Slovensko má národný zoznam kritických subjektov. Pre dotknuté organizácie sa mení režim fungovania

Čo zoznam obsahuje

Verejná časť zoznamu je členená podľa sektorov a podsektorov prílohy č. 1 zákona o kritickej infraštruktúre. Tá vymedzuje jedenásť sektorov: energetika, doprava, financie, poštové služby, zdravotníctvo, voda a atmosféra, digitálna infraštruktúra, verejná správa, vesmír, výroba, spracovanie a distribúcia potravín a priemysel. Slovensko pritom ide nad rámec smernice CER: poštové služby a farmaceutický, hutnícky a chemický priemysel zaradilo do chránených sektorov nad rámec európskej úpravy.

Pri každom subjekte zoznam uvádza názov ústredného orgánu, sektor, podsektor, obchodné meno alebo názov, sídlo a poskytovanú základnú službu. Prevažná časť identifikovaných subjektov patrí do verejného sektora – štátne podniky, úrady a organizácie s majetkovou účasťou štátu alebo samospráv, doplnené o skupinu súkromných prevádzkovateľov.

To má praktický dôsledok. Štát na Slovensku nie je len regulátorom, ale zároveň najväčším prevádzkovateľom strategického majetku. Väčšina povinností podľa zákona teda dopadne na organizácie, ktoré štát vlastní alebo kontroluje a zároveň platí, že súkromní prevádzkovatelia držia časti reťazca, ktoré štát nedokáže nahradiť.

Podrobné údaje o kritickej infraštruktúre, kontaktných osobách a incidentoch zostávajú v neverejnej časti zoznamu, ktorú spravuje ministerstvo vnútra spolu s príslušnými ústrednými orgánmi.

Čo to znamená v praxi

Zaradenie do zoznamu nie je evidenčný úkon. Subjekt musí vykonať celý rad zákonom stanovených úkonov a zabezpečiť plnenie povinností vyplývajúcich z jeho postavenia kritického subjektu. 

Zákon k tomu určuje konkrétne lehoty. Do deviatich mesiacov od doručenia oznámenia o zaradení musí subjekt vypracovať posúdenie rizík, do desiatich mesiacov bezpečnostný plán a zaviesť opatrenia, ktoré z neho vyplývajú. Závažný incident sa hlási do 24 hodín od jeho zistenia. Za nesplnenie povinností hrozia pokuty až do výšky 300 000 eur.

Pre časť organizácií ide o zmenu prevádzkovej kultúry, nie o doplnenie dokumentácie. Zároveň sa otvára otázka, ktorú rieši celá EÚ: ako zosúladiť požiadavky CER s kybernetickou reguláciou a s pravidlami vo finančnom sektore tak, aby banky a strategické podniky neabsolvovali tri takmer identické audity pod tromi hlavičkami.

Praktický prínos zoznamu sa ukáže v krízovej situácii. Ak štátne zložky vedia vopred, ktoré prvky sú kritické a ako sú navzájom previazané, dokážu svoje kapacity a zásahy sústrediť tam, kde hrozia najzávažnejšie následky, namiesto toho, aby postupovali podľa poradia prichádzajúcich hlásení.

Dominový efekt ako hlavné kritérium

Rozdiel medzi bežnou firmou a kritickým subjektom nie je vo veľkosti obratu, ale v dosahu výpadku. Technický problém e-shopu pocítia jeho zákazníci. Výpadok prevádzkovateľa prenosovej sústavy alebo veľkej vodárne zasiahne naraz státisíce ľudí, nemocnice, výrobné linky, bankomaty aj platobné terminály. Miera kritickosti sa odvíja od rozsahu a závažnosti kaskádových následkov, ktoré môže zlyhanie vyvolať.

Prínos Asociácie kritickej infraštruktúry SR v praxi

Asociácia kritickej infraštruktúry Slovenskej republiky (AKI SR) patrí k subjektom, ktoré na finalizáciu zoznamu dlhodobo upozorňovali a pripravovali naň dotknuté organizácie. Vytvára odbornú platformu pre spoluprácu medzi štátom, regulátormi a prevádzkovateľmi základných služieb naprieč sektormi – od energetiky cez dopravu a zdravotníctvo až po digitálnu infraštruktúru.

„Proces identifikácie kritických subjektov nie je len legislatívna povinnosť. Je to moment, ktorý určuje, ako odolný bude štát v reálnych krízových situáciách,“ uviedol prezident AKI SR Tibor Straka.

Asociácia svojim členom poskytuje metodické usmernenia, výklad pripravovaných vykonávacích pravidiel a priestor na zdieľanie skúseností medzi sektormi. Ten posledný bod býva podceňovaný: sektory riešia veľmi podobné problémy – závislosť od jedného dodávateľa, nedostatok personálu na nočné zmeny v dispečingu, nekompatibilné hlásenia incidentov – ale bez spoločnej platformy sa k riešeniam prepracúvajú každý zvlášť.

Spoluprácu so štátnou správou má asociácia ukotvenú v memorandách s Ministerstvom vnútra SR, Ministerstvom hospodárstva SR a Národným bezpečnostným úradom. Tie jej umožňujú prenášať pripomienky prevádzkovateľov do prípravy vykonávacích predpisov a naopak sprostredkúvať členom výklad požiadaviek skôr, než sa majú premietnuť do praxe.

Zákon pozná zoznam, útočník reťazec

Oblasť, ktorá v novom režime spôsobuje najväčšie ťažkosti, sú dodávateľské reťazce. Povinnosti kritického subjektu nekončia za jeho bránou. Odolnosť určuje najslabší článok – dodávateľ náhradných dielov, poskytovateľ vzdialenej správy technológií, servisná firma so vzdialeným prístupom do priemyselných systémov, prepravca. Väčšina týchto dodávateľov na zozname nefiguruje a formálne im zo zákona nevyplýva nič.

Zodpovednosť za ne pritom nesie kritický subjekt. Musí vedieť, kto má prístup do jeho systémov a priestorov, ako dlho vydrží bez konkrétneho dodávateľa a či existuje alternatíva. To sa v praxi nedá vyriešiť inak než cez zmluvné podmienky, previerku dodávateľov a testovanie náhradných scenárov. AKI SR sa tejto téme venuje systematicky: mapuje závislosti naprieč sektormi, pripravuje odporúčania pre zmluvné zabezpečenie dodávateľov a vytvára priestor, kde si prevádzkovatelia vymenia skúsenosti s konkrétnymi zlyhaniami skôr, než sa môžu zopakovať. 

AKI SR ako platforma pre ďalší krok

Zverejnenie zoznamu uzatvára identifikačnú fázu a otvára tú náročnejšiu – zavádzanie opatrení do prevádzky. Pre organizácie, ktoré na zozname sú, aj pre tie, ktoré sa doň môžu dostať pri jeho aktualizácii, platí to isté: deväť- a desaťmesačné lehoty plynú od doručenia oznámenia a čas na nastavenie procesov je najlacnejší práve teraz.

Práve v tejto fáze má AKI SR najvýraznejšiu úlohu: sprostredkúva výklad pravidiel, prenáša skúsenosti medzi sektormi a pomáha členom premietnuť zákonné požiadavky do konkrétnych prevádzkových postupov a zmluvných vzťahov s dodávateľmi.



Pre subjekty, ktoré chcú tieto poznatky mať skôr, než ich k tomu donúti prvý audit alebo prvý incident, je členstvo v Asociácii kritickej infraštruktúry SR najpriamejšia cesta k tomu, aby prechod do nového režimu prebehol bez prevádzkových komplikácií.