69
o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov
Národná
rada
Slovenskej
republiky
sa
uzniesla
na
tomto
zákone:
Čl. I
Predmet zákona
a)organizáciu,
pôsobnosť
a
povinnosti
orgánov
verejnej
moci
v
oblasti
kybernetickej
bezpečnosti,
b)národnú
stratégiu
kybernetickej
bezpečnosti,
c)jednotný
informačný
systém
kybernetickej
bezpečnosti,
d)organizáciu
a
pôsobnosť
jednotiek
pre
riešenie
kybernetických
bezpečnostných
incidentov
(ďalej
len
„jednotka
CSIRT“)
a
ich
akreditáciu,
e)postavenie
a
povinnosti
prevádzkovateľa
základnej
služby
a
poskytovateľa
digitálnej
služby,
f)bezpečnostné
opatrenia,
g)systém
zabezpečenia
kybernetickej
bezpečnosti,
h)kontrolu
nad
dodržiavaním
tohto
zákona
a
audit.
Pôsobnosť zákona
(1)
Tento
zákon
ustanovuje
minimálne
požiadavky
na
zabezpečenie
kybernetickej
bezpečnosti.
(2)
Tento
zákon
sa
nevzťahuje
na
a)požiadavky
na
zabezpečenie
sietí
a
informačných
systémov
podľa
všeobecného
predpisu
o
ochrane
utajovaných
skutočností,
b)osobitné
ustanovenia
o
úlohách
a
oprávneniach
orgánu
štátu
pri
ochrane
kybernetického
priestoru
podľa
osobitného
predpisu,
1
)
c)ustanovenia
osobitných
predpisov
o
vyšetrovaní,
odhaľovaní
a
stíhaní
trestných
činov,
2
)
d)požiadavky
na
zabezpečenie
sietí
a
informačných
systémov
v
sektore
bankovníctva,
financií
alebo
finančného
systému
podľa
osobitných
predpisov,
3
)
vrátane
štandardov
a
zásad
vydaných
alebo
prijatých
Európskou
centrálnou
bankou,
Európskym
systémom
centrálnych
bánk,
Eurosystémom
alebo
európskymi
orgánmi
dohľadu,
4
)
a
ani
na
platobné
systémy
a
na
systémy
zúčtovania
a
vyrovnania
cenných
papierov
a
ich
infraštruktúry
dohliadané
alebo
prevádzkované
Európskou
centrálnou
bankou
alebo
Eurosystémom
podľa
osobitných
predpisov,
5
)
e)požiadavky
na
zabezpečenie
sietí
a
informačných
systémov
v
sektore
podľa
osobitného
predpisu,
6
)
ak
ich
cieľom
je
dosiahnuť
vyššiu
úroveň
bezpečnosti
sietí
a
informačných
systémov
ako
podľa
tohto
zákona,
Vymedzenie základných pojmov
Na
účely
tohto
zákona
sa
rozumie
a)sieťou
elektronická
komunikačná
sieť
podľa
osobitného
predpisu,
8
)
b)informačným
systémom
funkčný
celok,
ktorý
zabezpečuje
získavanie,
zhromažďovanie,
automatické
spracúvanie,
udržiavanie,
sprístupňovanie,
poskytovanie,
prenos,
ukladanie,
archiváciu,
likvidáciu
a
ochranu
údajov
prostredníctvom
technických
prostriedkov
alebo
programových
prostriedkov,
c)kybernetickým
priestorom
globálny
dynamický
otvorený
systém
sietí
a
informačných
systémov,
ktorý
tvoria
aktivované
prvky
kybernetického
priestoru,
osoby
vykonávajúce
aktivity
v
tomto
systéme
a
vzťahy
a
interakcie
medzi
nimi,
d)kontinuitou
strategická
a
taktická
schopnosť
organizácie
plánovať
a
reagovať
na
udalosti
a
incidenty
s
cieľom
pokračovať
vo
výkone
činností
na
prijateľnej,
vopred
stanovenej
úrovni,
e)dôvernosťou
záruka,
že
údaj
alebo
informácia
nie
je
prezradená
neoprávneným
subjektom
alebo
procesom,
f)dostupnosťou
záruka,
že
údaj
alebo
informácia
je
pre
používateľa,
informačný
systém,
sieť
alebo
zariadenie
prístupné
vo
chvíli,
keď
je
údaj
a
informácia
potrebná
a
požadovaná,
g)integritou
záruka,
že
bezchybnosť,
úplnosť
alebo
správnosť
informácie
neboli
narušené,
h)kybernetickou
bezpečnosťou
stav,
v
ktorom
sú
siete
a
informačné
systémy
schopné
odolávať
na
určitom
stupni
spoľahlivosti
akémukoľvek
konaniu,
ktoré
ohrozuje
dostupnosť,
pravosť,
integritu
alebo
dôvernosť
uchovávaných,
prenášaných
alebo
spracúvaných
údajov
alebo
súvisiacich
služieb
poskytovaných
alebo
prístupných
prostredníctvom
týchto
sietí
a
informačných
systémov,
i)rizikom
miera
kybernetického
ohrozenia
vyjadrená
pravdepodobnosťou
vzniku
nežiaduceho
javu
a
jeho
dôsledkami,
j)hrozbou
každá
primerane
rozpoznateľná
okolnosť
alebo
udalosť
proti
sieťam
a
informačným
systémom,
ktorá
môže
mať
nepriaznivý
vplyv
na
kybernetickú
bezpečnosť,
k)kybernetickým
bezpečnostným
incidentom
akákoľvek
udalosť,
ktorá
má
z
dôvodu
narušenia
bezpečnosti
siete
a
informačného
systému,
alebo
porušenia
bezpečnostnej
politiky
alebo
záväznej
metodiky
negatívny
vplyv
na
kybernetickú
bezpečnosť
alebo
ktorej
následkom
je
1.
strata
dôvernosti
údajov,
zničenie
údajov
alebo
narušenie
integrity
systému,
2.
obmedzenie
alebo
odmietnutie
dostupnosti
základnej
služby
alebo
digitálnej
služby,
3.
vysoká
pravdepodobnosť
kompromitácie
činností
základnej
služby
alebo
digitálnej
služby
alebo
4.
ohrozenie
bezpečnosti
informácií,
l)základnou
službou
služba,
ktorá
je
zaradená
v
zozname
základných
služieb
a
1.
závisí
od
sietí
a
informačných
systémov
a
je
činnosťou
aspoň
v
jednom
sektore
alebo
podsektore
podľa
prílohy
č.
1,
alebo
2.
je
prvkom
kritickej
infraštruktúry,
9
)
m)prevádzkovateľom
základnej
služby
orgán
verejnej
moci
alebo
osoba,
ktorá
prevádzkuje
aspoň
jednu
službu
podľa
písmena
l),
n)digitálnou
službou
služba,
ktorej
druh
je
uvedený
prílohe
č.
2,
o)poskytovateľom
digitálnej
služby
právnická
osoba
alebo
fyzická
osoba
–
podnikateľ,
ktorá
poskytuje
digitálnu
službu
a
zároveň
zamestnáva
aspoň
50
zamestnancov
a
má
ročný
obrat
alebo
celkovú
ročnú
bilanciu
viac
ako
10
000
000
eur,
p)riešením
kybernetického
bezpečnostného
incidentu
všetky
postupy
súvisiace
s
oznamovaním,
odhaľovaním,
analýzou
a
reakciou
na
kybernetický
bezpečnostný
incident
a
s
obmedzením
jeho
následkov.
Pôsobnosť orgánov verejnej moci
Pôsobnosť
v
oblasti
kybernetickej
bezpečnosti
vykonáva
a)Národný
bezpečnostný
úrad
(ďalej
len
„úrad“),
b)Ministerstvo
dopravy
a
výstavby
Slovenskej
republiky,
Ministerstvo
financií
Slovenskej
republiky,
Ministerstvo
hospodárstva
Slovenskej
republiky,
Ministerstvo
obrany
Slovenskej
republiky,
Ministerstvo
vnútra
Slovenskej
republiky,
Ministerstvo
zdravotníctva
Slovenskej
republiky,
Ministerstvo
životného
prostredia
Slovenskej
republiky
a
Ministerstvo
investícií,
regionálneho
rozvoja
a
informatizácie
Slovenskej
republiky
(ďalej
len
„ústredný
orgán“),
c)ministerstvá
a
ostatné
ústredné
orgány
štátnej
správy,
10
)
ktoré
nie
sú
ústredným
orgánom,
Generálna
prokuratúra
Slovenskej
republiky,
Najvyšší
kontrolný
úrad
Slovenskej
republiky,
Úrad
pre
dohľad
nad
zdravotnou
starostlivosťou,
Úrad
na
ochranu
osobných
údajov
Slovenskej
republiky,
Úrad
pre
reguláciu
sieťových
odvetví
a
iné
štátne
orgány
v
rozsahu
svojej
pôsobnosti
(ďalej
len
„iný
orgán
štátnej
správy“).
