RISKANTNE O RIZIKU 2

3. mája 2025

(a podobných pojmoch)

 Doc. Ing. Jaroslav Sivák, CSc., MBA

1. Úvod

Článok je pokračovaním v úvahách o základných pojmoch používaných v kategóriách „ochrana a bezpečnosť“. Ako už bolo v prvom článku poznamenané, aj tu platí, že „riskantne“ preto, že tvrdenia, ktoré obsahuje tento článok sa nemusia páčiť akademickým pracovníkom, pracovníkom najmä silových rezortov, ktorí tvorili a používajú terminologické slovníky (alebo nepoužívajú) a tvoria zákony a ostatné právne normy v oblasti bezpečnosti a mnohým iným.


Základnou bezpečnostnou pravdou zostáva, že: RIZIKO je pravdepodobnosť (resp. miera), že HROZBA využije ZRANITEĽNOSŤ AKTÍVA a spôsobí na neho DOPAD.

2. Hrozba

Hrozba je v Terminologickom slovníku krízového riadenia vydanom Úradom vlády SR v roku 2017 na str. 11 definovaná ako cit.: „Objektívne existujúca možnosť, ktorej naplnenie je schopné spôsobiť negatívny dôsledok“. Je potrebné rozlišovať medzi „hrozbou“ a „ohrozením“. Hrozba je potenciálna kategória. Ohrozením označujeme bezprostrednú udalosť, t.j. keď sa aktuálne koná hrozba. Vo vyššie spomínanom Terminologickom slovníku na str. 24 je uvedené cit.: „Ohrozenie je aktivovaná hrozba v priestore a čase“.

Hrozby sa dajú kategorizovať podľa svojho pôvodu a delia sa spravidla na:

1.      Antropogénne hrozby - hrozby, ktorých príčina a prvotný podnet je v človeku a v sociálnej sfére.

2.      Prírodné hrozby – spôsobujú ich prejavy prírody.

3.      Technologické hrozby – spôsobujú ich technologické prvky.

4.      Kombinované hrozby (súčasné pôsobenie vyššie uvedených hrozieb).

V súčasnej terminológii sa objavil pojem hybridná hrozba, čo môžeme považovať, v určitých ohľadoch, za kombinovanú hrozbu.



Prirodzene, existuje oficiálne schválené a používané rozdelenie hrozieb a ich zdroje. Napr. ISO/IEC 27 000:20xx Information Technology – Security Techniques – Information SECURITY RISk Management, alebo materiály vydané Odborom civilnej ochrany MV SR. Požiarny zbor má ich tiež dobre kategorizované a iné.


Analýza hrozieb zahŕňa identifikáciu a ohodnotenie parametrov podľa prejavov dobre merateľných aj slabo merateľných (heuristické a expertné odhady v škále). Ohodnotenie sa vykonáva spravidla definovanou metrikou - spôsobom merania alebo inou metodikou kvantifikácie hrozby. Medzi identifikované parametre radíme: významnosť, prístupnosť hrozby k aktívu, poznateľnosť a rozpoznateľnosť hrozby.

Posúdiť významnosť hrozby znamená predikovať dopad. Vyhodnotiť ako významné by narušenie, alebo obmedzenie - zabránenie vo fungovaní systému v projektovaných parametroch, mohla hrozba znamenať. Prístupnosť pre hrozbu znamená, ako je aktívum chránené voči konkrétnej hrozbe. Poznateľnosť hrozby umožňuje vykonať konkrétne, cielené preventívne opatrenia.


Posudzovanie hrozby býva silne zaťažené parametrom, ktorý nazývame „vplyv na obyvateľstvo“. Každá z hrozieb v konečnom dôsledku môže vyvolať pocit strachu obyvateľstva. Tento faktor môže mať dopad na tzv. domino efekt, kedy racionálny (častejšie iracionálny) strach ľudí predstavuje samostatnú hrozbu. 

3. Zraniteľnosť aktíva

Terminologický slovník krízového riadenia na str. 32 uvádza k pojmu zraniteľnosť cit.: „Komplexná vlastnosť odrážajúca slabé miesta systému, jeho zníženú odolnosť proti možnému narušeniu jeho funkcie, poškodeniu alebo zničeniu“. Kategorizácia zraniteľností je identická ako u hrozieb, teda antropologické, prírodné, technologické a kombinované. 


