom zahranièných vecí a európskych záležitostí Slovenskej republiky rozvíja medzinárodnú spoluprácu a sleduje vplyvy aktivít v oblasti kybernetickej bezpeènosti na zahraniènopolitické záujmy Slovenskej republiky a partnerov v rámci Európskej únie a Organizácie Severoatlantickej zmluvy,
spolupracuje s ústrednými orgánmi, inými orgánmi štátnej správy a jednotkami CSIRT, prevádzkovate¾mi základných služieb a poskytovate¾mi digitálnych služieb pri plnení úloh pod¾a tohto zákona,
spravuje a prevádzkuje jednotný informaèný systém kybernetickej bezpeènosti,
na základe oznámenia ústredného orgánu, prevádzkovate¾a základnej služby, poskytovate¾a digitálnej služby alebo z vlastnej iniciatívy urèuje
základnú službu a zaraïuje ju do zoznamu základných služieb,
digitálnu službu a zaraïuje ju do zoznamu digitálnych služieb,
poskytovate¾a digitálnej služby a zaraïuje ho do registra poskytovate¾ov digitálnych služieb,
prevádzkovate¾a základnej služby a zaraïuje ho do registra prevádzkovate¾ov základných služieb,
register prevádzkovate¾ov základných služieb,
register poskytovate¾ov digitálnych služieb,
systematicky získava, sústreïuje, analyzuje a vyhodnocuje informácie o stave kybernetickej bezpeènosti v Slovenskej republike,
akredituje jednotky CSIRT okrem Národnej jednotky CSIRT a vládnej jednotky CSIRT a zaraïuje ich do zoznamu akreditovaných jednotiek CSIRT,
zabezpeèuje a zodpovedá za koordinované riešenie kybernetických bezpeènostných incidentov na národnej úrovni,
rieši kybernetické bezpeènostné incidenty, vyhlasuje výstrahu a varovania pred závažným kybernetickým bezpeènostným incidentom, ukladá povinnos� vykona� reaktívne opatrenie a schva¾uje ochranné opatrenie,
zasiela vèasné varovania,
prijíma vnútroštátne hlásenia o kybernetických bezpeènostných incidentoch,
prijíma hlásenia o kybernetických bezpeènostných incidentoch zo zahranièia a zabezpeèuje spoluprácu s medzinárodnými organizáciami a orgánmi iných štátov pri riešení kybernetických bezpeènostných incidentov s cezhranièným charakterom,
vykonáva audit alebo požiada orgán posudzovania zhody o vykonanie auditu u prevádzkovate¾a
základnej služby,
vydáva znalostné štandardy a v spolupráci s Ministerstvom školstva, vedy, výskumu a športu Slovenskej republiky vykonáva a zabezpeèuje budovanie bezpeènostného povedomia,
Na úèely zabezpeèenia plnenia úloh pod¾a tohto zákona môže úrad na úèel zabezpeèenia kybernetickej bezpeènosti uzatvori� písomnú dohodu o spolupráci a o výmene informácií a podkladov s orgánmi verejnej moci alebo s inou právnickou osobou.10a) Pri poskytnutí informácií je prijímajúci subjekt povinný zabezpeèi� najmenej rovnakú úroveò dôvernosti ako subjekt, ktorý informácie poskytol.
Na úèely zabezpeèenia plnenia úloh pod¾a tohto zákona môže úrad uzatvori� písomnú dohodu o spolupráci s fyzickou osobou. Dohoda o spolupráci musí obsahova� konkrétnu formu a podmienky spolupráce a fyzická osoba musí by� oprávnená na oboznamovanie sa s utajovanými skutoènos�ami príslušného stupòa utajenia, ak to plnenie úloh vyžaduje.
Úrad má postavenie národnej jednotky CSIRT s pôsobnos�ou pre Slovenskú republiku, ktorá musí spåòa� podmienky akreditácie pod¾a § 14 a plni� úlohy jednotky CSIRT pod¾a § 15 pre všetky sektory a podsektory uvedené v prílohe è. 1 a digitálne služby okrem tých sektorov a podsektorov, pre ktoré plní úlohy jednotky CSIRT ústredný orgán. Národná jednotka CSIRT je zaradená v zozname akreditovaných jednotiek CSIRT.
Národná jednotka CSIRT plní úlohu ústredného orgánu v rozsahu pod¾a § 9 ods. 1 písm. a), ak ústredný orgán túto úlohu nezabezpeèí spôsobom pod¾a § 9 ods. 2.
Na èinnosti národnej jednotky CSIRT sa vyslaním svojich zástupcov a ïalšími formami spolupráce môže podie¾a� aj iný orgán štátnej správy v rozsahu a spôsobom ustanovenými na základe uzatvorených zmlúv o spolupráci.
Plnenie úloh úradu pod¾a odsekov 1 a 2 nezbavuje prevádzkovate¾a základnej služby ani ústredný orgán zodpovednosti za plnenie povinností pod¾a tohto zákona a ani za plnenie povinností vo vz�ahu k sie�am a informaèným systémom pod¾a osobitných predpisov.
Národná stratégia kybernetickej bezpeènosti
Národná stratégia kybernetickej bezpeènosti je východiskový strategický dokument, ktorý komplexne urèuje strategický prístup Slovenskej republiky k zabezpeèeniu kybernetickej bezpeènosti. Súèas�ou národnej stratégie kybernetickej bezpeènosti je akèný plán ako konkrétny plán èiastkových úloh a zdrojov.
Národná stratégia kybernetickej bezpeènosti obsahuje najmä
ciele, priority a rámec riadenia na dosiahnutie týchto cie¾ov a priorít vrátane úloh a zodpovedností orgánov verejnej moci a ïalších relevantných subjektov,
popis bezpeènostného prostredia,
definíciu bezpeènostných hrozieb,
urèenie vzdelávacích programov, programov na budovanie bezpeènostného povedomia, zvyšovanie informovanosti a odbornej prípravy,
urèenie plánov výskumu a vývoja,
plán posudzovania rizika na úèely identifikácie rizík,
zoznam subjektov zapojených do vykonávania národnej stratégie kybernetickej bezpeènosti,
urèenie hlavných zahraniènopolitických partnerov.
Ústredný orgán a iný orgán štátnej správy spolupracujú s úradom na vypracovaní národnej stratégie kybernetickej bezpeènosti a na tento úèel sú povinné poskytnú� mu informácie v potrebnom rozsahu.
Národnú stratégiu kybernetickej bezpeènosti schva¾uje vláda Slovenskej republiky.
Jednotný informaèný systém kybernetickej bezpeènosti
Jednotný informaèný systém kybernetickej bezpeènosti je informaèný systém, ktorého správcom a prevádzkovate¾om je úrad a ktorý slúži na efektívne riadenie, koordináciu, evidenciu a kontrolu výkonu štátnej správy v oblasti kybernetickej bezpeènosti a jednotiek CSIRT. Jednotný informaèný systém kybernetickej bezpeènosti je urèený aj na spracovanie a vyhodnocovanie údajov a informácií o stave kybernetickej bezpeènosti a slúži pri krízovom plánovaní v èase mieru, riadení štátu v krízových situáciách mimo èasu vojny a vojnového stavu,11) ako aj na potrebné èinnosti v èase vojny alebo vojnového stavu.
Jednotný informaèný systém kybernetickej bezpeènosti obsahuje komunikaèný systém pre hlásenie a riešenie kybernetických bezpeènostných incidentov a centrálny systém vèasného varovania. Jednotný informaèný systém pozostáva z verejnej èasti a neverejnej èasti a prístup k nemu je bezodplatný. Verejná èas� jednotného informaèného systému kybernetickej bezpeènosti obsahuje
register kybernetických bezpeènostných incidentov,
informácie a údaje potrebné na používanie jednotného informaèného systému kybernetickej bezpeènosti,
výstrahy a varovania a ïalšie informácie slúžiace na minimalizovanie, odvrátenie alebo nápravu následkov kybernetického bezpeènostného incidentu.
Komunikaèný systém pre hlásenie a riešenie kybernetických bezpeènostných incidentov je komunikaèný systém, ktorý zais�uje systematické získavanie, sústreïovanie, analyzovanie a vyhodnocovanie informácií o kybernetických bezpeènostných incidentoch.
Centrálny systém vèasného varovania je informaèný systém, ktorý zais�uje vèasnú výmenu informácií o hrozbách, kybernetických bezpeènostných incidentoch a rizikách s nimi spojených
medzi úradom a subjektmi pod¾a odseku 5.
K neverejnej èasti jednotného informaèného systému kybernetickej bezpeènosti má priamy prístup v elektronickej forme v reálnom èase, v rozsahu urèenom úradom alebo osobitným predpisom12) a na základe vecnej pôsobnosti
prevádzkovate¾ základnej služby a poskytovate¾ digitálnej služby,
Ten, kto je povinný pod¾a tohto zákona poskytova� informácie, údaje a hlásenia prostredníctvom jednotného informaèného systému kybernetickej bezpeènosti, je povinný ich poskytova� bezodplatne a bezodkladne po tom, ako sa dozvie o skutoènosti zakladajúcej túto povinnos�. Informácie, údaje a hlásenia sa poskytujú spôsobom urèeným funkcionalitou jednotného informaèného systému kybernetickej bezpeènosti.