(1)
Úrad
v
oblasti
kybernetickej
bezpečnosti
a)riadi
a
koordinuje
výkon
štátnej
správy,
b)určuje
štandardy,
operačné
postupy,
vydáva
metodiku
a
politiku
správania
sa
v
kybernetickom
priestore,
c)určuje
zásady
predchádzania
kybernetickým
bezpečnostným
incidentom
a
zásady
ich
riešenia,
d)vypracúva
národnú
stratégiu
kybernetickej
bezpečnosti
a
ročnú
správu
o
stave
kybernetickej
bezpečnosti
v
Slovenskej
republike
v
spolupráci
s
príslušnými
štátnymi
orgánmi,
e)je
národným
kontaktným
miestom
pre
kybernetickú
bezpečnosť
pre
zahraničie
a
zabezpečuje
spoluprácu
s
jednotnými
kontaktnými
miestami
členských
štátov
Európskej
únie
a
Organizácie
Severoatlantickej
zmluvy,
f)plní
notifikačné
a
nahlasovacie
povinnosti
voči
príslušným
orgánom
Európskej
únie
a
Organizácie
Severoatlantickej
zmluvy
a
podieľa
sa
a
podporuje
vytváranie
partnerstiev
na
národnej
a
medzinárodnej
úrovni
v
oblasti
kybernetickej
bezpečnosti,
g)zabezpečuje
členstvo
Slovenskej
republiky
v
skupine
pre
spoluprácu
a
v
sieti
jednotiek
CSIRT,
h)v
spolupráci
s
Ministerstvom
zahraničných
vecí
a
európskych
záležitostí
Slovenskej
republiky
rozvíja
medzinárodnú
spoluprácu
a
sleduje
vplyvy
aktivít
v
oblasti
kybernetickej
bezpečnosti
na
zahraničnopolitické
záujmy
Slovenskej
republiky
a
partnerov
v
rámci
Európskej
únie
z)plní
úlohy
kompetenčného
a
odvetvového
centra
podľa
osobitného
predpisu
10ab
)
,
aa)
odníma
certifikát
kybernetickej
bezpečnosti,
ab)
v
rámci
systému
certifikácie
kybernetickej
bezpečnosti
vydáva
bezpečnostné
štandardy,
certifikačné
schémy
a
postupy,
ac)
plní
úlohy
ústredného
orgánu
podľa
prílohy
č.
1,
ad)
vedie
a
zverejňuje
na
svojom
webovom
sídle
zoznam
orgánov
posudzovania
zhody
v
systéme
certifikácie
kybernetickej
bezpečnosti,
zoznam
certifikačných
orgánov
audítorov
kybernetickej
bezpečnosti
a
zoznam
právnických
osôb,
prostredníctvom
ktorých
je
možné
realizovať
audity
kybernetickej
bezpečnosti,
ae)
posudzuje
bezpečnostné
riziká
dodávateľa
na
výkon
činností,
ktoré
priamo
súvisia
s
prevádzkou
sietí
a
informačných
systémov
pre
prevádzkovateľa
základnej
služby
(ďalej
len
„tretia
strana“)
pre
kybernetickú
bezpečnosť
Slovenskej
republiky
a
správu
o
tomto
posúdení
predkladá
Bezpečnostnej
rade
Slovenskej
republiky,
af)
predkladá
príslušnému
osobitnému
kontrolnému
výboru
Národnej
rady
Slovenskej
republiky
každoročne
správu
o
dodržiavaní
noriem
týkajúcich
sa
ochrany
telekomunikačného
tajomstva
a
osobných
údajov
občanov
Slovenskej
republiky,
ag)
rozhoduje
o
blokovaní
škodlivého
obsahu
alebo
škodlivej
aktivity,
ktorá
smeruje
do
kybernetického
priestoru
Slovenskej
republiky
alebo
z
kybernetického
priestoru
Slovenskej
republiky
(ďalej
len
„blokovanie“)
a
zabezpečuje
vykonanie
tohto
rozhodnutia
alebo
vykonáva
blokovanie
na
základe
žiadosti.
rozhoduje o blokovaní a vykonáva blokovanie činnosti, údaja alebo programového prostriedku, ktoré smerujú do kybernetického priestoru Slovenskej republiky alebo z kybernetického priestoru Slovenskej republiky, identifikované doménou alebo doménovým záznamom, priamym odkazom (Uniform Resource Locator) alebo časťou priameho odkazu, technickým indikátorom, IP adresou alebo adresným rozsahom, používateľským účtom, kanálom na sociálnych sieťach alebo komunikačných platformách (ďalej len „blokovanie“),ah) predkladá príslušnému osobitnému kontrolnému výboru Národnej rady Slovenskej republiky každoročne správu o vydaných rozhodnutiach o blokovaní podľa § 27b.
(2)
Na
účely
zabezpečenia
plnenia
úloh
podľa
tohto
zákona
môže
úrad
na
účel
zabezpečenia
kybernetickej
bezpečnosti
uzatvoriť
písomnú
dohodu
o
spolupráci
a
o
výmene
informácií
a
podkladov
s
orgánmi
verejnej
moci
alebo
s
inou
právnickou
osobou.
10a
)
Pri
poskytnutí
informácií
je
prijímajúci
subjekt
povinný
zabezpečiť
najmenej
rovnakú
úroveň
dôvernosti
ako
subjekt,
ktorý
informácie
poskytol.
(3)
Na
účely
zabezpečenia
plnenia
úloh
podľa
tohto
zákona
môže
úrad
uzatvoriť
písomnú
dohodu
o
spolupráci
s
fyzickou
osobou.
Dohoda
o
spolupráci
musí
obsahovať
konkrétnu
formu
a
podmienky
spolupráce
a
fyzická
osoba
musí
byť
oprávnená
na
oboznamovanie
sa
s
utajovanými
skutočnosťami
príslušného
stupňa
utajenia,
ak
to
plnenie
úloh
vyžaduje.
(1)
Systémom
certifikácie
kybernetickej
bezpečnosti
je
komplexný
súbor
pravidiel,
technických
požiadaviek,
noriem
a
postupov,
ktoré
sa
uplatňujú
na
certifikáciu
alebo
posudzovanie
zhody
konkrétnych
produktov,
služieb
alebo
procesov
v
oblasti
sietí
a
informačných
systémov,
informačných
a
komunikačných
technológií
a
kybernetickej
bezpečnosti
podľa
osobitného
predpisu.
10b
)
(2)
Úrad
v
rámci
systému
certifikácie
kybernetickej
bezpečnosti
certifikuje
produkty,
služby
a
procesy
10c
)
ako
orgán
posudzovania
zhody
podľa
osobitného
predpisu.
10d
)
(3)
Certifikačný
orgán
10e
)
orgánu
posudzovania
zhody
podľa
osobitného
predpisu,
10f
)
ktorý
je
verejným
subjektom
10g
)
a
nie
je
vnútroštátnym
orgánom
pre
certifikáciu
kybernetickej
bezpečnosti,
certifikuje
produkty,
služby
a
procesy
podľa
osobitného
predpisu
10g
)
v
rámci
systému
certifikácie
bezpečnosť)
a
o
certifikácii
kybernetickej
bezpečnosti
informačných
a
komunikačných
technológií
a
o
zrušení
nariadenia
(EÚ)
č.
526/2013
(akt
o
kybernetickej
bezpečnosti)
(ďalej
len
„nariadenie
(EÚ)
2019/881“)
orgánmi
posudzovania
zhody,
ktoré
nie
sú
v
súlade
s
nariadením
(EÚ)
2019/881
alebo
s
európskym
systémom
certifikácie
kybernetickej
bezpečnosti.