Pri hodnotení zraniteľností je potrebné zvažovať pravdepodobný scenár útoku, stupeň ochrany, alebo odolnosti nositeľa zraniteľnosti. Poznateľnosť zraniteľnosti znamená, či o zraniteľnosti vieme, alebo je nerozoznaná, nespoznaná. Často sa stretávame aj s ignorovaním významu zraniteľnosti bagatelizovaním skutočného stavu. A to ani nehovoríme ešte o prípadoch, ktoré popísal Nassim Nicholas Taleb vo svojej knihe Čierna labuť. Ide o udalosti, ktorých pravdepodobnosť výskytu je extrémne nízka a dopad extrémne vysoký (úplný pád finančných trhov, WTC 2001 a pod.).



Mieru zraniteľnosti hodnotíme na škále (metrike) s uvážením významnosti zraniteľnosti, prístupnosti útočníka k zraniteľnosti a jej poznateľnosti. 

4. Aktívum

Aktívum je všetko to, čo si organizácia (systém, proces) cení. To, čo je pre organizáciu, systém, určitý proces dôležité, čoho poškodenie, alebo strata by znamenala odchýlenie sa od projektovaných (zamýšľaných, obvyklých) parametrov fungovania. Terminologický slovník definuje aktívum na str. 7 ako cit.: „Hodnota, ktorú je potrebné chrániť“.


Aktíva je možné rozdeliť na hmotné a nehmotné, resp. existujúce v reálnom alebo vo virtuálnom svete. Hodnotu aktíva interpretujeme ako mieru zdrojovej náročnosti (ľudia, čas, financie a iné) na náhradu aktíva, alebo jeho uvedenie do pôvodného stavu. 

Poznámka: „Uvedenie do pôvodného stavu“ je zavádzajúca fráza. Proces rekonštrukcie musí zahŕňať opatrenia, ktoré budú efektívnou odpoveďou na hrozby a zraniteľnosti, ktoré predchádzajú rekonštrukcii. Nie je teda možné obnoviť iba pôvodný stav, je potrebné vykonať opatrenia nad rámec prostej rekonštrukcie.

5. Dopad

Dopad je výsledok pôsobenia predchádzajúcich faktorov a najčastejšie sa vníma ako ujma, škoda, strata, teda v negatívnej konotácii. Pre úplné chápanie dopadu, je nevyhnutné pripustiť existenciu takých druhov dopadu, ktoré v konečnom dôsledku môžu znamenať zlepšenie. Príkladom môže byť zachytený útok na komunikačnú infraštruktúru, ktorý vyvolá pozitívne zmeny v názore kompetentných na bezpečnosť a ochranu. Poistenie nehnuteľnosti (spôsob manažovania rizika) ktorá bola zničená prírodnou katastrofou, v druhom pláne nie je negatívny dopad. Nemá sa na mysli poisťovací podvod.


Hodnotenie úrovne (veľkosti) dopadu závisí od konkrétnych podmienok a parametrov chráneného systému, organizácie, alebo procesu. Na kvantifikáciu sa zvyčajne používa pravidlo, keď sa hodnotí aké veľké zdroje a ich dostupnosť je potrebné vynaložiť, aby bolo obnovenie fungovania postihnutej štruktúry. Tento výrok v plnej miere odpovedá aj na otázku koľko stojí jeden bajt informácie. Toľko, koľko je potrebných zdrojov na jeho obnovenie, resp. získanie.



Okrem materiálnych prvkov dopadu je nevyhnutné do úvah zahrnúť aj nehmotné prvky ako napr. rôzne podoby tzv. reputačnej ujmy (strata Goodwill).

6. Riziko

Po stanovení, zmeraní alebo odhadnutí všetkých predchádzajúcich komponentov, zostáva vyčísliť, odhadnúť, stanoviť hodnotu rizika. Existuje viacero matematických modelov ako sa dopočítať ku výslednej hodnote rizika. Dôležité je však túto hodnotu správne interpretovať. Po zvážení všetkých špecifík posudzovanej organizácie, systému alebo procesu (riziková analýza), je potrebné stanoviť párové kategórie: Hodnota rizika – Významnosť dopadu.


Napr. ukradnutie určitého množstva horľaviny zo skladu predstavuje v stredne zabezpečenom sklade iba veľmi malý dopad. Riziko, že dôjde ku krádeži je však pomerne veľké. Nositeľmi takéhoto rizika sú spravidla vlastní zamestnanci (organizácie sa tomu faktu veľmi bránia). Hodnota rizika je vysoká – dopad pomerne nízky.



Riziko, že sklad horľaviny niekto podpáli je pomerne nízke (prísne opatrenia proti požiaru, pravidelne poučovaný personál, neiskriace náradie a pod.). Ak by bol tento čin dokonaný, výbuch (zhorenie) skladu predstavuje výrazne negatívny dopad. Hodnota rizika nízka – dopad vysoký. 