Ústredný orgán v rozsahu svojej pôsobnosti pre sektor alebo podsektor pod¾a prílohy è. 1, zodpovedá za zabezpeèenie kybernetickej bezpeènosti tým, že
plní úlohy jednotky CSIRT spôsobom pod¾a odseku 2,
poskytuje úradu požadovanú súèinnos� a informácie získané z vlastnej èinnosti dôležité na zabezpeèenie kybernetickej bezpeènosti; informácie sa poskytujú len za podmienky, že ich poskytnutím nedôjde k ohrozeniu plnenia konkrétnej úlohy pod¾a osobitného predpisu13) alebo k odhaleniu jej zdrojov, prostriedkov, totožnosti osôb konajúcich v jej prospech alebo k ohrozeniu medzinárodnej spravodajskej spolupráce,
spolupracuje s ostatnými ústrednými orgánmi a prevádzkovate¾mi základných služieb vo svojej pôsobnosti pri plnení úloh pod¾a tohto zákona,
buduje bezpeènostné povedomie, koordinovanú spoluprácu na všetkých stupòoch riadenia kybernetickej bezpeènosti a aplikuje bezpeènostné opatrenia a politiku správania sa v kybernetickom priestore,
v spolupráci s úradom urèuje špecifické sektorové identifikaèné kritériá pod¾a § 18 ods. 3,
identifikuje základnú službu a prevádzkovate¾a základnej služby a ich aktuálny zoznam predkladá úradu na úèely zaradenia do zoznamu základných služieb a registra prevádzkovate¾ov základných služieb,
spolupracuje so zahraniènou inštitúciou obdobného zamerania.
Ústredný orgán na úèely plnenia úloh pod¾a odseku 1 písm. a) v rozsahu svojej pôsobnosti pre sektor alebo podsektor pod¾a prílohy è. 1 zriaïuje a prevádzkuje akreditovanú jednotku CSIRT alebo na tento úèel využíva akreditovanú jednotku CSIRT, ktorú zriaïuje a prevádzkuje iný ústredný orgán, ak sa tak dohodnú. Využívanie akreditovanej jednotky CSIRT, ktorú zriaïuje a prevádzkuje iný ústredný orgán, sa vykonáva na základe zmluvy.
Zmluva pod¾a odseku 2 musí obsahova� obdobie, poèas ktorého sa akreditovaná jednotka CSIRT využíva, zoznam osôb v pôsobnosti ústredného orgánu, ktoré budú zodpovedné za poskytovanie údajov a informácií a ich rozsah, povinnosti o hlásení zmien ovplyvòujúcich riadne
fungovanie akreditovanej jednotky CSIRT a vyèíslenie prevádzkových nákladov, ktoré je ústredný orgán povinný uhradi�.
Na úèely zaistenia kontinuity a riadenia rizík súvisiacich so zabezpeèením sietí a informaèných systémov, ktoré nie sú základnou službou a procesu riešenia kybernetických bezpeènostných incidentov, iný orgán štátnej správy a ústredný orgán v rozsahu svojej pôsobnosti zodpovedá za zabezpeèenie kybernetickej bezpeènosti tým, že prijíma a dodržiava vhodné a primerané bezpeènostné opatrenia pod¾a § 20.
Iný orgán štátnej správy ïalej poskytuje úradu požadovanú súèinnos� a informácie získané z vlastnej èinnosti dôležité na zabezpeèenie kybernetickej bezpeènosti; informácie sa poskytujú len za podmienky, že ich poskytnutím nedôjde k ohrozeniu plnenia konkrétnej úlohy pod¾a osobitného predpisu19) alebo k odhaleniu jej zdrojov, prostriedkov, totožnosti osôb konajúcich v jej prospech, alebo k ohrozeniu medzinárodnej spravodajskej spolupráce.
Zriaïuje sa vládna jednotka CSIRT v pôsobnosti Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu pre podsektor informaèné systémy verejnej správy. Vládna jednotka CSIRT musí spåòa� podmienky akreditácie pod¾a § 14 a plni� úlohy pod¾a § 15. Vládna jednotka CSIRT sa zaraïuje do zoznamu akreditovaných jednotiek CSIRT.
Mlèanlivos� a ochrana osobných údajov
Kto plní alebo plnil úlohy na základe tohto zákona alebo v súvislosti s ním, je povinný zachováva� mlèanlivos� o skutoènostiach, o ktorých sa v súvislosti s plnením úloh pod¾a tohto zákona dozvedel a ktoré nie sú verejne známe. Povinnos� zachováva� mlèanlivos� trvá aj po skonèení dohody o spolupráci pod¾a § 5 ods. 3, pracovnoprávneho vz�ahu alebo obdobného pracovného vz�ahu vrátane služobného pomeru.14) Ustanoveniami o povinnosti zachováva� mlèanlivos� pod¾a tohto zákona nie je dotknutá povinnos� mlèanlivosti alebo zachovania tajomstva pod¾a osobitných predpisov.15)
O zbavení povinnosti mlèanlivosti osoby pod¾a odseku 1 rozhodne v pôsobnosti
úradu riadite¾ úradu,
Na úèely konania pred orgánom verejnej moci, na úèely trestného konania, oznamovania skutoènosti nasvedèujúcej tomu, že bol spáchaný trestný èin, alebo oznamovania kriminality alebo inej protispoloèenskej èinnosti16) sa povinnos� zachováva� mlèanlivos� pod¾a odseku 1 nevz�ahuje na prevádzkovate¾a základnej služby a poskytovate¾a digitálnej služby a jeho zamestnancov.
Oznamovanie kybernetických bezpeènostných incidentov v rozsahu pod¾a tohto zákona, informovanie o hlásenom kybernetickom bezpeènostnom incidente, úkony súvisiace s riešením kybernetických bezpeènostných incidentov, vyhlásenie výstrahy a varovania spôsobom pod¾a tohto zákona nie je porušením povinnosti zachováva� mlèanlivos� pod¾a tohto zákona a pod¾a osobitných predpisov.15)
Za škodu spôsobenú prevádzkovate¾om základnej služby, poskytovate¾om digitálnej služby, ich zamestnancom alebo osobe oznamujúcej kybernetický bezpeènostný incident, ktorá vznikla
oznámením pod¾a odseku 4, zodpovedá úrad.
Na úèely riešenia kybernetického bezpeènostného incidentu v rozsahu potrebnom na jeho identifikáciu a zabezpeèenia kybernetickej bezpeènosti úrad v záujme národnej bezpeènosti spracováva v jednotnom informaènom systéme kybernetickej bezpeènosti na èas nevyhnutne potrebný osobné údaje spôsobom pod¾a osobitného predpisu.17)
Úrad zabezpeèí nepretržitú ochranu osobných údajov a informácií spracúvaných pod¾a tohto zákona pred nezákonným vyzradením, zneužitím, poškodením, neoprávneným znièením, odcudzením a stratou spôsobom pod¾a osobitného predpisu.18)
Informácie a osobné údaje získané na základe tohto zákona alebo v súvislosti s ním môže úrad použi� len na plnenie úloh pod¾a tohto zákona.
Žiados� pod¾a odseku 1 predkladá úradu v elektronickej podobe ústredný orgán, ktorý má plni� úlohy jednotky CSIRT; k žiadosti prikladá dokumentáciu preukazujúcu splnenie podmienok akreditácie jednotky CSIRT.
Konanie pod¾a odseku 1 sa zaèína dòom doruèenia žiadosti úradu pod¾a odseku 2. Ak žiados� nie je úplná, úrad vyzve žiadate¾a na jej doplnenie v urèenej lehote, ktorá nesmie by� kratšia ako desa� dní. Ak žiadate¾ žiados� v stanovenej lehote nedoplní požadovaným spôsobom, úrad na žiados� ïalej neprihliada.
Úrad o akreditácii rozhodne do 90 dní odo dòa doruèenia úplnej žiadosti, a ak posúdi splnenie zhody jednotky CSIRT s podmienkami akreditácie jednotky CSIRT, vydá rozhodnutie o akreditácii. Rozhodnutie o akreditácii sa vydáva na dobu urèitú, najviac na pä� rokov.
Úrad môže na základe žiadosti opakovane predåži� platné rozhodnutie o akreditácii, ak nenastala zmena podmienok, na základe ktorých bolo rozhodnutie o akreditácii vydané. Žiados� pod¾a predchádzajúcej vety sa predkladá úradu najmenej šes� mesiacov pred uplynutím doby platnosti rozhodnutia o akreditácii, ktoré sa má predåži�. Na konanie a na podanie žiadosti sa primerane vz�ahujú odseky 2 až 4. Ak úrad predåženie akreditácie uzná, vydá o tom rozhodnutie pod¾a odseku 4 s doložkou „predåženie“.
Úrad na základe žiadosti ústredného orgánu, ktorý má plni� úlohy jednotky CSIRT, uzná aj akreditáciu jednotky CSIRT, ktorá bola akreditovaná pod¾a predpisov iného štátu alebo medzinárodnej organizácie, ak je preukázate¾ne zabezpeèené splnenie podmienok akreditácie jednotky CSIRT; podmienka pod¾a § 14 písm. a) sa nepreukazuje. Na konanie a na podanie žiadosti sa primerane vz�ahujú odseky 2 až 4. Úrad o akreditácii vydá rozhodnutie pod¾a odseku 4 s doložkou „uznanie“ najviac na dobu platnosti, na ktorú bola jednotka CSIRT akreditovaná pod¾a predpisov iného štátu alebo medzinárodnej organizácie.
Úrad jednotku CSIRT akreditovanú spôsobom pod¾a tohto zákona zaradí do zoznamu akreditovaných jednotiek CSIRT.
Žiadate¾ o akreditáciu jednotky CSIRT pod¾a § 13 dokumentáciou preukazuje, že jednotka CSIRT
má požadované technické, technologické a personálne vybavenie pod¾a všeobecne záväzného právneho predpisu, ktorý vydá úrad,
má vytvorené podmienky umožòujúce chránený prenos a spracovanie údajov spôsobom pod¾a osobitného predpisu,19)
chráni informácie a údaje, ktoré v súvislosti s plnením povinností pod¾a tohto zákona získava a spracováva ich tak, aby nebola narušená ich dostupnos�, dôvernos�, autentickos� a integrita,20)
má umiestnenú dokumentáciu, informaèné systémy a ostatné informaèno-komunikaèné technológie v zabezpeèenom priestore tak, aby nebola narušená ich dôvernos�, autentickos� a integrita.20)
Ten, kto plní úlohy jednotky CSIRT v rozsahu svojej pôsobnosti urèenej pod¾a prílohy è. 1, zodpovedá za riešenie kybernetických bezpeènostných incidentov a vykonáva preventívne služby a reaktívne služby.