(5)
Úrad
môže
odňať
vydaný
európsky
certifikát
kybernetickej
bezpečnosti
aj
držiteľovi
certifikátu,
ak
tento
a)poruší
povinnosť
podľa
čl.
56
ods.
8
nariadenia
(EÚ)
2019/881,
b)neumožní
úradu
získať
prístup
do
priestorov
podľa
čl.
58
ods.
8
písm.
d)
nariadenia
(EÚ)
2019/881,
c)akýmkoľvek
spôsobom
znemožní
vykonávať
oprávnenie
podľa
čl.
58
ods.
8
písm.
b)
nariadenia
(EÚ)
2019/881.
(6)
Na
účely
tohto
zákona
sa
rozumie
a)produktom
produkt
IKT
podľa
čl.
2
ods.
12
nariadenia
(EÚ)
2019/881,
b)službou
služba
IKT
podľa
čl.
2
ods.
13
nariadenia
(EÚ)
2019/881,
c)procesom
proces
IKT
podľa
čl.
2
ods.
14
nariadenia
(EÚ)
2019/881.
Národná jednotka CSIRT
(1)
Úrad
zriaďuje
Národné
centrum
kybernetickej
bezpečnosti
ako
svoju
organizačnú
zložku,
ktorá
má
postavenie
národnej
jednotky
CSIRT
s
pôsobnosťou
pre
Slovenskú
republiku,
ktorá
musí
spĺňať
podmienky
akreditácie
podľa
§
14
a
plniť
úlohy
jednotky
CSIRT
podľa
§
15
pre
všetky
sektory
a
podsektory
uvedené
v
prílohe
č.
1
a
digitálne
služby
okrem
tých
sektorov
a
podsektorov,
pre
ktoré
plní
úlohy
jednotky
CSIRT
ústredný
orgán.
Národná
jednotka
CSIRT
je
zaradená
v
zozname
akreditovaných
jednotiek
CSIRT.
(2)
N
á
r
o
d
n
á
jednotka
CSIRT
plní
úlohu
ústredného
orgánu
v
rozsahu
podľa
§
9
ods.
1
písm.
a),
ak
ústredný
orgán
túto
úlohu
nezabezpečí
spôsobom
podľa
§
9
ods.
2.
(3)
Na
činnosti
národnej
jednotky
CSIRT
sa
vyslaním
svojich
zástupcov
a
ďalšími
formami
spolupráce
môže
podieľať
aj
iný
orgán
štátnej
správy
v
rozsahu
a
spôsobom
ustanovenými
na
základe
uzatvorených
zmlúv
o
spolupráci.
(4)
Plnenie
úloh
úradu
podľa
odsekov
1
a
2
nezbavuje
prevádzkovateľa
základnej
služby
ani
ústredný
orgán
zodpovednosti
za
plnenie
povinností
podľa
tohto
zákona
a
ani
za
plnenie
povinností
vo
vzťahu
k
sieťam
a
informačným
systémom
podľa
osobitných
predpisov.
Národná stratégia kybernetickej bezpečnosti
(1)
Národná
stratégia
kybernetickej
bezpečnosti
je
východiskový
strategický
dokument,
ktorý
komplexne
určuje
strategický
prístup
Slovenskej
republiky
k
zabezpečeniu
kybernetickej
bezpečnosti.
Súčasťou
národnej
stratégie
kybernetickej
bezpečnosti
je
akčný
plán
ako
konkrétny
plán
čiastkových
úloh
a
zdrojov.
(2)
Národná
stratégia
kybernetickej
bezpečnosti
obsahuje
najmä
a)ciele,
priority
a
rámec
riadenia
na
dosiahnutie
týchto
cieľov
a
priorít
vrátane
úloh
a
zodpovedností
orgánov
verejnej
moci
a
ďalších
relevantných
subjektov,
b)identifikáciu
opatrení
týkajúcich
sa
pripravenosti,
reakcie
a
obnovy
vrátane
spolupráce
medzi
verejným
sektorom
a
súkromným
sektorom,
c)popis
bezpečnostného
prostredia,
d)definíciu
bezpečnostných
hrozieb,
e)identifikáciu
potrebných
zdrojov,
f)určenie
vzdelávacích
programov,
programov
na
budovanie
bezpečnostného
povedomia,
zvyšovanie
informovanosti
a
odbornej
prípravy,
g)určenie
plánov
výskumu
a
vývoja,
h)plán
posudzovania
rizika
na
účely
identifikácie
rizík,
i)zoznam
subjektov
zapojených
do
vykonávania
národnej
stratégie
kybernetickej
bezpečnosti,
j)určenie
hlavných
zahraničnopolitických
partnerov.
(3)
Ústredný
orgán
a
iný
orgán
štátnej
správy
spolupracujú
s
úradom
na
vypracovaní
národnej
stratégie
kybernetickej
bezpečnosti
a
na
tento
účel
sú
povinné
poskytnúť
mu
informácie
v
potrebnom
rozsahu.
(4)
Národnú
stratégiu
kybernetickej
bezpečnosti
schvaľuje
vláda
Slovenskej
republiky.
Jednotný informačný systém kybernetickej bezpečnosti
(1)
Jednotný
informačný
systém
kybernetickej
bezpečnosti
je
informačný
systém,
ktorého
správcom
a
prevádzkovateľom
je
úrad
a
ktorý
slúži
na
efektívne
riadenie,
koordináciu,
evidenciu
a
kontrolu
výkonu
štátnej
správy
v
oblasti
kybernetickej
bezpečnosti
a
jednotiek
CSIRT.
Jednotný
informačný
systém
kybernetickej
bezpečnosti
je
určený
aj
na
spracovanie
a
vyhodnocovanie
údajov
a
informácií
o
stave
kybernetickej
bezpečnosti
a
slúži
pri
krízovom
plánovaní
v
čase
mieru,
riadení
štátu
v
krízových
situáciách
mimo
času
vojny
a
vojnového
stavu,
11
)
ako
aj
na
potrebné
činnosti
v
čase
vojny
alebo
vojnového
stavu.
(2)
Jednotný
informačný
systém
kybernetickej
bezpečnosti
obsahuje
komunikačný
systém
pre
hlásenie
a
riešenie
kybernetických
bezpečnostných
incidentov
a
centrálny
systém
včasného
varovania.
Jednotný
informačný
systém
pozostáva
z
verejnej
časti
a
neverejnej
časti
a
prístup
k
nemu
je
bezodplatný.
Verejná
časť
jednotného
informačného
systému
kybernetickej
bezpečnosti
obsahuje
a)register
ústredných
orgánov,
b)zoznam
základných
služieb,
c)register
prevádzkovateľov
základných
služieb,
d)zoznam
digitálnych
služieb,
e)register
poskytovateľov
digitálnych
služieb,
f)register
kybernetických
bezpečnostných
incidentov,
g)zoznam
akreditovaných
jednotiek
CSIRT,
h)metodiky,
usmernenia,
štandardy,
politiky
a
oznamy,
i)informácie
a
údaje
potrebné
na
používanie
jednotného
informačného
systému
kybernetickej
bezpečnosti,
j)výstrahy
a
varovania
a
ďalšie
informácie
slúžiace
na
minimalizovanie,
odvrátenie
alebo
nápravu
následkov
kybernetického
bezpečnostného
incidentu.
(3)
Komunikačný
systém
pre
hlásenie
a
riešenie
kybernetických
bezpečnostných
incidentov
je
jednotku
CSIRT
v
pôsobnosti
ústredného
orgánu,
ak
sa
tak
zmluvne
dohodnú.
Kybernetická bezpečnosť iného orgánu štátnej správy
Na
účely
zaistenia
kontinuity
a
riadenia
rizík
súvisiacich
so
zabezpečením
sietí
a
informačných
systémov,
ktoré
nie
sú
základnou
službou
a
procesu
riešenia
kybernetických
bezpečnostných
incidentov,
iný
orgán
štátnej
správy
a
ústredný
orgán
v
rozsahu
svojej
pôsobnosti
zodpovedá
za
zabezpečenie
kybernetickej
bezpečnosti
tým,
že
prijíma
a
dodržiava
vhodné
a
primerané
bezpečnostné
opatrenia
podľa
§
20.
(1)
O
r
g
á
n
v
e
r
e
j
n
e
j
moci,
prevádzkovateľ
základnej
služby
a
právnická
osoba
v
sektore
podľa
prílohy
č.