7. Záver

Hodnotenie rizika je extrémne zložitý proces. Použitie odporúčaní v podobe ISO postupov, alebo špecifických noriem je dobrým návodom, ale nie vyčerpávajúcou odpoveďou. Model stanovenia rizika je preto potrebné vypracovať pre každé použitie takmer jedinečným spôsobom s vysokým rešpektovaním konkrétnych podmienok, v ktorých sa nasadzuje.


Interpretácia výsledkov stanovenia rizika je kľúčová. Ďalším kľúčovým parametrom je dynamika zmien bezpečnostného prostredia. Tento parameter určuje frekvenciu opakovania procesov vykonávania analýzy rizík. 



Logickým vyústením popisovaných procesov je stanovenie spôsobu, ako bude zistené a vyčíslené riziko manažované. Na tento účel poznáme viaceré postupy od odstránenia rizika, zníženia úrovne rizika až po prenesenie rizika na iné subjekty, alebo procesy. 

Introducing the Critical Infrastructure Sectors: Postal Services

25. mája 2026
The Critical Infrastructure Association of the Slovak Republic continues its series of articles introducing both the public and the professional community to the individual sectors of critical infrastructure as defined by Act No. 367/2025 Coll. on Critical Infrastructure and on Amendments to Certain Acts. Following sectors such as energy, transport and finance, we now turn to a sector that is part of the daily life of citizens as well as the functioning of the state – postal services.

Predstavujeme sektory kritickej infraštruktúry: Poštové služby

25. mája 2026
Asociácia kritickej infraštruktúry Slovenskej republiky pokračuje v sérii článkov, ktorými verejnosti aj odbornej obci predstavuje jednotlivé sektory kritickej infraštruktúry definované zákonom č. 367/2025 Z. z. o kritickej infraštruktúre a o zmene a doplnení niektorých zákonov. Po sektoroch ako energetika, doprava či financie sa tentoraz venujeme sektoru, ktorý je súčasťou každodenného života občanov aj fungovania štátu – poštovým službám.

The biggest security risk may not be inside your company: supply chains and post-quantum cryptography are changing the rules for protecting critical infrastructure

21. mája 2026
Until recently, the security of critical infrastructure was associated mainly with the protection of physical facilities, energy sources, or state systems. Today, however, it is increasingly clear that the real vulnerability often lies outside the organisation itself: in its supply chains, technology partners, and external services.

Najväčšie bezpečnostné riziko nemusí byť vo vašej firme: dodávateľské reťazce a postkvantová kryptografia menia pravidlá ochrany kritickej infraštruktúry

21. mája 2026
Ešte donedávna sa bezpečnosť kritickej infraštruktúry spájala najmä s ochranou fyzických objektov, energetických zdrojov či štátnych systémov. Dnes však čoraz jasnejšie vidíme, že skutočná zraniteľnosť sa často nachádza mimo samotnej organizácie: v jej dodávateľských reťazcoch, technologických partneroch a externých službách.

Umelá inteligencia v rukách útočníkov: nová generácia hrozieb pre kritickú infraštruktúru

18. mája 2026
V januári 2024 zamestnanec finančnej spoločnosti v Hongkongu uskutočnil prevod v hodnote 25 miliónov amerických dolárov. Urobil tak po videokonferencii s finančným riaditeľom a kolegami z centrály, ktorá pôsobila úplne autenticky. Na konferencii však bol jediný skutočný človek on sám. Ostatní účastníci boli deepfake repliky vygenerované generatívnou umelou inteligenciou na základe verejne dostupných záznamov. Tento prípad, zdokumentovaný hongkonskou políciou, neoznámil príchod novej hrozby. Oznámil, že hrozba je už tu a funguje v produkčnom režime.

Two Members of AKI SR Are Taking Slovak Research into Space: The COSMOS-SECURE Project Will Bring Post-Quantum Secure Voice Communication for Space Missions

13. mája 2026
The Critical Infrastructure Association of the Slovak Republic is proud to present the success of two of its members, Decent Cybersecurity s. r. o. and FREQUENTIS Solutions & Services s. r. o., which have jointly secured funding for the four-year research and development project COSMOS-SECURE. The project, with total eligible expenditures of EUR 4,144,273.37 and a requested non-repayable financial contribution of EUR 2,981,048.65, focuses on an area that, until recently, belonged mainly to major space agencies: secure voice communication between ground stations, satellites, and spacecraft crews in an era when quantum computers are beginning to challenge the existing foundations of cryptography.