Preventívne služby sa zameriavajú na prevenciu kybernetických bezpeènostných incidentov
vytváraním bezpeènostného povedomia,
monitorovaním a evidenciou kybernetických bezpeènostných incidentov,
pripojením na jednotný informaèný systém kybernetickej bezpeènosti,
poskytovaním informácií a údajov do jednotného informaèného systému kybernetickej bezpeènosti,
prijímaním a zasielaním vèasného varovania pred kybernetickými bezpeènostnými incidentmi prostredníctvom jednotného informaèného systému kybernetickej bezpeènosti.
Reaktívne služby sa zameriavajú na riešenie kybernetických bezpeènostných incidentov a sú nimi najmä
detekcia kybernetických bezpeènostných incidentov,
analýza kybernetických bezpeènostných incidentov,
odozva, ohranièenie, riešenie a náprava následkov kybernetických bezpeènostných incidentov,
asistencia pri riešení kybernetického bezpeènostného incidentu na mieste,
reakcia na kybernetický bezpeènostný incident,
podpora reakcií na kybernetické bezpeènostné incidenty,
koordinácia reakcií na kybernetické bezpeènostné incidenty,
návrh opatrení na zabránenie ïalšiemu pokraèovaniu, šíreniu a opakovanému výskytu kybernetických bezpeènostných incidentov.
Reaktívne služby vykonáva jednotka CSIRT za úèasti prevádzkovate¾a základnej služby alebo poskytovate¾a digitálnej služby.
musí zabezpeèi�, aby jednotka CSIRT v jeho pôsobnosti, ktorá je zaradená v zozname akreditovaných jednotiek CSIRT, nepretržite poèas celej doby svojej prevádzky spåòala podmienky akreditácie jednotky CSIRT pod¾a § 14 a zároveò plnila všetky úlohy pod¾a § 15,
si vyžiada vyjadrenie Národnej banky Slovenska alebo Európskej centrálnej banky k postupu ústredného orgánu pri plnení úloh pod¾a tohto zákona, ak prevádzkovate¾om základnej služby je dohliadaný subjekt finanèného trhu,21) nad ktorým vykonáva doh¾ad Národná banka Slovenska pod¾a osobitných predpisov22) alebo nad ktorým vykonáva doh¾ad Európska centrálna banka pod¾a osobitného predpisu.22a)
Ak akreditovaná jednotka CSIRT prestane spåòa� podmienky pod¾a § 14 alebo ak neplní úlohy pod¾a § 15, ten, kto plní úlohy jednotky CSIRT, to bezodkladne oznámi úradu; úrad na základe oznámenia pod¾a predchádzajúcej vety zruší rozhodnutie o akreditácii a jednotku CSIRT vyradí zo zoznamu akreditovaných jednotiek CSIRT.
Úrad môže na základe vlastného zistenia oboznámi� toho, kto plní úlohy jednotky CSIRT o nedostatkoch v plnení podmienok pod¾a § 14 alebo úloh pod¾a § 15 s uvedením lehoty na ich odstránenie. Ak nedostatky pod¾a prechádzajúcej vety na základe oznámenia úradu neodstráni v urèenej lehote, úrad zruší rozhodnutie o akreditácii a jednotku CSIRT vyradí zo zoznamu akreditovaných jednotiek CSIRT.
Základná služba, prevádzkovate¾ základnej služby a zaradenie do zoznamu základných služieb
Ak prevádzkovate¾ služby v sektore pod¾a prílohy è. 1 zistí, že došlo k prekroèeniu identifikaèných kritérií prevádzkovanej služby pod¾a § 18, je povinný to oznámi� úradu do 30 dní odo dòa, keï prekroèenie zistil.
Úrad zaradí základnú službu pod¾a § 3 písm. k) prvého bodu do zoznamu základných služieb a jej prevádzkovate¾a do registra prevádzkovate¾ov základných služieb
na základe oznámenia prevádzkovate¾om tejto služby pod¾a odseku 1,
na základe podnetu ústredného orgánu, ak došlo k prekroèeniu identifikaèných kritérií prevádzkovanej služby pod¾a § 18,
z vlastnej iniciatívy, ak sa úrad dozvedel o prekroèení identifikaèných kritérií prevádzkovanej služby pod¾a § 18 a nedošlo k postupu pod¾a písmena a) alebo písmena b).
Úrad v spolupráci s príslušným ústredným orgánom zaradí základnú službu pod¾a § 3 písm.
k) druhého bodu do zoznamu základných služieb a jej prevádzkovate¾a do registra prevádzkovate¾ov základných služieb.
Úrad zaradí základnú službu pod¾a § 3 písm. k) tretieho bodu do zoznamu základných služieb a jej prevádzkovate¾a do registra prevádzkovate¾ov základných služieb zo zákona.
Oznámenie pod¾a odseku 1 musí obsahova�
zoznam služieb, ktorých sa prekroèenie identifikaèných kritérií týka,
informáciu o možnom alebo existujúcom cezhraniènom presahu služby,
informáciu o alternatívnych možnostiach zachovania kontinuity služby v prípade kybernetického bezpeènostného incidentu.
Zaradenie služby do zoznamu základných služieb a jej prevádzkovate¾a do registra prevádzkovate¾ov základných služieb oznámi úrad prevádzkovate¾ovi tejto služby prostredníctvom informaèného systému kybernetickej bezpeènosti.
Identifikaèné kritériá prevádzkovanej služby
Identifikaèné kritériá prevádzkovanej služby sú dopadové kritériá a špecifické sektorové kritériá.
Dopadové kritériá sú urèené všeobecne záväzným právnym predpisom, ktorý vydá úrad, a zoh¾adòujú najmä
poèet používate¾ov využívajúcich základnú službu,
závislos� ostatných sektorov pod¾a prílohy è. 1 od základnej služby,
vplyv, ktorý by mohli ma� kybernetické bezpeènostné incidenty z h¾adiska rozsahu a trvania na hospodárske a spoloèenské èinnosti a záujmy štátu alebo na bezpeènos� štátu,
trhový podiel prevádzkovate¾a služby,
geografické rozšírenie z h¾adiska oblasti, ktorú by kybernetický bezpeènostný incident mohol postihnú�,
význam prevádzkovate¾a základnej služby z h¾adiska zachovania kontinuity poskytovania služby.
Špecifické sektorové kritériá zoh¾adòujú kritériá urèené všeobecne záväzným právnym predpisom, ktorý vydá úrad.
Ak prevádzkovate¾ služby pod¾a prílohy è. 1 zistí, že došlo k prekroèeniu špecifických sektorových kritérií, oznámi to úradu do 30 dní odo dòa, keï prekroèenie zistil v rozsahu pod¾a
§ 17 ods. 5 aj v prípade, ak neprekroèí dopadové kritériá.
Povinnosti prevádzkovate¾a základnej služby
Prevádzkovate¾ základnej služby je povinný do šiestich mesiacov odo dòa oznámenia o zaradení do registra prevádzkovate¾ov základných služieb prija� a dodržiava� všeobecné bezpeènostné opatrenia najmenej v rozsahu bezpeènostných opatrení pod¾a § 20 a sektorové bezpeènostné opatrenia, ak sú prijaté.
Prevádzkovate¾ základnej služby je povinný pri uzatvorení zmluvy s dodávate¾om na výkon èinností, ktoré priamo súvisia s prevádzkou sietí a informaèných systémov pre prevádzkovate¾a základnej služby (ïalej len „tretia strana“) uzatvori� zmluvu o zabezpeèení plnenia bezpeènostných opatrení a notifikaèných povinností pod¾a tohto zákona poèas celej doby platnosti zmluvy.
Prevádzkovate¾ základnej služby je povinný dòom zaradenia do registra prevádzkovate¾ov základných služieb o tejto skutoènosti informova� podnik na poskytovanie elektronických komunikaèných služieb alebo sietí pod¾a osobitného predpisu,23) ku ktorému je sie� alebo informaèný systém základnej služby pripojená. Na základe informovania pod¾a predchádzajúcej vety uzatvára prevádzkovate¾ základnej služby s podnikom zmluvu pod¾a odseku 2.
Prevádzkovate¾ základnej služby je povinný informova� v nevyhnutnom rozsahu tretiu stranu o hlásenom kybernetickom bezpeènostnom incidente za predpokladu, že by sa plnenie zmluvy pod¾a odseku 2 stalo nemožným, ak úrad nerozhodne inak. Povinnos� zachováva� mlèanlivos� tým nie je dotknutá.
Ak prevádzkovate¾ základnej služby túto službu poskytuje aj v inom èlenskom štáte Európskej únie, úrad v súèinnosti s príslušným orgánom tohto èlenského štátu rozhodne o tom, pod¾a kritérií ktorého èlenského štátu bude prevádzkovate¾ základnej služby identifikovaný tak, aby bol jednoznaène identifikovaný ako prevádzkovate¾ základnej služby aspoò v jednom z týchto èlenských štátov.
Prevádzkovate¾ základnej služby je ïalej povinný
rieši� kybernetický bezpeènostný incident,
bezodkladne hlási� závažný kybernetický bezpeènostný incident,
spolupracova� s úradom a ústredným orgánom pri riešení hláseného kybernetického bezpeènostného incidentu a na tento úèel im poskytnú� potrebnú súèinnos�, ako aj informácie získané z vlastnej èinnosti dôležité pre riešenie kybernetického bezpeènostného incidentu,
v èase kybernetického bezpeènostného incidentu zabezpeèi� dôkaz alebo dôkazný prostriedok tak, aby mohol by� použitý v trestnom konaní,
oznámi� orgánu èinnému v trestnom konaní alebo Policajnému zboru skutoènosti, že bol spáchaný trestný èin, ktorého sa kybernetický bezpeènostný incident týka, ak sa o òom hodnoverným spôsobom dozvie.
Prevádzkovate¾ základnej služby je povinný hlási� zmeny v údajoch pod¾a § 17 ods. 5 do 30 dní odo dòa ich vzniku prostredníctvom jednotného informaèného systému kybernetickej bezpeènosti.