1
sú
povinní
poskytnúť
úradu
na
plnenie
jeho
úloh
pri
riešení
kybernetického
bezpečnostného
incidentu
podľa
tohto
zákona
požadovanú
súčinnosť
a
informácie
získané
z
vlastnej
činnosti
dôležité
na
zabezpečenie
kybernetickej
bezpečnosti
a
riešenie
kybernetického
bezpečnostného
incidentu;
informácie
sa
poskytujú
len
za
podmienky,
že
sú
nevyhnutné
pre
riešenie
kybernetického
bezpečnostného
incidentu
a
ich
poskytnutím
nedôjde
k
ohrozeniu
plnenia
konkrétnej
úlohy
podľa
osobitného
predpisu
13a
)
alebo
spravodajskej
služby
podľa
osobitného
predpisu
13
)
alebo
k
odhaleniu
jej
zdrojov,
prostriedkov,
totožnosti
osôb,
ktoré
konajú
v
jej
prospech,
alebo
k
ohrozeniu
medzinárodnej
spravodajskej
spolupráce.
(2)
Žiadosť
o
súčinnosť
musí
byť
riadne
odôvodnená
a
musí
obsahovať
konkrétny
rozsah
požadovanej
súčinnosti
podľa
tohto
zákona.
Vládna jednotka CSIRT
Zriaďuje
sa
vládna
jednotka
CSIRT
v
pôsobnosti
Ministerstva
investícií,
regionálneho
rozvoja
a
informatizácie
Slovenskej
republiky
pre
podsektor
informačné
systémy
verejnej
správy.
Vládna
jednotka
CSIRT
musí
spĺňať
podmienky
akreditácie
podľa
§
14
a
plniť
úlohy
podľa
§
15.
Vládna
jednotka
CSIRT
sa
zaraďuje
do
zoznamu
akreditovaných
jednotiek
CSIRT.
Mlčanlivosť a ochrana osobných údajov
(1)
Kto
plní
alebo
plnil
úlohy
na
základe
tohto
zákona
alebo
v
súvislosti
s
ním,
je
povinný
zachovávať
mlčanlivosť
o
skutočnostiach,
o
ktorých
sa
v
súvislosti
s
plnením
úloh
podľa
tohto
zákona
dozvedel
a
ktoré
nie
sú
verejne
známe.
Povinnosť
zachovávať
mlčanlivosť
trvá
aj
po
skončení
dohody
o
spolupráci
podľa
§
5
ods.
3,
pracovnoprávneho
vzťahu
alebo
obdobného
pracovného
vzťahu
vrátane
služobného
pomeru.
14
)
Ustanoveniami
o
povinnosti
zachovávať
mlčanlivosť
podľa
tohto
zákona
nie
je
dotknutá
povinnosť
mlčanlivosti
alebo
zachovania
tajomstva
podľa
osobitných
predpisov.
15
)
(2)
O
zbavení
povinnosti
mlčanlivosti
osoby
podľa
odseku
1
rozhodne
v
pôsobnosti
b)iného
subjektu
štatutárny
orgán.
(3)
N
a
účely
konania
pred
orgánom
verejnej
moci,
na
účely
trestného
konania,
oznamovania
skutočnosti
nasvedčujúcej
tomu,
že
bol
spáchaný
trestný
čin,
alebo
oznamovania
kriminality
alebo
inej
protispoločenskej
činnosti
16
)
sa
povinnosť
zachovávať
mlčanlivosť
podľa
odseku
1
nevzťahuje
na
prevádzkovateľa
základnej
služby
a
poskytovateľa
digitálnej
služby
a
jeho
zamestnancov.
(4)
Oznamovanie
kybernetických
bezpečnostných
incidentov
v
rozsahu
podľa
tohto
zákona,
informovanie
o
hlásenom
kybernetickom
bezpečnostnom
incidente,
úkony
súvisiace
s
riešením
kybernetických
bezpečnostných
incidentov,
vyhlásenie
výstrahy
a
varovania
spôsobom
podľa
tohto
zákona
nie
je
porušením
povinnosti
zachovávať
mlčanlivosť
podľa
tohto
zákona
a
podľa
osobitných
predpisov.
15
)
(5)
Za
škodu
spôsobenú
prevádzkovateľom
základnej
služby,
poskytovateľom
digitálnej
služby,
ich
zamestnancom
alebo
osobe
oznamujúcej
kybernetický
bezpečnostný
incident,
ktorá
vznikla
oznámením
podľa
odseku
4,
zodpovedá
úrad.
(6)
Na
účely
riešenia
kybernetického
bezpečnostného
incidentu
v
rozsahu
potrebnom
na
jeho
identifikáciu
a
zabezpečenia
kybernetickej
bezpečnosti
úrad
v
záujme
národnej
bezpečnosti
spracováva
v
jednotnom
informačnom
systéme
kybernetickej
bezpečnosti
na
čas
nevyhnutne
potrebný
osobné
údaje
spôsobom
podľa
osobitného
predpisu.
17
)
(7)
Úrad
zabezpečí
nepretržitú
ochranu
osobných
údajov
a
informácií
spracúvaných
podľa
tohto
zákona
pred
nezákonným
vyzradením,
zneužitím,
poškodením,
neoprávneným
zničením,
odcudzením
a
stratou
spôsobom
podľa
osobitného
predpisu.
18
)
(8)
Informácie
a
osobné
údaje
získané
na
základe
tohto
zákona
alebo
v
súvislosti
s
ním
môže
úrad
použiť
len
na
plnenie
úloh
podľa
tohto
zákona.
Akreditácia jednotky CSIRT
(1)
Zhodu
jednotky
CSIRT
s
podmienkami
akreditácie
jednotky
CSIRT
posudzuje
úrad
na
základe
žiadosti.
(2)
Žiadosť
podľa
odseku
1
predkladá
úradu
v
elektronickej
podobe
orgán
verejnej
moci,
ktorý
k
žiadosti
prikladá
dokumentáciu
preukazujúcu
splnenie
podmienok
akreditácie
jednotky
CSIRT.
(3)
Konanie
podľa
odseku
1
sa
začína
dňom
doručenia
žiadosti
úradu
podľa
odseku
2.
Ak
žiadosť
nie
je
úplná,
úrad
vyzve
žiadateľa
na
jej
doplnenie
v
určenej
lehote,
ktorá
nesmie
byť
kratšia
ako
desať
dní.
Ak
žiadateľ
žiadosť
v
stanovenej
lehote
nedoplní
požadovaným
spôsobom,
úrad
na
žiadosť
ďalej
neprihliada.
(4)
Úrad
o
akreditácii
rozhodne
do
90
dní
odo
dňa
doručenia
úplnej
žiadosti,
a
ak
posúdi
splnenie
zhody
jednotky
CSIRT
s
podmienkami
akreditácie
jednotky
CSIRT,
vydá
rozhodnutie
o
akreditácii.
Rozhodnutie
o
akreditácii
sa
vydáva
na
dobu
určitú,
najviac
na
päť
rokov.
(5)
Úrad
môže
na
základe
žiadosti
opakovane
predĺžiť
platné
rozhodnutie
o
akreditácii,
ak
nenastala
zmena
podmienok,
na
základe
ktorých
bolo
rozhodnutie
o
akreditácii
vydané.
Žiadosť
podľa
predchádzajúcej
vety
sa
predkladá
úradu
najmenej
šesť
mesiacov
pred
uplynutím
doby
platnosti
rozhodnutia
o
akreditácii,
ktoré
sa
má
predĺžiť.
Na
konanie
a
na
podanie
žiadosti
sa
primerane
vzťahujú
odseky
2
až
4.
Ak
úrad
predĺženie
akreditácie
uzná,
vydá
o
tom
rozhodnutie
podľa
odseku
4
s
doložkou
„predĺženie“.
(6)
Úrad
na
základe
žiadosti
uzná
aj
akreditáciu
jednotky
CSIRT,
ktorá
bola
akreditovaná
podľa
predpisov
iného
štátu
alebo
medzinárodnej
organizácie,
ak
je
preukázateľne
zabezpečené
splnenie
podmienok
akreditácie
jednotky
CSIRT;
podmienka
podľa
§
14
písm.
a)
sa
nepreukazuje.
Na
konanie
a
na
podanie
žiadosti
sa
primerane
vzťahujú
odseky
2
až
4.