Dvaja členovia AKI SR posúvajú slovenský výskum do vesmíru: projekt COSMOS-SECURE prinesie postkvantovú bezpečnú hlasovú komunikáciu pre vesmírne misie

13. mája 2026
Asociácia kritickej infraštruktúry Slovenskej republiky s hrdosťou predstavuje úspech dvoch svojich členov, spoločností Decent Cybersecurity s. r. o. a FREQUENTIS Solutions & Services s. r. o., ktoré spoločne získali financovanie pre štvorročný výskumno-vývojový projekt COSMOS-SECURE. Projekt s celkovými oprávnenými výdavkami vo výške 4 144 273,37 € a požadovanou výškou nenávratného finančného príspevku 2 981 048,65 € sa zameriava na to, čo bolo donedávna doménou veľkých vesmírnych agentúr: bezpečnú hlasovú komunikáciu medzi pozemnými strediskami, satelitmi a posádkami vesmírnych lodí v ére, keď kvantové počítače začínajú spochybňovať existujúce kryptografické základy.

July 2026 will decide: Slovakia identifies the list of critical entities

12. mája 2026
The Slovak Republic is in the final phase of a process that is fundamentally changing the approach to the protection of critical infrastructure. In accordance with Act No. 367/2024 Coll. on Critical Infrastructure, the list of entities that will be officially identified as critical for the functioning of the state is to be completed in July 2026. This step represents one of the most important milestones in the implementation of the new regulatory framework, the aim of which is to increase the resilience of key systems to crises, cyber threats and service outages. A new framework of responsibility Inclusion among the critical entities will not be of a merely formal nature. For the organisations concerned, it will mean the introduction of precisely defined obligations in the area of risk management, security measures, incident management and the very continuity of the provision of essential services within the meaning of the Act. For many entities, this represents a fundamental change in the approach to security, which will require systematic preparation even before the actual inclusion in the list. Growing interest of companies in the regulation Already in this period it is evident that potentially affected entities are beginning to intensively follow the development of the legislation and of the implementing rules being prepared. The reason is the need to set up internal processes in good time, so that the transition to the new regime can take place without major operational complications. The growing demanding nature of the requirements is at the same time increasing the demand for expert guidance and methodological support. The role of the Critical Infrastructure Association of the Slovak Republic In this context, the Critical Infrastructure Association of the Slovak Republic (AKI SR) plays a significant role, as it has long been creating a professional platform for cooperation between the state sector, regulators and operators of essential services across all sectors of critical infrastructure, such as for example energy, transport, healthcare or digital infrastructure. As Tibor Straka, President of AKI SR, states: “The process of identifying critical entities is not merely a legislative obligation. It is the moment that determines how resilient the state will be in real crisis situations.” The Association points out in this connection that the period before the final inclusion in the list is the most important one for organisations from the point of view of preparation and adaptation. Room for timely preparation Companies that may be part of the list of critical entities currently have a unique opportunity to prepare for the new obligations systematically and well in advance. In this area, AKI SR provides expert support, methodological guidance and a platform for the sharing of experience between the individual sectors. Cooperation as the foundation of resilience The implementation of the new system for the protection of critical infrastructure will be successful only if it is built on close cooperation between the public and the private sector. In this respect, AKI SR is developing a systematic dialogue with the central bodies of state administration that exercise state administration in the individual segments of critical infrastructure. With many of them, the Association has concluded memoranda of cooperation, which makes possible a more effective interconnection of expert capacities, the exchange of information and coordination in addressing key security topics. In the process, AKI SR thus acts as a natural communication and expert bridge between the regulator and the entities of critical infrastructure, while helping to connect legislative requirements with their practical implementation in the individual sectors. A new stage in the protection of critical systems The finalisation of the list of critical entities in July 2026 represents a fundamental step in the modernisation of the system for strengthening the resilience of critical infrastructure in Slovakia. The new legislative framework sets clearer rules, but at the same time significantly raises the demands placed on the preparedness of the organisations concerned. The outcome of the entire process will depend on how well it is possible to align the regulation with the reality of the operation of critical entities.

