Kritická infraštruktúra v praxi: Povinnosti a postupy kritických subjektov

Zákon č. 367/2024 Z. z. o kritickej infraštruktúre stanovuje základné povinnosti aj lehoty, v ktorých ich musí kritický subjekt splniť. Prechod od identifikácie k praktickému zabezpečeniu odolnosti si však vyžaduje viac než vypracovanie dokumentácie. Subjekt musí vedieť, na akých aktívach závisí poskytovanie jeho základnej služby, čo ju môže ohroziť a ako bude postupovať pri narušení jej poskytovania.

Nasledujúci prehľad vysvetľuje jednotlivé kroky v poradí, v akom na seba nadväzujú.

1. Po doručení oznámenia si určte zodpovednosti

Prvým krokom je oboznámiť sa s oznámením o identifikácii kritického subjektu a s jeho zaradením do príslušného sektora a podsektora. Dôležité je presne identifikovať, ktorej základnej služby a ktorej kritickej infraštruktúry sa povinnosti týkajú.

Vedenie subjektu by malo bezodkladne určiť osoby zodpovedné za koordináciu plnenia zákonných požiadaviek. Do procesu je potrebné zapojiť najmä pracovníkov zodpovedných za bezpečnosť, prevádzku, riadenie rizík, krízové riadenie, personálnu oblasť a informačné technológie.

Zákon zároveň vyžaduje určenie kontaktnej osoby a oprávnenej osoby kritického subjektu. Kontaktná osoba zabezpečuje komunikáciu s príslušným ústredným orgánom, Ministerstvom vnútra SR a s ďalšími kritickými subjektmi. Oprávnená osoba plní nevyhnutné úlohy pri zabezpečovaní odolnosti kritickej infraštruktúry a má prístup do priestorov subjektu, ku kritickej infraštruktúre a k limitovaným informáciám. 

TIP: Vytvorte interný tím, určte zodpovednosti a nastavte spôsob rozhodovania a komunikácie. Bez jasného rozdelenia úloh sa ďalšie povinnosti budú plniť ťažko a nekoordinovane.

2. Vykonajte posúdenie rizika – najneskôr do deviatich mesiacov

Kritický subjekt je povinný vykonať vlastné posúdenie rizika do deviatich mesiacov odo dňa doručenia oznámenia o jeho identifikovaní.

Cieľom nie je iba zostaviť zoznam možných hrozieb. Subjekt musí posúdiť, ktoré udalosti môžu narušiť poskytovanie jeho základnej služby, aká je pravdepodobnosť ich vzniku a aké následky by mali na prevádzku.

Posúdenie musí zohľadniť najmä:

* prírodné riziká a riziká spôsobené ľudskou činnosťou;

* havárie, prírodné katastrofy a ohrozenia verejného zdravia;

* hybridné a iné úmyselné hrozby vrátane terorizmu;

* riziká cezhraničného a medzisektorového charakteru;

* závislosť od iných sektorov, služieb a subjektov vrátane dodávateľov zo zahraničia;

* možné dôsledky narušenia poskytovania základnej služby pre ďalšie sektory a obyvateľstvo.

Pri posudzovaní rizika treba vychádzať aj z relevantných informácií a posúdení, ktoré kritickému subjektu sprístupní príslušný ústredný orgán. Zohľadniť sa majú tiež existujúce analýzy rizík, napríklad v oblasti kybernetickej bezpečnosti, a ďalšie relevantné podklady.

TIP: Posúdenie rizika by malo vychádzať zo skutočnej prevádzky subjektu. Nestačí všeobecná analýza hrozieb. Potrebné je identifikovať konkrétne slabé miesta, závislosti a možné scenáre, ktoré by mohli viesť k prerušeniu základnej služby.

3. Na základe rizík pripravte bezpečnostný plán – najneskôr do desiatich mesiacov

Na výsledky posúdenia rizika nadväzuje bezpečnostný plán. Kritický subjekt ho musí prijať do desiatich mesiacov odo dňa doručenia oznámenia o identifikácii a následne ho dodržiavať.

Bezpečnostný plán musí obsahovať opis a umiestnenie kritickej infraštruktúry vrátane GPS súradníc a súbor technických, organizačných, personálnych a kontrolných opatrení.