Úrad
o
akreditácii
vydá
rozhodnutie
podľa
odseku
4
s
doložkou
„uznanie“
najviac
na
dobu
platnosti,
na
ktorú
bola
jednotka
CSIRT
akreditovaná
podľa
predpisov
iného
štátu
alebo
medzinárodnej
organizácie.
(7)
Úrad
jednotku
CSIRT
akreditovanú
spôsobom
podľa
tohto
zákona
zaradí
do
zoznamu
akreditovaných
jednotiek
CSIRT.
Podmienky akreditácie jednotky CSIRT
Žiadateľ
o
akreditáciu
jednotky
CSIRT
podľa
§
13
dokumentáciou
preukazuje,
že
jednotka
CSIRT
a)má
požadované
technické,
technologické
a
personálne
vybavenie
podľa
všeobecne
záväzného
právneho
predpisu,
ktorý
vydá
úrad,
b)má
vytvorené
podmienky
umožňujúce
chránený
prenos
a
spracovanie
údajov
spôsobom
podľa
osobitného
predpisu,
19
)
c)chráni
informácie
a
údaje,
ktoré
v
súvislosti
s
plnením
povinností
podľa
tohto
zákona
získava
a
spracováva
ich
tak,
aby
nebola
narušená
ich
dostupnosť,
dôvernosť,
autentickosť
a
integrita,
20
)
d)má
umiestnenú
dokumentáciu,
informačné
systémy
a
ostatné
informačno-komunikačné
technológie
v
zabezpečenom
priestore
tak,
aby
nebola
narušená
ich
dôvernosť,
autentickosť
a
integrita.
20
)
Úlohy jednotky CSIRT
(1)
Ten,
kto
plní
úlohy
jednotky
CSIRT
v
rozsahu
svojej
pôsobnosti
určenej
podľa
prílohy
č.
1,
zodpovedá
za
riešenie
kybernetických
bezpečnostných
incidentov
a
vykonáva
preventívne
služby
a
reaktívne
služby.
(2)
Preventívne
služby
sa
zameriavajú
na
prevenciu
kybernetických
bezpečnostných
incidentov
a)vytváraním
bezpečnostného
povedomia,
c)spoluprácou
s
ostatnými
jednotkami
CSIRT,
d)monitorovaním
a
evidenciou
kybernetických
bezpečnostných
incidentov,
e)pripojením
na
jednotný
informačný
systém
kybernetickej
bezpečnosti,
f)poskytovaním
informácií
a
údajov
do
jednotného
informačného
systému
kybernetickej
bezpečnosti,
g)prijímaním
a
zasielaním
včasného
varovania
pred
kybernetickými
bezpečnostnými
incidentmi
prostredníctvom
jednotného
informačného
systému
kybernetickej
bezpečnosti.
(3)
Reaktívne
služby
sa
zameriavajú
na
riešenie
kybernetických
bezpečnostných
incidentov
a
sú
nimi
najmä
b)detekcia
kybernetických
bezpečnostných
incidentov,
c)analýza
kybernetických
bezpečnostných
incidentov,
d)odozva,
ohraničenie,
riešenie
a
náprava
následkov
kybernetických
bezpečnostných
incidentov,
e)asistencia
pri
riešení
kybernetického
bezpečnostného
incidentu
na
mieste,
f)reakcia
na
kybernetický
bezpečnostný
incident,
g)podpora
reakcií
na
kybernetické
bezpečnostné
incidenty,
h)koordinácia
reakcií
na
kybernetické
bezpečnostné
incidenty,
i)návrh
opatrení
na
zabránenie
ďalšiemu
pokračovaniu,
šíreniu
a
opakovanému
výskytu
kybernetických
bezpečnostných
incidentov.
(4)
Reaktívne
služby
vykonáva
jednotka
CSIRT
za
účasti
prevádzkovateľa
základnej
služby
alebo
poskytovateľa
digitálnej
služby.
Povinnosti toho, kto plní úlohy jednotky CSIRT
(1)
Ten,
kto
plní
úlohy
jednotky
CSIRT,
a)musí
zabezpečiť,
aby
jednotka
CSIRT
v
jeho
pôsobnosti,
ktorá
je
zaradená
v
zozname
akreditovaných
jednotiek
CSIRT,
nepretržite
počas
celej
doby
svojej
prevádzky
spĺňala
podmienky
akreditácie
jednotky
CSIRT
podľa
§
14
a
zároveň
plnila
všetky
úlohy
podľa
§
15,
b)oznamuje
úradu
všetky
zmeny,
ktoré
majú
vplyv
na
akreditáciu
jednotky
CSIRT
bezodkladne
po
tom,
ako
nastali,
c)si
vyžiada
vyjadrenie
Národnej
banky
Slovenska
alebo
Európskej
centrálnej
banky
k
postupu
ústredného
orgánu
pri
plnení
úloh
podľa
tohto
zákona,
ak
prevádzkovateľom
základnej
služby
je
dohliadaný
subjekt
finančného
trhu,
21
)
nad
ktorým
vykonáva
dohľad
Národná
banka
Slovenska
podľa
osobitných
predpisov
22
)
alebo
nad
ktorým
vykonáva
dohľad
Európska
centrálna
banka
podľa
osobitného
predpisu.
22a
)
(2)
Ak
akreditovaná
jednotka
CSIRT
prestane
spĺňať
podmienky
podľa
§
14
alebo
ak
neplní
úlohy
podľa
§
15,
ten,
kto
plní
úlohy
jednotky
CSIRT,
to
bezodkladne
oznámi
úradu;
úrad
na
základe
oznámenia
podľa
predchádzajúcej
vety
zruší
rozhodnutie
o
akreditácii
a
jednotku
CSIRT
vyradí
zo
zoznamu
akreditovaných
jednotiek
CSIRT.
(3)
Úrad
môže
na
základe
vlastného
zistenia
oboznámiť
toho,
kto
plní
úlohy
jednotky
CSIRT
o
nedostatkoch
v
plnení
podmienok
podľa
§
14
alebo
úloh
podľa
§
15
s
uvedením
lehoty
na
ich
odstránenie.
Ak
nedostatky
podľa
prechádzajúcej
vety
na
základe
oznámenia
úradu
neodstráni
v
určenej
lehote,
úrad
zruší
rozhodnutie
o
akreditácii
a
jednotku
CSIRT
vyradí
zo
zoznamu
akreditovaných
jednotiek
CSIRT.
Základná služba, prevádzkovateľ základnej služby a zaradenie do zoznamu základných služieb
(1)
Ak
prevádzkovateľ
služby
v
sektore
podľa
prílohy
č.
1
zistí,
že
došlo
k
prekročeniu
identifikačných
kritérií
prevádzkovanej
služby
podľa
§
18,
je
povinný
to
oznámiť
úradu
do
30
dní
odo
dňa,
keď
prekročenie
zistil,
najneskôr
však
do
60
dní,
odkedy
k
prekročeniu
došlo.
(2)
Úrad
zaradí
základnú
službu
podľa
§
3
písm.
l)
prvého
bodu
do
zoznamu
základných
služieb
a
jej
prevádzkovateľa
do
registra
prevádzkovateľov
základných
služieb
a)na
základe
oznámenia
prevádzkovateľom
tejto
služby
podľa
odseku
1,
b)na
základe
podnetu
ústredného
orgánu,
ak
došlo
k
prekročeniu
identifikačných
kritérií
prevádzkovanej
služby
podľa
§
18,
c)z
vlastnej
iniciatívy,
ak
sa
úrad
dozvedel
o
prekročení
identifikačných
kritérií
prevádzkovanej
služby
podľa
§
18
a
nedošlo
k
postupu
podľa
písmena
a)
alebo
písmena
b).
(3)
Úrad
zaradí
základnú
službu
podľa
§
3
písm.
l)
druhého
bodu
do
zoznamu
základných
služieb
a
jej
prevádzkovateľa
do
registra
prevádzkovateľov
základných
služieb
zo
zákona.
(4)
Oznámenie
podľa
odseku
1
musí
obsahovať
c)zoznam
služieb,
ktorých
sa
prekročenie
identifikačných
kritérií
týka,
d)informáciu
o
možnom
alebo
existujúcom
cezhraničnom
presahu
služby,
e)percentuálny
podiel
služby
na
trhu,
f)geografické
rozšírenie
služby,
g)informáciu
o
alternatívnych
možnostiach
zachovania
kontinuity
služby
v
prípade
kybernetického
bezpečnostného
incidentu.