Prevádzkovate¾ základnej služby nezodpovedá za škodu, ktorá vznikne inému subjektu obmedzením kontinuity základnej služby pri riešení kybernetického bezpeènostného incidentu spôsobom a postupom pod¾a § 27. Za škodu spôsobenú obmedzením kontinuity základnej služby kybernetickým bezpeènostným incidentom plnením povinnosti spôsobom pod¾a predchádzajúcej vety zodpovedá úrad.
Bezpeènostnými opatreniami na úèely tohto zákona sú úlohy, procesy, role a technológie v organizaènej, personálnej a technickej oblasti, ktorých cie¾om je zabezpeèenie kybernetickej bezpeènosti poèas životného cyklu sietí a informaèných systémov. Bezpeènostné opatrenia realizované v závislosti od klasifikácie informácií a kategorizácie sietí a informaèných systémov a v súlade s bezpeènostnými štandardami v oblasti kybernetickej bezpeènosti sa prijímajú s cie¾om predchádza� kybernetickým bezpeènostným incidentom a minimalizova� vplyv kybernetických bezpeènostných incidentov na kontinuitu prevádzkovania služby. Bezpeènostné opatrenia sú všeobecné, realizované v závislosti od klasifikácie informácií a kategorizácie sietí a informaèných systémov a v súlade s bezpeènostnými štandardami v oblasti kybernetickej bezpeènosti pre všetky
siete a informaèné systémy a sektorové, ktoré sa realizujú na základe špecifík kategorizácie sietí a informaèných systémov ústredného orgánu v rozsahu svojej pôsobnosti pod¾a prílohy è. 1 a v súlade s bezpeènostnými štandardami v oblasti kybernetickej bezpeènosti.
Klasifikácia informácií a kategorizácia sietí a informaèných systémov pod¾a odseku 1 sa vykonáva na základe významnosti, funkcie a úèelu informácií a informaèných systémov s oh¾adom na dôvernos�, integritu, dostupnos�, kvalitu služby a kontrolnú èinnos�.
Bezpeènostné opatrenia sa prijímajú najmä pre oblas�
organizácie informaènej bezpeènosti,
personálnej bezpeènosti,
riadenia dodávate¾ských služieb, akvizície, vývoja a údržby informaèných systémov,
technických zranite¾ností systémov a zariadení,
riadenia bezpeènosti sietí a informaèných systémov,
riešenia kybernetických bezpeènostných incidentov,
monitorovania, testovania bezpeènosti a bezpeènostných auditov,
fyzickej bezpeènosti a bezpeènosti prostredia,
Bezpeènostné opatrenia musia zahàòa� najmenej
detekciu kybernetických bezpeènostných incidentov,
evidenciu kybernetických bezpeènostných incidentov,
postupy riešenia a riešenie kybernetických bezpeènostných incidentov,
urèenie kontaktnej osoby pre prijímanie a evidenciu hlásení,
pripojenie do komunikaèného systému pre hlásenie a riešenie kybernetických bezpeènostných incidentov a centrálneho systému vèasného varovania.
Bezpeènostné opatrenia sa prijímajú a realizujú na základe schválenej bezpeènostnej dokumentácie, ktorá musí by� aktuálna a musí zodpoveda� reálnemu stavu.
Digitálna služba a poskytovate¾ digitálnej služby
Poskytovate¾ digitálnej služby je povinný do 30 dní odo dòa zaèatia poskytovania digitálnej služby oznámi� úradu
názov, sídlo a kontaktné údaje zástupcu pod¾a § 23.
Na základe oznámenia pod¾a odseku 1 úrad zaradí službu do zoznamu digitálnych služieb a jej poskytovate¾a do registra poskytovate¾ov digitálnych služieb.
Úrad zaradí službu do zoznamu digitálnych služieb a jej poskytovate¾a do registra poskytovate¾ov digitálnych služieb aj na základe vlastného zistenia.
Zaradenie služby do zoznamu digitálnych služieb a jej poskytovate¾a do registra poskytovate¾ov digitálnych služieb oznámi úrad poskytovate¾ovi tejto služby.
Poskytovate¾ digitálnej služby je povinný hlási� zmeny v údajoch pod¾a odseku 1 do 30 dní odo dòa ich vzniku.
Povinnosti poskytovate¾a digitálnej služby
Poskytovate¾ digitálnej služby je povinný do šiestich mesiacov odo dòa oznámenia o zaradení do registra poskytovate¾ov digitálnych služieb prija� a dodržiava� vhodné a primerané bezpeènostné opatrenia pod¾a osobitného predpisu24) na úèely riadenia rizík súvisiacich s ohrozením kontinuity digitálnej služby a procesu riešenia kybernetických bezpeènostných incidentov. Na tento úèel je poskytovate¾ digitálnej služby povinný vyèleni� dostatoèné personálne, materiálno-technické, èasové a finanèné zdroje s cie¾om zabezpeèenia kontinuity digitálnej služby.
Poskytovate¾ digitálnej služby na úèely splnenia povinnosti pod¾a odseku 1 posudzuje najmä
bezpeènos� sietí a informaèného systému a jeho schopnos� predchádza� a rieši� kybernetický bezpeènostný incident,
spôsob zachovania kontinuity digitálnej služby v prípade kybernetického bezpeènostného incidentu,
súlad sietí a informaèného systému s bezpeènostnými štandardmi v oblasti kybernetickej bezpeènosti.
Poskytovate¾ digitálnej služby je povinný
hlási� každý kybernetický bezpeènostný incident, ak disponuje informáciami, na základe ktorých je spôsobilý identifikova�, èi má tento kybernetický bezpeènostný incident podstatný vplyv pod¾a osobitného predpisu,24) a to bezodkladne po jeho zistení,
rieši� hlásený kybernetický bezpeènostný incident,
spolupracova� s úradom pri riešení hláseného kybernetického bezpeènostného incidentu.
Ak poskytovate¾ digitálnej služby využíva na poskytovanie svojej digitálnej služby prevádzkovate¾a základnej služby, je povinný uzatvori� s prevádzkovate¾om základnej služby zmluvu o zabezpeèení plnenia bezpeènostných opatrení a notifikaèných povinností pod¾a tohto zákona poèas celej doby, keï poskytovate¾ digitálnej služby využíva na poskytovanie svojej digitálnej služby prevádzkovate¾a základnej služby.
O hlásenom kybernetickom bezpeènostnom incidente v nevyhnutnom rozsahu informuje poskytovate¾ digitálnej služby tretiu stranu, ak by sa plnenie zmluvy stalo nemožným, ak úrad nerozhodne inak. Povinnos� zachováva� mlèanlivos� tým nie je dotknutá.
Zástupca poskytovate¾a digitálnej služby
Zástupcom poskytovate¾a digitálnej služby je právnická osoba, ktorá má sídlo v Slovenskej republike, alebo fyzická osoba – podnikate¾, ktorá má miesto podnikania v Slovenskej republike, ak odsek 2 neustanovuje inak, a ktorá je poskytovate¾om digitálnej služby písomne poverená kona� v jeho mene a na jeho zodpovednos� vo vz�ahu k povinnostiam pod¾a tohto zákona.
Ak poskytovate¾ digitálnej služby, ktorý poskytuje digitálnu službu v Slovenskej republike, nemá sídlo v Európskej únii a neustanovil si svojho zástupcu v inom èlenskom štáte Európskej únie, je povinný si ustanovi� svojho zástupcu v Slovenskej republike.
Ak má poskytovate¾ digitálnej služby sídlo v Slovenskej republike alebo tu má ustanoveného zástupcu, ale jeho siete a informaèné systémy sa nachádzajú v inom èlenskom štáte Európskej únie, úrad pri výkone štátnej správy spolupracuje s príslušným orgánom èlenského štátu Európskej únie.
Hlásenie kybernetických bezpeènostných incidentov prevádzkovate¾om základnej služby
Prevádzkovate¾ základnej služby je povinný hlási� každý závažný kybernetický bezpeènostný incident, ktorý identifikuje na základe presiahnutia kritérií pre jednotlivé kategórie závažných kybernetických bezpeènostných incidentov.
Závažný kybernetický bezpeènostný incident sa èlení na kategóriu prvého (I) stupòa, druhého
(II) stupòa a tretieho (III) stupòa v závislosti od
poètu používate¾ov základnej služby alebo digitálnej služby zasiahnutých kybernetickým bezpeènostným incidentom,
dåžky trvania kybernetického bezpeènostného incidentu,
geografického rozšírenia kybernetického bezpeènostného incidentu,
stupòa narušenia fungovania základnej služby alebo digitálnej služby,
rozsahu vplyvu kybernetického bezpeènostného incidentu na hospodárske alebo spoloèenské èinnosti štátu.
Ak prevádzkovate¾ základnej služby využíva na poskytovanie základnej služby poskytovate¾a digitálnej služby, je poskytovate¾ digitálnej služby povinný hlási� každý závažný kybernetický bezpeènostný incident, ktorý postihol poskytovate¾a digitálnej služby.
Hlásenie kybernetických bezpeènostných incidentov sa vykonáva prostredníctvom jednotného informaèného systému kybernetickej bezpeènosti.
Ak do okamihu hlásenia kybernetického bezpeènostného incidentu nepominuli jeho úèinky, prevádzkovate¾ základnej služby je povinný odosla� neúplné hlásenie kybernetického bezpeènostného incidentu, v ktorom vyznaèí identifikátor neukonèeného hlásenia, a bezodkladne po obnove riadnej prevádzky siete a informaèného systému toto hlásenie doplní.
Na úèely hlásenia kybernetických bezpeènostných incidentov a zaistenia funkcionality jednotného informaèného systému kybernetickej bezpeènosti môže úrad namiesto postupu uvedeného v § 8 ods. 6 uzatvori� písomnú zmluvu o spôsobe a forme hlásenia kybernetických bezpeènostných incidentov s prevádzkovate¾om základnej služby.
Hlásenie kybernetických bezpeènostných incidentov poskytovate¾om digitálnej služby
Poskytovate¾ digitálnej služby je povinný hlási� kybernetický bezpeènostný incident pod¾a
§ 22 ods. 3 písm. a) spôsobom pod¾a § 24 ods. 4.