Zákon vymedzuje šesť hlavných oblastí, ktoré má plán pokrývať:

1. Predchádzanie incidentom – opatrenia na znižovanie pravdepodobnosti vzniku incidentov vrátane zohľadnenia rizika katastrof a adaptácie na zmenu klímy.

2. Fyzická ochrana – primerané zabezpečenie objektov a infraštruktúry, mechanické zábranné prostriedky a technické zabezpečovacie systémy.

3. Reakcia na incidenty – postupy pri vzniku incidentu, krízové riadenie, bezpečnostné varovania a zmierňovanie následkov.

4. Obnova prevádzky – opatrenia na obnovenie poskytovania základnej služby, kontinuitu činností a identifikáciu alternatívnych dodávateľských reťazcov.

5. Personálna bezpečnosť – riadenie bezpečnosti zamestnancov a externých pracovníkov, prístupové oprávnenia a určenie osôb, ktoré môžu vstupovať do chránených priestorov alebo pracovať s limitovanými informáciami.

6. Informovanosť a odborná príprava – oboznamovanie zamestnancov s bezpečnostnými opatreniami, školenia, informačné materiály a cvičenia.

Bezpečnostný plán nemá byť iba formálnym dokumentom. Musí zodpovedať výsledkom posúdenia rizika a opisovať opatrenia, ktoré subjekt skutočne zaviedol alebo plánuje zaviesť.

Zákon zároveň umožňuje využiť dokumenty a opatrenia, ktoré subjekt už vypracoval alebo prijal podľa iných právnych predpisov. Ich použitie však neznamená automatické splnenie požiadaviek zákona o kritickej infraštruktúre. O ich úplnom alebo čiastočnom súlade rozhoduje príslušný ústredný orgán.

TIP: Pred vytvorením nových dokumentov si zmapujte existujúce bezpečnostné, krízové a prevádzkové plány. Identifikujte, ktoré požiadavky už pokrývajú a kde sú nedostatky. Vyhnete sa tak zbytočnému vytváraniu duplicitnej dokumentácie.

4. Zaveďte opatrenia do každodennej prevádzky

Prijatím bezpečnostného plánu sa povinnosti nekončia. Kritický subjekt musí zabezpečiť, aby sa prijaté opatrenia uplatňovali v praxi.

Zákon výslovne vyžaduje, aby subjekt:

* udržiaval technológie zabezpečujúce ochranu a funkčnosť kritickej infraštruktúry;

* oboznámil zamestnancov v nevyhnutnom rozsahu s bezpečnostným plánom;

* postupoval podľa bezpečnostného plánu pri riziku narušenia alebo zničenia kritickej infraštruktúry;

* zabezpečil obnovu kontinuity poskytovania základnej služby;

* poskytoval príslušným orgánom požadovanú súčinnosť.

Osobitnú pozornosť treba venovať dodávateľom a externým službám. Výpadok dodávateľa energie, telekomunikačných služieb, informačných systémov, náhradných dielov alebo iných vstupov môže ohroziť aj subjekt, ktorý má vlastnú infraštruktúru technicky dobre zabezpečenú.

TIP: Vytvorte si prehľad kritických dodávateľov a závislostí vrátane nepriamych a pri každom uveďte alternatívne riešenie. Overte, či opatrenia z plánu fungujú v každodennej prevádzke, nielen na papieri.

5. Pripravte sa na incidenty a pravidelne precvičujte postupy

Bezpečnostný plán musí obsahovať postupy na zvládnutie incidentov a obnovu poskytovania základnej služby. Tieto postupy je potrebné overovať v praxi.

Kritický subjekt je povinný precvičiť podľa bezpečnostného plánu modelovú situáciu hrozby narušenia alebo zničenia kritickej infraštruktúry a poskytovania základnej služby najmenej raz za štyri roky. Cvičenie by nemalo byť iba formálnym splnením povinnosti. Malo by preveriť, či zamestnanci poznajú svoje úlohy, či funguje komunikácia, či sú rozhodovacie právomoci jasné a či subjekt dokáže zabezpečiť pokračovanie alebo obnovenie základnej služby.

Rovnako dôležité je nastaviť interný proces oznamovania incidentov. Kritický subjekt je povinný oznámiť príslušnému ústrednému orgánu každý incident, ktorý spĺňa stanovené prahové hodnoty. Oznámenie sa vykonáva elektronicky spôsobom, ktorý určí a zverejní príslušný ústredný orgán.

