Od legislatívy k praxi: Kritická infraštruktúra a kybernetická bezpečnosť v roku 2026

Právny rámec kybernetickej bezpečnosti v Slovenskej republike je upravený zákonom č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení zákona č. 366/2024 Z. z., ktorým bola do vnútroštátneho práva transponovaná smernica Európskeho parlamentu a Rady (EÚ) 2022/2555 o opatreniach na zabezpečenie vysokej úrovne spoločnej kybernetickej bezpečnosti v Únii (NIS 2). Súbežne bol prijatý zákon č. 367/2024 Z. z. o kritickej infraštruktúre, ktorý vytvára nový rámec odolnosti kritických subjektov. Tieto dva predpisy spolu tvoria komplexný systém riadenia kybernetických a fyzických rizík, ktorý sa začal naplno uplatňovať v praxi.

Od identifikácie k povinnému režimu

V roku 2025 prebiehal proces prípravy a metodickej implementácie opatrení pre identifikáciu kritických subjektov podľa zákona o kritickej infraštruktúre. Orgány štátnej správy sú povinné identifikovať kritické subjekty najneskôr do 17. júla 2026. Subjekty, ktoré spadajú do kategórií definovaných zákonom, budú následne povinné zaviesť opatrenia na posilnenie bezpečnosti a odolnosti kritickej infraštruktúry. Ide najmä o systematické posúdenie rizík, implementáciu bezpečnostných opatrení, plánovanie kontinuity činností a nastavenie mechanizmov reakcie na incidenty.

Transpozícia smernice NIS 2 zásadne rozšírila rozsah regulácie kybernetickej bezpečnosti. Jednou z najvýraznejších zmien je posun od formálnej existencie dokumentácie k požiadavke na preukázateľnú funkčnosť bezpečnostných opatrení. Subjekt musí vedieť doložiť systematický proces identifikácie a hodnotenia rizík, riadenie bezpečnosti dodávateľského reťazca, testovanie plánov kontinuity činností a funkčný mechanizmus reakcie na incidenty. Tento prístup zodpovedá cieľu smernice NIS 2 – zvýšiť reálnu odolnosť, nie len formálnu mieru compliance.

Novelizovaný zákon o kybernetickej bezpečnosti zároveň explicitne zakotvuje priamu zodpovednosť štatutárnych orgánov za riadenie kybernetických rizík. Manažment je povinný schvaľovať opatrenia riadenia kybernetickej bezpečnosti a dohliadať na ich implementáciu. Táto zodpovednosť sa v zmysle zákona môže plnohodnotne prejaviť aj v rámci dohľadových a sankčných mechanizmov zákona.

Prijaté stratégie a kroky vlády

Slovenská vláda v rámci implementácie zákona o kritickej infraštruktúre a zákona o kybernetickej bezpečnosti prijala začiatkom roku 2026 dva strategické dokumenty, ktoré poskytujú jasný rámec pre riadenie rizík. Stratégia odolnosti kritických subjektov Slovenskej republiky analyzuje súčasný stav a zraniteľnosť kritických subjektov, vymedzuje ciele a opatrenia do roku 2030 a určuje rámec koordinácie medzi ústrednými orgánmi štátu, samosprávou a kritickými subjektmi. Národná stratégia kybernetickej bezpečnosti na roky 2026 až 2030 kladie dôraz na systematické posilňovanie odolnosti národného kybernetického priestoru, ochranu práv a bezpečnosti občanov v kybernetickom priestore, ochranu kritickej infraštruktúry štátu, prevádzkovateľov základných služieb, ako aj ďalších dôležitých aktív.

Strategický význam pre Slovensko

Kritická infraštruktúra predstavuje systém vzájomne prepojených prvkov. Výpadok energetiky ovplyvní dopravu, doprava zdravotníctvo či distribúciu potravín, digitálna infraštruktúra verejnú správu aj banky. Medzisektorové závislosti zvyšujú riziko kaskádových efektov. Legislatívny rámec vytvára predpoklady na systematické riadenie rizík naprieč všetkými kritickými sektormi, zvýšenie bezpečnostnej úrovne procesov a posilnenie národnej odolnosti voči hybridným a kybernetickým hrozbám.

Odborná spolupráca

Implementácia nových povinností si vyžaduje kombináciu právnej, technickej a organizačnej expertízy. V tomto kontexte zohráva kľúčovú úlohu Asociácia kritickej infraštruktúry Slovenskej republiky (AKI SR) ako odborná platforma prepájajúca regulované subjekty, odborníkov na bezpečnostné a krízové riadenie, zástupcov verejnej správy a technologických partnerov. AKI SR poskytuje firmám expertné poradenstvo pri identifikácii a implementácii zákonných povinností, metodickú podporu pri posudzovaní rizík a zavádzaní opatrení, koordináciu a výmenu skúseností medzi sektormi a aktuálne informácie o legislatíve, termínoch a praktických krokoch. Pre členov to znamená prístup k odbornému know-how, koordinovaným postupom a pripravenosť reagovať na zmeny legislatívy v reálnom čase.

Rok 2026 predstavuje pre kritickú infraštruktúru a kybernetickú bezpečnosť prechod od legislatívnej prípravy k praktickej implementácii. Organizácie budú hodnotené nielen podľa formálnej existencie bezpečnostných dokumentov, ale aj podľa schopnosti preukázať ich funkčnosť v praxi. Pripravenosť dnes rovná sa odolnosť a dôveryhodnosť zajtra. Koordinovaná príprava s odborným partnerom, akým je AKI SR, umožňuje firmám naplno zabezpečiť súlad s novými zákonnými povinnosťami.