Ak do okamihu hlásenia kybernetického bezpeènostného incidentu nepominuli jeho úèinky, poskytovate¾ digitálnej služby je povinný odosla� neúplné hlásenie kybernetického bezpeènostného incidentu, v ktorom vyznaèí identifikátor neukonèeného hlásenia, a bezodkladne po obnove riadnej
prevádzky siete a informaèného systému toto hlásenie doplní.
Na úèely hlásenia kybernetických bezpeènostných incidentov a zaistenia funkcionality jednotného informaèného systému kybernetickej bezpeènosti môže úrad namiesto postupu uvedeného v § 8 ods. 6 uzatvori� písomnú zmluvu o spôsobe a forme hlásenia kybernetických bezpeènostných incidentov s poskytovate¾om digitálnej služby.
Dobrovo¾né hlásenie kybernetických bezpeènostných incidentov
Dobrovo¾né hlásenie kybernetických bezpeènostných incidentov bez oh¾adu na kategorizáciu kybernetického bezpeènostného incidentu sa vykonáva prostredníctvom jednotného informaèného systému kybernetickej bezpeènosti.
Úrad spracováva a analyzuje dobrovo¾né hlásenia kybernetických bezpeènostných incidentov v rozsahu, v akom to úradu umožòujú technické podmienky a kapacity tak, aby nedošlo k neprimeranému za�ažovaniu subjektov a neobmedzovala sa medzinárodná spolupráca.
Riešenie kybernetických bezpeènostných incidentov
V prípade závažného kybernetického bezpeènostného incidentu alebo jeho hrozby môže úrad
vyhlási� výstrahu a varovanie pred závažným kybernetickým bezpeènostným incidentom,
uloži� povinnos� rieši� kybernetický bezpeènostný incident,
uloži� povinnos� vykona� reaktívne opatrenie,
požadova� návrh opatrení a vykonanie opatrení urèených na zabránenie ïalšieho pokraèovania, šírenia a opakovaného výskytu závažného kybernetického bezpeènostného incidentu (ïalej len
„ochranné opatrenie“).
Výstrahu a varovanie vyhlasuje úrad prostredníctvom jednotného informaèného systému kybernetickej bezpeènosti. Ak ide o naliehavý verejný záujem, výstraha a varovanie sa vyhlási aj prostredníctvom hromadných oznamovacích prostriedkov25) a na ústrednom portáli verejnej správy.
Povinnos� rieši� kybernetický bezpeènostný incident ukladá úrad rozhodnutím tomu, kto plní úlohy jednotky CSIRT, prevádzkovate¾ovi základnej služby a poskytovate¾ovi digitálnej služby.
Reaktívne opatrenie je priama odpoveï na závažný kybernetický bezpeènostný incident a zabezpeèuje sa službami pod¾a § 15 ods. 3 písm. b) až g).
Povinnos� vykona� reaktívne opatrenie ukladá úrad rozhodnutím prevádzkovate¾ovi základnej služby alebo poskytovate¾ovi digitálnej služby, ktorí sú pri riešení závažného kybernetického bezpeènostného incidentu neèinní, alebo ak riešenie závažného kybernetického bezpeènostného incidentu je zjavne neúspešné. Poskytovate¾ovi digitálnej služby možno uloži� povinnos� vykona� reaktívne opatrenie iba poèas krízovej situácie.26)
Prevádzkovate¾ základnej služby alebo poskytovate¾ digitálnej služby je povinný bezodkladne oznámi� a preukáza� úradu prostredníctvom jednotného informaèného systému kybernetickej bezpeènosti vykonanie reaktívneho opatrenia a jeho výsledok.
Ochranné opatrenie prijíma prevádzkovate¾ základnej služby na základe analýzy riešeného závažného kybernetického bezpeènostného incidentu.
Prevádzkovate¾ základnej služby je na výzvu úradu v urèenej lehote povinný predloži�
navrhované ochranné opatrenie na schválenie. Úrad rozhodnutím navrhované opatrenie schváli a urèí lehotu na jeho vykonanie. V prípade, ak prevádzkovate¾ základnej služby nenavrhne ochranné opatrenie v urèenej lehote alebo ak je navrhované ochranné opatrenie zjavne neúspešné, je prevádzkovate¾ základnej služby povinný spolupracova� s úradom, ústredným orgánom a s tým, kto prevádzkuje jednotku CSIRT, na jeho návrhu.
Ak úrad na úèely zaistenia kybernetickej bezpeènosti vyèerpá všetky spôsoby riešenia závažného kybernetického bezpeènostného incidentu pod¾a tohto zákona, predloží predsedovi Bezpeènostnej rady Slovenskej republiky informáciu o predpokladaných vplyvoch kybernetického bezpeènostného incidentu na bezpeènos� štátu ako podklad na riešenie krízovej situácie.27)
Z dôvodu neodkladnosti a naliehavosti riešenia závažného kybernetického bezpeènostného incidentu úrad na úèely kybernetickej obrany28) informuje Vojenské spravodajstvo, že závažný kybernetický bezpeènostný incident je kategórie tretieho (III) stupòa, alebo o skutoènostiach, ktoré nasvedèujú, že závažný kybernetický bezpeènostný incident môže by� kybernetickým terorizmom. Prevádzkovate¾ základnej služby a poskytovate¾ digitálnej služby, ktorí hlásia tento kybernetický bezpeènostný incident, sú na úèely zabezpeèenia kybernetickej obrany povinní poskytnú� Vojenskému spravodajstvu informácie v potrebnom rozsahu. O postupe pod¾a prvej vety informuje úrad predsedu Bezpeènostnej rady Slovenskej republiky.
Pri výkone kontroly nad dodržiavaním ustanovení tohto zákona a jeho vykonávacích predpisov postupuje úrad pod¾a základných pravidiel kontrolnej èinnosti ustanovených osobitným predpisom.29)
Na úèely výkonu kontroly má prevádzkovate¾ základnej služby a poskytovate¾ digitálnej služby práva a povinnosti kontrolovaného subjektu pod¾a osobitného predpisu.30)
Úrad vykoná kontrolu u poskytovate¾a digitálnej služby, ak je dôvodné podozrenie, že poskytovate¾ digitálnej služby nespåòa požiadavky ustanovené týmto zákonom.
Prevádzkovate¾ základnej služby je povinný preveri� úèinnos� prijatých bezpeènostných opatrení a plnenie požiadaviek stanovených týmto zákonom vykonaním auditu kybernetickej bezpeènosti do dvoch rokov odo dòa zaradenia prevádzkovate¾a základnej služby do registra prevádzkovate¾ov základných služieb.
Prevádzkovate¾ základnej služby je povinný preveri� úèinnos� prijatých bezpeènostných opatrení a plnenie požiadaviek stanovených týmto zákonom vykonaním auditu kybernetickej bezpeènosti v rozsahu stanovenom pod¾a všeobecne záväzného právneho predpisu, ktorý vydá úrad, a to v závislosti od klasifikácie informácií a kategorizácie sietí a informaèných systémov po každej zmene majúcej významný vplyv na realizované bezpeènostné opatrenia a v urèenom èasovom intervale.
Audit kybernetickej bezpeènosti vykonáva orgán posudzovania zhody pod¾a osobitného predpisu,31) ktorý je akreditovaný ako orgán príslušný na posudzovanie zhody v oblasti kybernetickej bezpeènosti.
Prevádzkovate¾ základnej služby je povinný predloži� závereènú správu o výsledkoch auditu úradu spolu s opatreniami na nápravu a s lehotami na ich odstránenie do 30 dní od ukonèenia auditu.
Bez toho, aby bol dotknutý odsek 1, môže úrad kedyko¾vek vykona� audit kybernetickej bezpeènosti u prevádzkovate¾a základnej služby, alebo požiada� orgán posudzovania zhody, aby vykonal takýto audit u prevádzkovate¾a základnej služby s cie¾om potvrdi� úèinnos� prijatých bezpeènostných opatrení a plnenie požiadaviek stanovených týmto zákonom.
Náklady na audit kybernetickej bezpeènosti pod¾a odseku 1 znáša prevádzkovate¾ základnej služby a náklady na audit kybernetickej bezpeènosti pod¾a odseku 5 znáša úrad.
poruší povinnos� uvedenú v § 12 ods. 1,
poskytla nepravdivé údaje v oznámení pod¾a § 17 ods. 5,
poruší niektorú z povinností pod¾a § 19 ods. 1 až 4, 6 alebo ods. 7,
neprijme bezpeènostnú dokumentáciu pod¾a § 20 ods. 5 alebo
nepostupovala v súlade s technickými, organizaènými alebo personálnymi opatreniami prijatými prevádzkovate¾om základnej služby.
Za priestupok môže úrad uloži� pokutu od 100 eur do 5 000 eur.
Na priestupky a ich prejednávanie sa vz�ahuje všeobecný predpis o priestupkoch.32)
Pokuty za priestupky sú príjmom štátneho rozpoètu.
Úrad uloží pokutu od 300 eur do 30 000 eur prevádzkovate¾ovi základnej služby, ktorý sa dopustí správneho deliktu tým, že poruší povinnos�
pod¾a § 19 ods. 2 až 4 alebo ods. 7, alebo
udržiava� bezpeènostnú dokumentáciu aktuálnu a zodpovedajúcu reálnemu stavu pod¾a § 20 ods. 5.
Úrad uloží pokutu od 300 eur až do výšky 1 % celkového roèného obratu za predchádzajúci úètovný rok, najviac však 300 000 eur, prevádzkovate¾ovi základnej služby, ktorý sa dopustí správneho deliktu tým, že poruší povinnos�
pod¾a § 17 ods. 1,
pod¾a § 19 ods. 1 alebo ods. 6,
prija� bezpeènostnú dokumentáciu pod¾a § 20 ods. 5,
nahlási� závažný kybernetický bezpeènostný incident pod¾a § 24 ods. 1 alebo odosla� neúplné hlásenie pod¾a § 24 ods. 5,
rieši� kybernetický bezpeènostný incident na základe rozhodnutia úradu pod¾a § 27 ods. 3, vykona� reaktívne opatrenie na základe rozhodnutia úradu pod¾a § 27 ods. 5 alebo oznámi� a preukáza� vykonanie reaktívneho opatrenia a jeho výsledok pod¾a § 27 ods. 6,
predloži� ochranné opatrenie na schválenie alebo vykona� schválené ochranné opatrenie pod¾a
pod¾a § 29 ods. 1, 2 alebo ods. 4, alebo
vykona� opatrenie na nápravu v lehote pod¾a závereènej správy o výsledkoch auditu pod¾a § 29.