Júl 2026 rozhodne: Slovensko identifikuje zoznam kritických subjektov

12. mája 2026
Slovenská republika sa nachádza v záverečnej fáze procesu, ktorý zásadne mení prístup k ochrane kritickej infraštruktúry. V súlade so zákonom č. 367/2024 Z. z. o kritickej infraštruktúre má byť v júli 2026 dokončený zoznam subjektov, ktoré budú oficiálne identifikované ako kritické pre fungovanie štátu. Tento krok predstavuje jeden z najdôležitejších míľnikov implementácie nového regulačného rámca, ktorý má za cieľ zvýšiť odolnosť kľúčových systémov voči krízam, kybernetickým hrozbám a výpadkom služieb. Nový rámec zodpovednosti Zaradenie medzi kritické subjekty nebude mať len formálny charakter. Pre dotknuté organizácie bude znamenať zavedenie presne definovaných povinností v oblasti riadenia rizík, bezpečnostných opatrení, incident manažmentu a samotnej kontinuity poskytovania základných služieb v zmysle zákona. Pre mnohé subjekty ide o zásadnú zmenu prístupu k bezpečnosti, ktorá si bude vyžadovať systematickú prípravu ešte pred samotným zaradením do zoznamu. Zvyšujúci sa záujem firiem o reguláciu Už v tomto období je zrejmé, že potenciálne dotknuté subjekty začínajú intenzívne sledovať vývoj legislatívy a pripravovaných vykonávacích pravidiel. Dôvodom je potreba včas nastaviť interné procesy tak, aby prechod do nového režimu prebehol bez zásadných prevádzkových komplikácií. Rastúca náročnosť požiadaviek zároveň zvyšuje dopyt po odbornom vedení a metodickej podpore. Úloha Asociácie kritickej infraštruktúry SR V tomto kontexte zohráva významnú rolu Asociácia kritickej infraštruktúry Slovenskej republiky (AKI SR) , ktorá dlhodobo vytvára odbornú platformu pre spoluprácu medzi štátnym sektorom, regulátormi a prevádzkovateľmi základných služieb naprieč všetkými sektormi kritickej infraštruktúry, ako je napríklad energetika, doprava, zdravotníctvo či digitálna infraštruktúra. Ako uvádza prezident AKI SR Tibor Straka: „Proces identifikácie kritických subjektov nie je len legislatívna povinnosť. Je to moment, ktorý určuje, ako odolný bude štát v reálnych krízových situáciách.“ Asociácia v tejto súvislosti upozorňuje, že obdobie pred finálnym zaradením do zoznamu je pre organizácie najdôležitejšie z hľadiska prípravy a adaptácie. Priestor na včasnú prípravu Firmy, ktoré môžu byť súčasťou zoznamu kritických subjektov, majú v súčasnosti jedinečnú príležitosť pripraviť sa na nové povinnosti systematicky a s dostatočným predstihom. AKI SR v tejto oblasti poskytuje odbornú podporu, metodické usmernenia a platformu na zdieľanie skúseností medzi jednotlivými sektormi. Spolupráca ako základ odolnosti Implementácia nového systému ochrany kritickej infraštruktúry bude úspešná len vtedy, ak bude postavená na úzkej spolupráci medzi verejným a súkromným sektorom. V tomto smere AKI SR rozvíja systematický dialóg s ústrednými orgánmi štátnej správy, ktoré vykonávajú štátnu správu na jednotlivých úsekoch kritickej infraštruktúry. S mnohými z nich má asociácia uzatvorené memorandá o spolupráci, čo umožňuje efektívnejšie prepájanie odborných kapacít, výmenu informácií a koordináciu pri riešení kľúčových bezpečnostných tém. AKI SR tak v procese vystupuje ako prirodzený komunikačný a odborný most medzi regulátorom a subjektami kritickej infraštruktúry, pričom pomáha prepájať legislatívne požiadavky s ich praktickou implementáciou v jednotlivých sektoroch. Nová etapa ochrany kritických systémov  Finalizácia zoznamu kritických subjektov v júli 2026 predstavuje zásadný krok v modernizácii systému zvyšovania odolnosti kritickej infraštruktúry na Slovensku. Nový legislatívny rámec nastavuje jasnejšie pravidlá, ale zároveň výrazne zvyšuje nároky na pripravenosť dotknutých organizácií. Výsledok celého procesu bude závisieť od toho, ako dobre sa podarí zosúladiť reguláciu s realitou prevádzky kritických subjektov.

Rail Transport: Critical Infrastructure on the Boundary Between Cyber and Physical

11. mája 2026
In August 2023, something happened on the Polish railways that until then had belonged to the realm of scenarios, not reality. Unknown actors abused the radio system for emergency stopping (radio-stop) and transmitted a signal that brought more than 20 trains to a halt in various regions of the country. The attack required no access to digital systems and no sophisticated malware. A radio transmitter and knowledge of publicly available tones were enough. It was a demonstration of why rail transport ranks among the most complex categories of critical infrastructure. It brings together older analogue and radio technology with contemporary IT and OT systems, and each of these layers has its own vulnerabilities.