Prahové hodnoty zohľadňujú najmä počet dotknutých používateľov, trvanie narušenia a geografický rozsah jeho dôsledkov. Subjekt by preto mal vedieť, kto incident vyhodnotí, kto rozhodne o jeho oznámení a kto zabezpečí komunikáciu s príslušným orgánom.

TIP: Cvičenie naplánujte s konkrétnym scenárom a vopred pridelenými rolami, aby preverilo rozhodovanie a komunikáciu, nie len účasť. Vopred tiež určte, kto incident vyhodnotí, kto rozhodne o oznámení a kto komunikuje s ústredným orgánom.

6. Dokumentáciu a opatrenia pravidelne aktualizujte

Posúdenie rizika ani bezpečnostný plán nie sú jednorazové dokumenty.

Kritický subjekt musí posúdenie rizika podľa potreby aktualizovať, najmenej raz za štyri roky. Bezpečnostný plán musí rovnako prehodnocovať podľa potreby, najmenej raz za štyri roky, a podľa výsledkov aktualizovať aj prijaté opatrenia. Aktualizácia je potrebná aj vtedy, keď príslušný ústredný orgán sprístupní nové alebo aktualizované informácie o rizikách v danom sektore a určí lehotu na úpravu bezpečnostného plánu.

Subjekt má zároveň povinnosť oznámiť príslušnému ústrednému orgánu vybrané zmeny, ktoré môžu ovplyvniť jeho identifikáciu alebo poskytovanie základnej služby. Ide napríklad o zmenu predmetu činnosti alebo prevod či prechod kritickej infraštruktúry na iný subjekt. Zákon pri týchto oznamovacích povinnostiach stanovuje 30-dňovú lehotu.

Plnenie povinností môže byť predmetom kontroly príslušného ústredného orgánu. V prípade dôvodného podozrenia z ich nedodržiavania môže orgán vykonať alebo nariadiť audit. Porušenie vybraných povinností môže viesť k uloženiu správnej pokuty.

TIP: Do kalendára si zapíšte termíny aktualizácií a nastavte spúšťače, ktoré ich vyvolajú aj mimo štvorročného cyklu. Zmeny ako prevod infraštruktúry alebo zmenu predmetu činnosti oznámte do 30 dní.

Ako môže kritickému subjektu pomôcť Asociácia kritickej infraštruktúry Slovenskej republiky?

Plnenie požiadaviek zákona si vyžaduje odborné znalosti z viacerých oblastí – od riadenia rizík a fyzickej ochrany cez kybernetickú bezpečnosť až po krízové riadenie, energetiku a dodávateľské reťazce. Nie každý kritický subjekt má všetky tieto odborné kapacity k dispozícii interne.

Asociácia kritickej infraštruktúry SR môže svojim členom pomôcť najmä tým, že im poskytuje prístup k odborným informáciám, skúsenostiam a kontaktom potrebným pri riešení konkrétnych úloh.

Členstvo v AKI SR prináša najmä:

* Odbornú orientáciu v požiadavkách: informácie o legislatívnych zmenách, metodických usmerneniach a aktuálnych otázkach ochrany kritickej infraštruktúry.

* Možnosť konzultovať konkrétne problémy: výmenu skúseností pri posudzovaní rizík, príprave bezpečnostných plánov, ochrane infraštruktúry a zabezpečovaní kontinuity základných služieb.

* Prístup k odborným a technologickým partnerom: kontakty na členské spoločnosti a odborníkov pôsobiacich v oblastiach fyzickej a kybernetickej bezpečnosti, energetiky, monitorovania či komunikačných technológií.

* Účasť na odborných stretnutiach: možnosť diskutovať o praktických problémoch s ďalšími kritickými subjektmi, odborníkmi, zástupcami štátu a akademického prostredia.

AKI SR nenahrádza zodpovednosť kritického subjektu za plnenie zákonných povinností ani pôsobnosť príslušných orgánov štátnej správy. Vytvára však odborné prostredie, v ktorom môžu jej členovia získavať informácie, konzultovať postupy a hľadať riešenia spolu s organizáciami, ktoré riešia podobné úlohy.

Pre kritický subjekt je členstvo v AKI SR príležitosťou nezostávať pri plnení nových povinností osamote – mať prístup k odborným poznatkom, skúsenostiam a partnerom, ktorí mu môžu pomôcť premeniť zákonné požiadavky na konkrétne opatrenia v praxi.