Úrad uloží pokutu od 300 eur do 30 000 eur poskytovate¾ovi digitálnej služby, ktorý sa dopustí správneho deliktu tým, že poruší povinnos� pod¾a § 21 ods. 5, § 22 ods. 4 alebo § 23 ods. 2.
Úrad uloží pokutu od 300 eur až do výšky 1 % celkového roèného obratu za predchádzajúci úètovný rok, najviac však 300 000 eur, poskytovate¾ovi digitálnej služby, ktorý sa dopustí správneho deliktu tým, že poruší povinnos� pod¾a § 21 ods. 1, § 22 ods. 3, § 24 ods. 3, § 25 ods. 1 alebo ods. 2 alebo povinnos� vykona� reaktívne opatrenie na základe rozhodnutia úradu pod¾a § 27 ods. 5.
Úrad uloží pokutu od 300 eur do 100 000 eur tomu, kto na výzvu úradu neposkytne informácie pod¾a § 7 ods. 3.
Pri ukladaní pokuty za správny delikt úrad prihliadne na závažnos� správneho deliktu, najmä na spôsob jeho spáchania, trvanie, následky a na okolnosti, za ktorých bol spáchaný.
Ak do jedného roka odo dòa nadobudnutia právoplatnosti rozhodnutia o uložení pokuty dôjde k opätovnému porušeniu povinností, za ktoré bola pokuta uložená, úrad uloží pokutu až do dvojnásobku výšky súm uvedených alebo vypoèítaných pod¾a odsekov 1 až 6.
Celkovým roèným obratom pod¾a odsekov 2 a 4 sa na úèely tohto zákona rozumie súèet všetkých tržieb, výnosov alebo príjmov z predaja tovaru alebo služieb bez nepriamych daní, ku ktorému sa pripoèíta poskytnutá finanèná pomoc. Obrat vyjadrený v cudzej mene sa prepoèíta na eurá, prièom na prepoèet cudzej meny na eurá sa použije priemer referenèných výmenných kurzov urèených a vyhlásených Európskou centrálnou bankou alebo Národnou bankou Slovenska, ktoré sú platné pre príslušné úètovné obdobie.33)
Predchádzajúcim úètovným obdobím na úèely tohto zákona je úètovné obdobie, za ktoré bola zostavená posledná úètovná závierka.
Pokutu za správny delikt možno uloži� do dvoch rokov odo dòa zistenia porušenia povinnosti, najneskôr však do štyroch rokov odo dòa, keï k porušeniu povinnosti došlo.
Pokuta za správny delikt je splatná do 30 dní odo dòa nadobudnutia právoplatnosti rozhodnutia o jej uložení.
Pokuty za správny delikt sú príjmom štátneho rozpoètu.
identifikaèné kritériá prevádzkovanej služby CSIRT (§ 18),
obsah bezpeènostných opatrení, obsah a štruktúru bezpeènostnej dokumentácie a rozsah všeobecných bezpeènostných opatrení (§ 20 ods. 1 a 5),
bezpeènostné štandardy a znalostné štandardy v oblasti kybernetickej bezpeènosti (§ 5 ods. 1 písm. w), § 20 ods. 1),
identifikaèné kritériá pre jednotlivé kategórie kybernetických bezpeènostných incidentov
a podrobnosti hlásenia kybernetických bezpeènostných incidentov (§ 24 ods. 1 a 4),
pravidlá a rozsah auditu kybernetickej bezpeènosti a podrobnosti o akreditácii orgánov posudzovania zhody a o obsahu závereènej správy o výsledkoch auditu kybernetickej bezpeènosti pod¾a (§ 29 ods. 1 až 4).
Ústredný orgán sa v spolupráci s úradom splnomocòuje na vydanie všeobecne záväzného právneho predpisu, ktorým ustanovia sektorové bezpeènostné opatrenia v rozsahu svojej pôsobnosti pod¾a prílohy è. 1 a v súlade s bezpeènostnými štandardmi v oblasti kybernetickej bezpeènosti.
Na konanie úradu pod¾a § 13 ods. 7, § 16 ods. 2 a 3, § 17 ods. 6, § 21 ods. 4 a § 27 sa nevz�ahuje správny poriadok.
Informácie, údaje a hlásenia pod¾a tohto zákona sa predkladajú úradu v elektronickej podobe prostredníctvom elektronického formulára, ktorého vzor zverejní úrad prostredníctvom jednotného informaèného systému kybernetickej bezpeènosti a na ústrednom portáli verejnej správy v module elektronických formulárov.
Ak služba spåòa podmienky základnej služby a zároveò aj digitálnej služby, považuje sa za základnú službu a zaraïuje sa len do zoznamu základných služieb a jej prevádzkovate¾ do registra prevádzkovate¾ov základných služieb.
Ak základná služba spadá do viacerých sektorov alebo podsektorov pod¾a prílohy è. 1, pôsobnos� pod¾a tohto zákona vykonáva ústredný orgán urèený úradom.
P r e c h o d n é a z á v e r e è n é u s t a n o v e n i a
Úrad sprístupní jednotný informaèný systém kybernetickej bezpeènosti spôsobom pod¾a § 8 do 18 mesiacov odo dòa úèinnosti toho zákona.
Osoba existujúca ku dòu úèinnosti tohto zákona je povinná odo dòa prekroèenia identifikaèných kritérií pod¾a § 18 ods. 1, najneskôr však do šiestich mesiacov odo dòa úèinnosti tohto zákona, poda� úradu oznámenie pod¾a § 18 ods. 1.
Osoba existujúca ku dòu úèinnosti tohto zákona je povinná do šiestich mesiacov odo dòa úèinnosti tohto zákona oznámi� úradu informácie pod¾a § 21 ods. 1.
Ústredný orgán je povinný do 30 dní odo dòa zistenia prekroèenia identifikaèných kritérií pod¾a § 18 ods. 1 prevádzkovate¾om služby existujúcim ku dòu úèinnosti tohto zákona, najneskôr však do šiestich mesiacov odo dòa úèinnosti tohto zákona, doruèi� úradu zoznam pod¾a § 9 ods. 1 písm. e).
Úrad do 9. novembra 2018 zaradí službu do zoznamu základných služieb a jej prevádzkovate¾a do registra prevádzkovate¾ov základných služieb, ak ešte nie sú zaradení; na digitálnu službu a jej poskytovate¾a sa to vz�ahuje rovnako.
Prevádzkovate¾ základnej služby zaradený do registra prevádzkovate¾ov základných služieb pod¾a odseku 5 je povinný do dvoch rokov odo dòa úèinnosti tohto zákona prija� bezpeènostné opatrenia pod¾a § 20.
Poskytovate¾ digitálnej služby zaradený do registra poskytovate¾ov digitálnych služieb pod¾a odseku 5 je povinný do dvoch rokov odo dòa úèinnosti tohto zákona prija� bezpeènostné opatrenia pod¾a § 22 ods. 1.
Zmluvy uzatvorené na výkon èinností pod¾a § 19 ods. 2 musí prevádzkovate¾ základnej služby zosúladi� s týmto zákonom najneskôr do dvoch rokov od úèinnosti tohto zákona.
Prevádzkovate¾ základnej služby je povinný podrobi� sa auditu kybernetickej bezpeènosti a predloži� závereènú správu o výsledkoch auditu úradu najneskôr do troch rokov od uplynutia lehoty pod¾a odseku 5.
V súvislosti so zriadením vládnej jednotky CSIRT pod¾a § 11 prechádzajú odo dòa úèinnosti tohto zákona práva a povinnosti vyplývajúce zo štátnozamestnaneckých vz�ahov, z pracovnoprávnych vz�ahov a iných právnych vz�ahov zamestnancov zabezpeèujúcich výkon èinností jednotky CSIRT v rozpoètovej organizácii DataCentrum zriadenej Ministerstvom financií Slovenskej republiky (ïalej len „DataCentrum“), ako aj práva a povinnosti z iných právnych vz�ahov s touto èinnos�ou súvisiacich, z DataCentra a Ministerstva financií Slovenskej republiky na Úrad podpredsedu vlády Slovenskej republiky pre investície a informatizáciu. Majetok štátu, ktorý bol do 31. marca 2018 v správe DataCentra alebo Ministerstva financií Slovenskej republiky a ktorý slúži na zabezpeèenie výkonu èinností jednotky CSIRT v DataCentre, prechádza odo dòa úèinnosti tohto zákona do správy Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu. Podrobnosti o prechode týchto práv a povinností a o prechode správy majetku štátu sa upravia dohodou medzi Ministerstvom financií Slovenskej republiky, DataCentrom a Úradom podpredsedu vlády Slovenskej republiky pre investície a informatizáciu, v ktorej sa vymedzí najmä druh a rozsah preberaného majetku, práv a povinností.
Týmto zákonom sa preberajú právne záväzné akty Európskej únie uvedené v prílohe è. 3.
Zákon Národnej rady Slovenskej republiky è. 198/1994 Z. z. o Vojenskom spravodajstve v znení zákona è. 166/2003 Z. z., zákona è. 178/2004 Z. z., zákona è. 319/2012 Z. z., zákona è. 281/2015 Z. z. a zákona è. 444/2015 Z. z. sa dopåòa takto:
Doterajšie písmená h) až j) sa oznaèujú ako písmená i) až k). Poznámka pod èiarou k odkazu 1ba znie:
„1ba) § 3 písm. b) zákona è. 69/2018 Z. z. o kybernetickej bezpeènosti a o zmene a doplnení niektorých zákonov.“.