(5)
Zaradenie
služby
do
zoznamu
základných
služieb
a
jej
prevádzkovateľa
do
registra
prevádzkovateľov
základných
služieb
oznámi
úrad
prevádzkovateľovi
tejto
služby
prostredníctvom
informačného
systému
kybernetickej
bezpečnosti.
Identifikačné kritériá prevádzkovanej služby
(1)
Identifikačné
kritériá
prevádzkovanej
služby
sú
dopadové
kritériá
a
špecifické
sektorové
kritériá.
(2)
Dopadové
kritériá
sú
určené
všeobecne
záväzným
právnym
predpisom,
ktorý
vydá
úrad,
a
zohľadňujú
najmä
a)počet
používateľov
využívajúcich
základnú
službu,
b)závislosť
ostatných
sektorov
podľa
prílohy
č.
1
od
základnej
služby,
c)vplyv,
ktorý
by
mohli
mať
kybernetické
bezpečnostné
incidenty
z
hľadiska
rozsahu
a
trvania
na
hospodárske
a
spoločenské
činnosti
a
záujmy
štátu
alebo
na
bezpečnosť
štátu,
d)trhový
podiel
prevádzkovateľa
služby,
e)geografické
rozšírenie
z
hľadiska
oblasti,
ktorú
by
kybernetický
bezpečnostný
incident
mohol
postihnúť,
f)význam
prevádzkovateľa
základnej
služby
z
hľadiska
zachovania
kontinuity
poskytovania
služby.
(3)
Špecifické
sektorové
kritériá
zohľadňujú
kritériá
určené
všeobecne
záväzným
právnym
predpisom,
ktorý
vydá
úrad.
(4)
Ak
prevádzkovateľ
služby
podľa
prílohy
č.
1
zistí,
že
došlo
k
prekročeniu
špecifických
sektorových
kritérií,
oznámi
to
úradu
do
30
dní
odo
dňa,
keď
prekročenie
zistil
v
rozsahu
podľa
§
17
ods.
4
aj
v
prípade,
ak
neprekročí
dopadové
kritériá.
Povinnosti prevádzkovateľa základnej služby
(1)
Prevádzkovateľ
základnej
služby
je
povinný
do
12
mesiacov
odo
dňa
oznámenia
o
zaradení
do
registra
prevádzkovateľov
základných
služieb
prijať
a
dodržiavať
všeobecné
bezpečnostné
opatrenia
najmenej
v
rozsahu
bezpečnostných
opatrení
podľa
§
20
a
sektorové
bezpečnostné
opatrenia,
ak
sú
prijaté.
(2)
Prevádzkovateľ
základnej
služby
je
povinný
pri
výkone
činnosti,
ktorá
priamo
súvisí
s
dostupnosťou,
dôvernosťou
a
integritou
prevádzky
sietí
a
informačných
systémov
prevádzkovateľa
základnej
služby
prostredníctvom
tretej
strany,
uzatvoriť
zmluvu
o
zabezpečení
štátom
Európskej
únie
a
Organizácie
Severoatlantickej
zmluvy
(ďalej
len
„cudzí
štát“),
c)analýzu
vlastníckej
štruktúry
a
riadiacej
štruktúry
tretej
strany
vrátane
vlastníckeho
podielu
cudzieho
štátu
a
priamych
zahraničných
investícií
do
tretej
strany,
d)analýzu
právnych
predpisov
a
medzinárodných
záväzkov
cudzieho
štátu
v
oblasti
ochrany
základných
ľudských
práv
a
slobôd,
kybernetickej
bezpečnosti,
boja
proti
počítačovej
kriminalite,
ochrany
osobných
údajov
a
ochrany
informácií,
e)informácie
špecifické
pre
cudzí
štát
a
informácie
spravodajskej
služby
o
možných
hrozbách
pre
záujmy
Slovenskej
republiky.
Politické
riziká
schvaľuje
vláda
Slovenskej
republiky
na
základe
stanoviska
úradu.
Stanovisko
úradu
sa
predkladá
Bezpečnostnej
rade
Slovenskej
republiky.
Politické
riziká
úrad
zverejňuje
v
jednotnom
informačnom
systéme
kybernetickej
bezpečnosti.
Úrad
v
analýze
politického
rizika
zohľadní
vyjadrenie
Ministerstva
zahraničných
vecí
a
európskych
záležitostí
Slovenskej
republiky,
Ministerstva
hospodárstva
Slovenskej
republiky,
Ministerstva
vnútra
Slovenskej
republiky,
Slovenskej
informačnej
služby
a
Ministerstva
obrany
Slovenskej
republiky
z
oblasti
ich
pôsobnosti.
(6)
Bezpečnostné
opatrenia
sa
prijímajú
a
realizujú
na
základe
schválenej
bezpečnostnej
dokumentácie,
ktorá
musí
byť
aktuálna
a
musí
zodpovedať
reálnemu
stavu.
(7)
Povinnosť
dodržiavať
všeobecné
bezpečnostné
opatrenia
a
sektorové
bezpečnostné
opatrenia
v
rozsahu
podľa
tohto
zákona
a
všeobecne
záväzných
právnych
predpisov
vydaných
na
jeho
vykonanie
sa
vzťahuje
aj
na
právne
vzťahy,
o
ktorých
tak
ustanoví
osobitný
predpis.
Digitálna služba a poskytovateľ digitálnej služby
(1)
Poskytovateľ
digitálnej
služby
je
povinný
do
30
dní
odo
dňa
začatia
poskytovania
digitálnej
služby
oznámiť
úradu
d)názov,
sídlo
a
kontaktné
údaje
zástupcu
podľa
§
23.
(2)
Na
základe
oznámenia
podľa
odseku
1
úrad
zaradí
službu
do
zoznamu
digitálnych
služieb
a
jej
poskytovateľa
do
registra
poskytovateľov
digitálnych
služieb.
(3)
Úrad
zaradí
službu
do
zoznamu
digitálnych
služieb
a
jej
poskytovateľa
do
registra
poskytovateľov
digitálnych
služieb
aj
na
základe
vlastného
zistenia.
(4)
Zaradenie
služby
do
zoznamu
digitálnych
služieb
a
jej
poskytovateľa
do
registra
poskytovateľov
digitálnych
služieb
oznámi
úrad
poskytovateľovi
tejto
služby.
(5)
Poskytovateľ
digitálnej
služby
je
povinný
hlásiť
zmeny
v
údajoch
podľa
odseku
1
do
30
dní
odo
dňa
ich
vzniku.
Povinnosti poskytovateľa digitálnej služby
(1)
Poskytovateľ
digitálnej
služby
je
povinný
do
šiestich
mesiacov
odo
dňa
oznámenia
o
zaradení
do
registra
poskytovateľov
digitálnych
služieb
prijať
a
dodržiavať
vhodné
a
primerané
bezpečnostné
opatrenia
podľa
osobitného
predpisu
24
)
na
účely
riadenia
rizík
súvisiacich
s
ohrozením
kontinuity
digitálnej
služby
a
procesu
riešenia
kybernetických
bezpečnostných
incidentov.
Na
tento
účel
je
poskytovateľ
digitálnej
služby
povinný
vyčleniť
dostatočné
personálne,
materiálno-technické,
časové
a
finančné
zdroje
s
cieľom
zabezpečenia
kontinuity
digitálnej
služby.
(2)
Poskytovateľ
digitálnej
služby
na
účely
splnenia
povinnosti
podľa
odseku
1
posudzuje
najmä
a)bezpečnosť
sietí
a
informačného
systému
a
jeho
schopnosť
predchádzať
a
riešiť
kybernetický
bezpečnostný
incident,
b)spôsob
zachovania
kontinuity
digitálnej
služby
v
prípade
kybernetického
bezpečnostného
incidentu,
c)súlad
sietí
a
informačného
systému
s
bezpečnostnými
štandardmi
v
oblasti
kybernetickej
bezpečnosti.
(3)
Poskytovateľ
digitálnej
služby
je
povinný
a)hlásiť
každý
kybernetický
bezpečnostný
incident,
ak
disponuje
informáciami,
na
základe
ktorých
je
spôsobilý
identifikovať,
či
má
tento
kybernetický
bezpečnostný
incident
podstatný
vplyv
podľa
osobitného
predpisu,
24
)
a
to
bezodkladne
po
jeho
zistení,
b)riešiť
hlásený
kybernetický
bezpečnostný
incident,
c)spolupracovať
s
úradom
pri
riešení
hláseného
kybernetického
bezpečnostného
incidentu.