„(2) Ak je to potrebné na zabránenie aktivitám a ohrozeniam pod¾a odseku 1, Vojenské spravodajstvo vykonáva primerané bezpeènostné opatrenia.“.
Doterajšie odseky 2 až 6 sa oznaèujú ako odseky 3 až 7.
Vojenské spravodajstvo plní úlohy na úseku obrany štátu v kybernetickom priestore2a)
(ïalej len „kybernetická obrana“) a kybernetickej bezpeènosti v rozsahu ustanovenom osobitným predpisom2b) prostredníctvom Centra pre kybernetickú obranu Slovenskej republiky (ïalej len „centrum“), ktoré je osobitnou organizaènou zložkou Vojenského spravodajstva.
Centrum získava, sústreïuje, analyzuje a vyhodnocuje informácie dôležité na zabezpeèenie kybernetickej obrany, informuje dotknuté subjekty a navrhuje vhodné opatrenia.
Centrum je oprávnené požadova� od vlastníka alebo prevádzkovate¾a objektov osobitnej dôležitosti, ïalších dôležitých objektov2c) a prvkov kritickej infraštruktúry2d) súèinnos� a informácie v rozsahu potrebnom na úèely zabezpeèenia kybernetickej obrany.
Na úèely zabezpeèenia plnenia úloh pod¾a tohto zákona má centrum priamy prístup v elektronickej podobe, v reálnom èase a v plnom rozsahu k jednotnému informaènému systému kybernetickej bezpeènosti.2e)“.
Poznámky pod èiarou k odkazom 2a až 2e znejú:
„2a) § 2 ods. 2 zákona è. 319/2002 Z. z. o obrane Slovenskej republiky v znení zákona è. 69/2018 Z. z.
2b) Zákon è. 69/2018 Z. z.
2c) § 27 ods. 5 zákona è. 319/2002 Z. z. v znení zákona è. 330/2003 Z. z.
2d) § 2 písm. a) zákona è. 45/2011 Z. z. o kritickej infraštruktúre.
2e) § 8 zákona è. 69/2018 Z. z.“.
Ak to nie je v rozpore s osobitným predpisom,4) na zabránenie aktivitám a ohrozeniam pod¾a
§ 2 ods. 1 je Vojenské spravodajstvo oprávnené získava�, sústreïova� a vyhodnocova� informácie odvodené zo signálov v elektromagnetickom spektre. Vojenské spravodajstvo pri plnení týchto úloh vystupuje ako národná autorita k domácim a zahranièným orgánom obdobného zamerania a pôsobnosti.“.
Zákon è. 73/1998 Z. z. o štátnej službe príslušníkov Policajného zboru, Slovenskej informaènej služby, Zboru väzenskej a justiènej stráže Slovenskej republiky a Železniènej polície v znení zákona è. 58/1999 Z. z., zákona è. 181/1999 Z. z., zákona è. 356/1999 Z. z., zákona è. 224/2000 Z. z., zákona è. 464/2000 Z. z., zákona è. 241/2001 Z. z., zákona è. 98/2002 Z. z., zákona è. 328/2002 Z. z., zákona è. 422/2002 Z. z., zákona è. 659/2002 Z. z., zákona è. 212/2003 Z. z., zákona è. 201/2004 Z. z., zákona è. 178/2004 Z. z, zákona è. 365/2004 Z. z., zákona è. 382/2004 Z. z., zákona è. 201/2004 Z. z., zákona è. 732/2004 Z. z., zákona è. 201/2004 Z. z., zákona è. 727/2004 Z. z., zákona è. 69/2005 Z. z., zákona è. 69/2005 Z. z., zákona è. 623/2005 Z. z., zákona è. 342/2007 Z. z., zákona è. 513/2007 Z. z., zákona è. 61/2008 Z. z., zákona è. 278/2008 Z. z., zákona è. 491/2008 Z. z., zákona è. 445/2008 Z. z., zákona è. 70/2009 Z. z., zákona è. 60/2010 Z. z., zákona è. 151/2010 Z. z., zákona è. 543/2010 Z. z., zákona è. 547/2010
z., zákona è. 48/2011 Z. z., zákona è. 79/2012 Z. z., zákona è. 361/2012 Z. z., zákona è. 345/2012 Z. z., zákona è. 80/2013 Z. z., zákona è. 462/2013 Z. z., zákona è. 307/2014 Z. z., zákona è. 406/2015 Z. z. a zákona è. 125/2016 Z. z. sa dopåòa takto:
V § 84 sa odsek 2 dopåòa písmenom t), ktoré znie:
„t) príplatok za výkon èinnosti v oblasti kybernetickej bezpeènosti.“.
Príplatok za výkon èinnosti v oblasti kybernetickej bezpeènosti
Policajtovi, ktorý vykonáva osobitne významné úlohy alebo mimoriadne nároèné èinnosti v oblasti kybernetickej bezpeènosti, možno prizna� príplatok až do výšky 90 % súètu funkèného platu a hornej hranice prídavku za výsluhu rokov.
Príplatok pod¾a odseku 1 urèuje minister v závislosti od nároènosti, zodpovednosti a rozsahu èinností v oblasti kybernetickej bezpeènosti.
Príplatok pod¾a odseku 1 sa zaokrúh¾uje na 50 eurocentov nahor.“.
Zákon è. 483/2001 Z. z. o bankách a o zmene a doplnení niektorých zákonov v znení zákona è. 430/2002 Z. z., zákona è. 510/2002 Z. z., zákona è. 165/2003 Z. z., zákona è. 603/2003 Z. z., zákona è. 215/2004 Z. z., zákona è. 554/2004 Z. z., zákona è. 747/2004 Z. z., zákona è. 69/2005 Z. z., zákona è. 340/2005 Z. z., zákona è. 341/2005 Z. z., zákona è. 214/2006 Z. z., zákona è. 644/2006 Z. z., zákona è. 209/2007 Z. z., zákona è. 659/2007 Z. z., zákona è. 297/2008 Z. z., zákona è. 552/2008 Z. z., zákona è. 66/2009 Z. z., zákona è. 186/2009 Z. z., zákona è. 276/2009 Z. z., zákona è. 492/2009 Z. z., zákona è. 129/2010 Z. z., zákona è. 46/2011 Z. z., zákona è. 130/2011 Z. z., zákona è. 314/2011 Z. z., zákona è. 394/2011 Z. z., zákona è. 520/2011 Z. z., zákona è. 547/2011 Z. z., zákona è. 234/2012 Z. z., zákona è. 352/2012 Z. z., zákona è. 132/2013 Z. z., zákona è. 352/2013 Z. z., zákona è. 213/2014 Z. z., zákona è. 371/2014 Z. z., zákona è. 374/2014 Z. z., zákona è. 35/2015 Z. z., zákona è. 252/2015 Z. z., zákona è. 359/2015 Z. z., zákona è. 392/2015 Z. z., zákona è. 405/2015 Z. z., zákona è. 437/2015 Z. z., zákona è. 90/2016 Z. z., zákona è. 91/2016 Z. z., zákona è. 125/2016 Z. z., zákona è. 292/2016 Z. z., zákona è. 298/2016 Z. z., zákona è. 299/2016 Z. z., zákona è. 315/2016 Z. z., zákona è. 386/2016 Z. z., zákona è. 2/2017 Z. z., zákona è. 264/2017 Z. z., zákona è. 279/2017
z. a zákona è. 18/2018 Z. z. sa dopåòa takto:
§ 91 sa dopåòa odsekom 13, ktorý znie:
„(13) Za porušenie bankového tajomstva sa nepovažuje plnenie oznamovacej povinnosti banky, zahraniènej banky a poboèky zahraniènej banky voèi Národnému bezpeènostnému úradu na úèely plnenia ich povinnosti v oblasti kybernetickej bezpeènosti pod¾a osobitného predpisu.86j)“.
Poznámka pod èiarou k odkazu 86j znie:
„86j) Zákon è. 69/2018 Z. z. o kybernetickej bezpeènosti a o zmene a doplnení niektorých zákonov.“.
Zákon è. 319/2002 Z. z. o obrane Slovenskej republiky v znení zákona è. 330/2003 Z. z., zákona è. 545/2003 Z. z., zákona è. 570/2005 Z. z., zákona è. 333/2007 Z. z., zákona è. 452/2008 Z. z., zákona è. 473/2009 Z. z. a zákona è. 345/2012 Z. z. sa mení a dopåòa takto:
„(2) Obrana štátu sa zabezpeèuje aj v kybernetickom priestore1a) prostredníctvom opatrení zameraných na riešenie závažných kybernetických bezpeènostných incidentov pod¾a osobitného predpisu1b) a obranu objektov osobitnej dôležitosti, ïalších dôležitých objektov a prvkov kritickej infraštruktúry1c) pred kybernetickým napadnutím, ktoré v tejto oblasti vykonáva Vojenské spravodajstvo.1d)“.
Doterajšie odseky 2 až 5 sa oznaèujú ako odseky 3 až 6. Poznámky pod èiarou k odkazom 1a až 1c znejú:
„1a) § 3 písm. b) zákona è. 69/2018 Z. z. o kybernetickej bezpeènosti a o zmene a doplnení niektorých zákonov.
1b) § 27 ods. 10 zákona è. 69/2018 Z. z.
1c) § 2 písm. a) zákona è. 45/2011 Z. z. o kritickej infraštruktúre.
1d) § 4a zákona Národnej rady Slovenskej republiky è. 198/1994 Z. z. o Vojenskom spravodajstve v znení zákona è. 69/2018 Z. z.“.
V § 6 písm. f) sa na konci èiarka nahrádza bodkoèiarkou a pripájajú tieto slová: „na obranu objektov osobitnej dôležitosti a ïalších dôležitých objektov v kybernetickom priestore sa vz�ahuje § 2 ods. 2,“.
„(2) Osoby oprávnené na podnikanie sú na úseku obrany štátu v kybernetickom priestore povinné poskytnú� Vojenským spravodajstvom požadovanú súèinnos� a informácie dôležité na zabezpeèenie obrany štátu v kybernetickom priestore.15d)“.
Doterajší odsek 2 sa oznaèuje ako odsek 3. Poznámka pod èiarou k odkazu 15d znie:
„15d) § 4a ods. 3 zákona Národnej rady Slovenskej republiky è. 198/1994 Z. z. v znení zákona è. 69/2018 Z. z.“.
Zákon è. 215/2004 Z. z. o ochrane utajovaných skutoèností a o zmene a doplnení niektorých zákonov v znení zákona è. 638/2005 Z. z., zákona è. 255/2006 Z. z., zákona è. 330/2007 Z. z., zákona è. 668/2007 Z. z., zákona è. 290/2009 Z. z., zákona è. 400/2009 Z. z., zákona è. 192/2011 Z. z., zákona è. 122/2013 Z. z., zákona è. 195/2014 Z. z., zákona è. 261/2014 Z. z., zákona è. 362/2014 Z. z., zákona è. 247/2015 Z. z., zákona è. 338/2015 Z. z., zákona è. 91/2016 Z. z., zákona è. 125/2016 Z. z., zákona è. 301/2016 Z. z., zákona è. 340/2016 Z. z., zákona è. 51/2017 Z. z., zákona è. 152/2017 Z. z. a zákona è. 334/2017 Z. z. sa mení a dopåòa takto:
V § 24 ods. 2 písm. d) sa na konci slovo „alebo“ nahrádza èiarkou.
V § 24 ods. 2 písm. e) sa na konci vypúš�a bodka a pripája sa slovo „alebo“.
V § 24 sa odsek 2 dopåòa písmenom f), ktoré znie:
„f) sa navrhovaná osoba na výzvu úradu nedostaví na bezpeènostný pohovor; na výzvu úradu sa primerane vz�ahuje § 27 ods. 4.“.
V § 35 ods. 2 sa za slová „osoba konajúca v prospech orgánov pod¾a osobitných predpisov“ vkladá èiarka a slová „osoba na základe dohody pod¾a osobitného predpisu18a)“.
Poznámka pod èiarou k odkazu 18a znie:
„18a) § 5 ods. 2 zákona è. 69/2018 Z. z. o kybernetickej bezpeènosti a o zmene a doplnení niektorých zákonov.“.
§ 60 sa dopåòa odsekom 9, ktorý znie:
„(9) Na poskytovanie utajovaných skutoèností medzi ozbrojenými silami Slovenskej republiky a ozbrojenými silami iného štátu, alianèného a koalièného partnera alebo partnera vo vojenskej operácii v rámci bilaterálnej spolupráce uskutoèòovanej pod¾a osobitného predpisu23a) sa nevz�ahujú odseky 3 až 6; o poskytnutí utajovaných skutoèností pod¾a predchádzajúcej vety rozhoduje minister obrany, o èom vedie evidenciu.“.
Poznámka pod èiarou k odkazu 23a znie:
„23a) § 11 ods. 1 zákona è. 321/2002 Z. z. o ozbrojených silách Slovenskej republiky v znení neskorších predpisov.“.
V § 64 sa vypúš�ajú odseky 2 a 3.
Doterajší odsek 4 sa oznaèuje ako odsek 2.
V § 64 ods. 2 sa slovo „Žiadate¾“ nahrádza slovami „Podnikate¾ pod¾a odseku 1“.
Zákon è. 45/2011 Z. z. o kritickej infraštruktúre sa mení takto:
V § 1 sa vypúš�a odsek 2 vrátane poznámky pod èiarou k odkazu 1. Súèasne sa zrušuje oznaèenie odseku 1.
V § 9 sa vypúš�a odsek 4.
V § 10 ods. 2 sa slová „bezpeènostné prvky informaèných systémov“ nahrádzajú slovami
„bezpeènostné opatrenia pod¾a osobitného predpisu4a)“.
Poznámka pod èiarou k odkazu 4a znie:
„4a) § 20 zákona è. 69/2018 Z. z. o kybernetickej bezpeènosti a o zmene a doplnení niektorých zákonov.“.
Príloha è. 3 vrátane nadpisu znie:
„Príloha è. 3 k zákonu è. 45/2011 Z. z.
Cestná doprava Letecká doprava Vodná doprava Železnièná doprava
2. Elektronické komunikácie
Siete a služby pevných elektronických komunikácií a mobilných elektronických komunikácií
Baníctvo Elektroenergetika Plynárenstvo
Poskytovanie poštových služieb, poštový platobný styk a obstarávate¾ská èinnos�
Farmaceutický priemysel Hutnícky priemysel Chemický priemysel
6. Informaèné
a komunikaèné technológie
Informaèné systémy a siete
Úrad podpredsedu vlády Slovenskej republiky pre investície
a informatizáciu
7. Voda a atmosféra
Meteorologická služba Vodné stavby Zabezpeèovanie pitnej vody
Zákon è. 351/2011 Z. z. o elektronických komunikáciách v znení zákona è. 241/2012 Z. z., zákona è. 547/2011 Z. z., zákona è. 352/2013 Z. z., zákona è. 402/2013 Z. z., zákona
è. 128/2014 Z. z., zákona è. 402/2013 Z. z., zákona è. 139/2015 Z. z., zákona è. 247/2015 Z. z., zákona è. 269/2015 Z. z., zákona è. 97/2015 Z. z., zákona è. 444/2015 Z. z., zákona è. 391/2015 Z. z., zákona è. 247/2015 Z. z., zákona è. 125/2016 Z. z., zákona è. 353/2016 Z. z., zákona è. 386/2016 Z. z., zákona è. 238/2017 Z. z., zákona è. 243/2017 Z. z., zákona è. 319/2017
z. a zákona è. 56/2018 Z. z. sa dopåòa takto:
§ 8 sa dopåòa odsekom 3, ktorý znie:
„(3) Pri uplatòovaní pôsobnosti úradu vymedzenej týmto zákonom a pôsobnosti Národného bezpeènostného úradu ustanovenej osobitným predpisom15a) si tieto úrady vymieòajú informácie a podklady dôležité na zabezpeèenie kybernetickej bezpeènosti v rozsahu a spôsobom ustanoveným na základe uzatvorených dohôd o spolupráci. V prípade výmeny informácií prijímajúci úrad zabezpeèí rovnakú úroveò dôvernosti ako úrad, ktorý informáciu poskytne.“.
Poznámka pod èiarou k odkazu 15a znie:
„15a) Zákon è. 69/2018 o kybernetickej bezpeènosti a o zmene a doplnení niektorých zákonov.“.
§ 63 sa dopåòa odsekom 17, ktorý znie:
„(17) Údaje, ktoré sú predmetom telekomunikaèného tajomstva pod¾a odseku 1 písm. b) až d), možno sprístupni� Národnému bezpeènostnému úradu v záujme bezpeènosti štátu na úèely riešenia kybernetického bezpeènostného incidentu, na úèel ich zberu, spracovávania a uchovávania v rozsahu potrebnom na identifikáciu kybernetického bezpeènostného incidentu a zabezpeèenia kybernetickej bezpeènosti pod¾a všeobecného predpisu o kybernetickej bezpeènosti.15a)“.
Zákon è. 305/2013 Z. z. o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente) v znení zákona è. 214/2014
Z. z., zákona è. 29/2015 Z. z., zákona è. 130/2015 Z. z., zákona è. 273/2015 Z. z., zákona è. 272/2016 Z. z., zákona è. 374/2016 Z. z. a zákona è. 238/2017 Z. z. sa mení takto:
V § 60b ods. 3 sa slová „1. mája 2018“ nahrádzajú slovami „1. februára 2019“ a slová „30. apríla
2018“ sa nahrádzajú slovami „31. januára 2019“.
Zákon è. 281/2015 Z. z. o štátnej službe profesionálnych vojakov a o zmene a doplnení niektorých zákonov v znení zákona è. 378/2015 Z. z. a zákona è. 125/2016 Z. z. sa mení a dopåòa takto:
„i) príplatok za výkon špecializovanej èinnosti,“.
Doterajšie písmená i) až k) sa oznaèujú ako písmená j) až l).
Príplatok za výkon špecializovanej èinnosti
Profesionálnemu vojakovi, ktorý vykonáva èinnos�, ktorá vyžaduje vykonávanie osobitne významných úloh alebo mimoriadne nároèných úloh v oblasti kybernetickej bezpeènosti, možno prizna� príplatok za výkon špecializovanej èinnosti až do výšky 90 % jeho hodnostného platu.
Funkcie a výšku príplatku pod¾a odseku 1 ustanoví služobný predpis.
Tento zákon nadobúda úèinnos� 1. apríla 2018 okrem èl. I § 12 ods. 6, ktorý nadobúda úèinnos�
25. mája 2018.

References: § 14
 § 15
 § 9
 § 9
 § 18
 § 20
 § 14
 § 15
 § 5
 § 14
 § 13
 § 14
 § 15
 § 14
 § 15
 § 14
 § 15
 § 18
 § 3
 § 18
 § 18
 § 3
 § 3

§ 17
 § 20
 § 17
 § 27
 § 23
 § 8

§ 22
 § 24
 § 8
 § 15
 § 12
 § 17
 § 19
 § 20
 § 19
 § 20
 § 17
 § 19
 § 20
 § 24
 § 24
 § 27
 § 27
 § 27
 § 29
 § 29
 § 21
 § 22
 § 23
 § 21
 § 22
 § 24
 § 25
 § 27
 § 7
 § 20
 § 13
 § 16
 § 17
 § 21
 § 27
 § 8
 § 18
 § 18
 § 21
 § 18
 § 9
 § 20
 § 22
 § 19
 § 11
 § 3
 § 2
 § 27
 § 2
 § 8

§ 2
 § 84

§ 91
 § 3
 § 27
 § 2
 § 4
 § 6
 § 2
 § 4
 § 24
 § 24
 § 24
 § 27
 § 35
 § 5

§ 60
 § 11
 § 64
 § 64
 § 1
 § 9
 § 10
 § 20

§ 8

§ 63
 § 60
 § 12