(4)
O
hlásenom
kybernetickom
bezpečnostnom
incidente
v
nevyhnutnom
rozsahu
informuje
poskytovateľ
digitálnej
služby
tretiu
stranu,
ak
by
sa
plnenie
zmluvy
stalo
nemožným,
ak
úrad
nerozhodne
inak.
Povinnosť
zachovávať
mlčanlivosť
tým
nie
je
dotknutá.
Zástupca poskytovateľa digitálnej služby
(1)
Zástupcom
poskytovateľa
digitálnej
služby
je
právnická
osoba,
ktorá
má
sídlo
v
Slovenskej
republike,
alebo
fyzická
osoba
–
podnikateľ,
ktorá
má
miesto
podnikania
v
Slovenskej
republike,
ak
odsek
2
neustanovuje
inak,
a
ktorá
je
poskytovateľom
digitálnej
služby
písomne
poverená
konať
v
jeho
mene
a
na
jeho
zodpovednosť
vo
vzťahu
k
povinnostiam
podľa
tohto
zákona.
(2)
Ak
poskytovateľ
digitálnej
služby,
ktorý
poskytuje
digitálnu
službu
v
Slovenskej
republike,
nemá
sídlo
v
Európskej
únii
a
neustanovil
si
svojho
zástupcu
v
inom
členskom
štáte
Európskej
únie,
je
povinný
si
ustanoviť
svojho
zástupcu
v
Slovenskej
republike.
(3)
Ak
má
poskytovateľ
digitálnej
služby
sídlo
v
Slovenskej
republike
alebo
tu
má
ustanoveného
zástupcu,
ale
jeho
siete
a
informačné
systémy
sa
nachádzajú
v
inom
členskom
štáte
Európskej
únie,
úrad
pri
výkone
štátnej
správy
spolupracuje
s
príslušným
orgánom
členského
štátu
Európskej
únie.
Hlásenie kybernetických bezpečnostných incidentov prevádzkovateľom základnej služby
(1)
Prevádzkovateľ
základnej
služby
je
povinný
hlásiť
každý
závažný
kybernetický
bezpečnostný
incident,
ktorý
identifikuje
na
základe
presiahnutia
kritérií
pre
jednotlivé
kategórie
závažných
kybernetických
bezpečnostných
incidentov.
(2)
Závažný
kybernetický
bezpečnostný
incident
sa
člení
na
kategóriu
prvého
(I)
stupňa,
druhého
(II)
stupňa
a
tretieho
(III)
stupňa
v
závislosti
od
a)počtu
používateľov
základnej
služby
alebo
digitálnej
služby
zasiahnutých
kybernetickým
bezpečnostným
incidentom,
b)dĺžky
trvania
kybernetického
bezpečnostného
incidentu,
c)geografického
rozšírenia
kybernetického
bezpečnostného
incidentu,
d)stupňa
narušenia
fungovania
základnej
služby
alebo
digitálnej
služby,
e)rozsahu
vplyvu
kybernetického
bezpečnostného
incidentu
na
hospodárske
alebo
spoločenské
činnosti
štátu.
(3)
Ak
prevádzkovateľ
základnej
služby
využíva
na
poskytovanie
základnej
služby
poskytovateľa
digitálnej
služby,
je
poskytovateľ
digitálnej
služby
povinný
hlásiť
každý
závažný
kybernetický
bezpečnostný
incident,
ktorý
postihol
poskytovateľa
digitálnej
služby.
(4)
Hlásenie
kybernetických
bezpečnostných
incidentov
sa
vykonáva
prostredníctvom
jednotného
informačného
systému
kybernetickej
bezpečnosti.
(5)
Ak
do
okamihu
hlásenia
kybernetického
bezpečnostného
incidentu
nepominuli
jeho
účinky,
prevádzkovateľ
základnej
služby
je
povinný
odoslať
neúplné
hlásenie
kybernetického
bezpečnostného
incidentu,
v
ktorom
vyznačí
identifikátor
neukončeného
hlásenia,
a
bezodkladne
po
obnove
riadnej
prevádzky
siete
a
informačného
systému
toto
hlásenie
doplní.
(6)
Na
hlásenie
kybernetických
bezpečnostných
incidentov
alebo
na
zaistenie
kybernetickej
bezpečnosti
môže
úrad
namiesto
postupu
podľa
§
8
ods.
6
uzatvoriť
písomnú
zmluvu
o
spôsobe
a
forme
hlásenia
kybernetických
bezpečnostných
incidentov
s
prevádzkovateľom
základnej
služby.
Automatizované poskytovanie informácií
(1)
Ak
je
to
vzhľadom
na
povahu
alebo
dôležitosť
základnej
služby
potrebné
a
nedôjde
k
uzatvoreniu
zmluvy
podľa
§
24
ods.
6,
úrad
môže
rozhodnutím
uložiť
prevádzkovateľovi
základnej
služby
povinnosť
automatizovaným
spôsobom
vyhodnocovať
výskyt
kybernetického
bezpečnostného
incidentu
a
nahlasovať
kybernetický
bezpečnostný
incident.
Na
tento
účel
zverejňuje
úrad
výstrahy,
varovania
a
ďalšie
informácie
v
jednotnom
informačnom
systéme
kybernetickej
bezpečnosti.
Náklady
spojené
s
technickým
zabezpečením
vyhodnocovania
a
nahlasovania
kybernetického
bezpečnostného
incidentu
znáša
úrad.
(2)
Povinnosť
podľa
odseku
1
nie
je
možné
uložiť,
ak
ide
o
siete
a
informačné
systémy,
ktoré
sa
týkajú
zabezpečenia
obrany
alebo
bezpečnosti
Slovenskej
republiky.
(3)
Úrad
rozhodnutím
podľa
odseku
1
určí
prevádzkovateľa
základnej
služby,
ktorého
sa
povinnosť
týka,
spôsob
poskytovania
a
rozsah
informácií,
ktoré
sa
týkajú
automatizovaného
spôsobu
vyhodnocovania
výskytu
kybernetického
bezpečnostného
incidentu
a
nahlasovania
kybernetického
bezpečnostného
incidentu
a
trvanie
tejto
povinnosti.
Rozhodnutie
sa
môže
týkať
len
takých
informácií,
ktoré
sú
nevyhnutné
pre
zabezpečenie
kybernetickej
bezpečnosti
a
riešenie
kybernetického
bezpečnostného
incidentu,
ak
tento
účel
nemožno
dosiahnuť
inak.
(4)
Obsah
komunikácie
a
prenášaných
správ
a
ochrana
súkromia
podľa
osobitného
predpisu
28a
)
plnením
povinností
podľa
odseku
1
nie
sú
dotknuté.
Hlásenie kybernetických bezpečnostných incidentov poskytovateľom digitálnej služby
(1)
Poskytovateľ
digitálnej
služby
je
povinný
hlásiť
kybernetický
bezpečnostný
incident
podľa
§
22
ods.
3
písm.
a)
spôsobom
podľa
§
24
ods.
4.
(2)
Ak
do
okamihu
hlásenia
kybernetického
bezpečnostného
incidentu
nepominuli
jeho
účinky,
poskytovateľ
digitálnej
služby
je
povinný
odoslať
neúplné
hlásenie
kybernetického
bezpečnostného
incidentu,
v
ktorom
vyznačí
identifikátor
neukončeného
hlásenia,
a
bezodkladne
po
obnove
riadnej
prevádzky
siete
a
informačného
systému
toto
hlásenie
doplní.
(3)
Na
účely
hlásenia
kybernetických
bezpečnostných
incidentov
a
zaistenia
funkcionality
jednotného
informačného
systému
kybernetickej
bezpečnosti
môže
úrad
namiesto
postupu
uvedeného
v
§
8
ods.
6
uzatvoriť
písomnú
zmluvu
o
spôsobe
a
forme
hlásenia
kybernetických
bezpečnostných
incidentov
s
poskytovateľom
digitálnej
služby.
Dobrovoľné hlásenie kybernetických bezpečnostných incidentov
(1)
Dobrovoľné
hlásenie
kybernetických
bezpečnostných
incidentov
bez
ohľadu
na
kategorizáciu
kybernetického
bezpečnostného
incidentu
sa
vykonáva
prostredníctvom
jednotného
informačného
systému
kybernetickej
bezpečnosti.
(2)
Úrad
spracováva
a
analyzuje
dobrovoľné
hlásenia
kybernetických
bezpečnostných
incidentov
v
rozsahu,
v
akom
to
úradu
umožňujú
technické
podmienky
a
kapacity
tak,
aby
nedošlo
k
neprimeranému
zaťažovaniu
subjektov
a
neobmedzovala
sa
medzinárodná
spolupráca.
Riešenie kybernetických bezpečnostných incidentov
(1)
V
prípade
závažného
kybernetického
bezpečnostného
incidentu
alebo
jeho
hrozby
môže
úrad
a)vyhlásiť
výstrahu
a
varovanie
pred
závažným
kybernetickým
bezpečnostným
incidentom,
b)uložiť
povinnosť
riešiť
kybernetický
bezpečnostný
incident,
c)uložiť
povinnosť
vykonať
reaktívne
opatrenie,
d)požadovať
návrh
opatrení
a
vykonanie
opatrení
určených
na
zabránenie
ďalšieho
pokračovania,
šírenia
a
opakovaného
výskytu
závažného
kybernetického
bezpečnostného
incidentu
(ďalej
len
(2)
Výstrahu
a
varovanie
vyhlasuje
úrad
prostredníctvom
jednotného
informačného
systému
kybernetickej
bezpečnosti.
Ak
ide
o
naliehavý
verejný
záujem,
výstraha
a
varovanie
sa
vyhlási
aj
prostredníctvom
hromadných
oznamovacích
prostriedkov
25
)
a
na
ústrednom
portáli
verejnej
správy.
(3)
Povinnosť
riešiť
kybernetický
bezpečnostný
incident
ukladá
úrad
rozhodnutím
tomu,
kto
plní
úlohy
jednotky
CSIRT,
prevádzkovateľovi
základnej
služby
a
poskytovateľovi
digitálnej
služby.
(4)
Reaktívne
opatrenie
je
priama
odpoveď
na
závažný
kybernetický
bezpečnostný
incident
a
zabezpečuje
sa
službami
podľa
§
15
ods.
3
písm.
b)
až
g).
(5)
Povinnosť
vykonať
reaktívne
opatrenie
ukladá
úrad
rozhodnutím
prevádzkovateľovi
základnej
služby
alebo
poskytovateľovi
digitálnej
služby,
ktorí
sú
pri
riešení
závažného
kybernetického
bezpečnostného
incidentu
nečinní,
alebo
ak
riešenie
závažného
kybernetického
bezpečnostného
incidentu
je
zjavne
neúspešné.
Poskytovateľovi
digitálnej
služby
možno
uložiť
povinnosť
vykonať
reaktívne
opatrenie
iba
počas
krízovej
situácie.
26
)
(6)
Prevádzkovateľ
základnej
služby
alebo
poskytovateľ
digitálnej
služby
je
povinný
bezodkladne
oznámiť
a
preukázať
úradu
prostredníctvom
jednotného
informačného
systému
kybernetickej
bezpečnosti
vykonanie
reaktívneho
opatrenia
a
jeho
výsledok.
(7)
Ochranné
opatrenie
prijíma
prevádzkovateľ
základnej
služby
na
základe
analýzy
riešeného
závažného
kybernetického
bezpečnostného
incidentu.
(8)
Prevádzkovateľ
základnej
služby
je
na
výzvu
úradu
v
určenej
lehote
povinný
predložiť
navrhované
ochranné
opatrenie
na
schválenie.
Úrad
rozhodnutím
navrhované
opatrenie
schváli
a
určí
lehotu
na
jeho
vykonanie.
V
prípade,
ak
prevádzkovateľ
základnej
služby
nenavrhne
ochranné
opatrenie
v
určenej
lehote
alebo
ak
je
navrhované
ochranné
opatrenie
zjavne
neúspešné,
je
prevádzkovateľ
základnej
služby
povinný
spolupracovať
s
úradom,
ústredným
orgánom
a
s
tým,
kto
prevádzkuje
jednotku
CSIRT,
na
jeho
návrhu.
(9)
Ak
úrad
na
účely
zaistenia
kybernetickej
bezpečnosti
vyčerpá
všetky
spôsoby
riešenia
závažného
kybernetického
bezpečnostného
incidentu
podľa
tohto
zákona,
predloží
predsedovi
Bezpečnostnej
rady
Slovenskej
republiky
informáciu
o
predpokladaných
vplyvoch
kybernetického
bezpečnostného
incidentu
na
bezpečnosť
štátu
ako
podklad
na
riešenie
krízovej
situácie.
27
)
(10)
Z
dôvodu
neodkladnosti
a
naliehavosti
riešenia
závažného
kybernetického
bezpečnostného
incidentu
úrad
na
účely
kybernetickej
obrany
28
)
informuje
Vojenské
spravodajstvo,
že
závažný
kybernetický
bezpečnostný
incident
je
kategórie
tretieho
(III)
stupňa,
alebo
o
skutočnostiach,
ktoré
nasvedčujú,
že
závažný
kybernetický
bezpečnostný
incident
môže
byť
kybernetickým
terorizmom.
Prevádzkovateľ
základnej
služby
a
poskytovateľ
digitálnej
služby,
ktorí
hlásia
tento
kybernetický
bezpečnostný
incident,
sú
na
účely
zabezpečenia
kybernetickej
obrany
povinní
poskytnúť
Vojenskému
spravodajstvu
informácie
v
potrebnom
rozsahu.
O
postupe
podľa
prvej
vety
informuje
úrad
predsedu
Bezpečnostnej
rady
Slovenskej
republiky.
Obmedzenie používania produktu, procesu, služby alebo tretej strany
(1)
Úrad
môže
rozhodnutím
zakázať
alebo
obmedziť
používanie
konkrétneho
produktu,
procesu,
služby
alebo
tretej
strany
na
poskytovanie
základnej
služby
ak
zistí,
že
takéto
používanie
a)neumožňuje
alebo
zásadným
spôsobom
sťažuje
udržanie
kybernetickej
bezpečnosti,
a
tým
ohrozuje
život
alebo
zdravie
osôb,
hospodárske
fungovanie
štátu,
verejný
poriadok,
bezpečnosť
alebo
majetok
osôb,
alebo
b)ohrozuje
bezpečnostné
záujmy
Slovenskej
republiky.
(2)
Konanie
podľa
odseku
1
úrad
začne
z
vlastného
podnetu
alebo
na
základe
odôvodneného
podnetu
iného
orgánu
verejnej
moci
Slovenskej
republiky.
Oznámenie
o
začatí
konania
úrad
zverejní
najmenej
na
30
dní
v
jednotnom
informačnom
systéme
kybernetickej
bezpečnosti
a
na
svojom
webovom
sídle
a
počas
tejto
doby
nemôže
vydať
rozhodnutie.
(3)
Úrad
pred
vydaním
rozhodnutia
podľa
odseku
1
vždy
vykoná
vo
vzťahu
k
produktu,
procesu,
službe
alebo
k
tretej
strane
analýzu
rizík
podľa
§
20
ods.
5
na
základe
vyjadrenia
Ministerstva
zahraničných
vecí
a
európskych
záležitostí
Slovenskej
republiky,
Ministerstva
hospodárstva
Slovenskej
republiky,
Ministerstva
vnútra
Slovenskej
republiky,
Slovenskej
informačnej
služby
a
Ministerstva
obrany
Slovenskej
republiky
z
oblasti
ich
pôsobnosti.
Návrh
rozhodnutia
predkladá
Bezpečnostnej
rade
Slovenskej
republiky
a
vláde
Slovenskej
republiky.
Od
stanoviska
vlády
Slovenskej
republiky
sa
úrad
nemôže
odchýliť.
(4)
Úrad
vydá
rozhodnutie
podľa
odseku
1
iba
v
prípade,
ak
prevádzkovateľ
základnej
služby
alebo
tretia
strana
nedostatky
podľa
odseku
1
neodstráni
v
primeranej
lehote
určenej
úradom.
(5)
Prevádzkovateľ
základnej
služby
je
povinný
zdržať
sa
používania
konkrétneho
produktu,
procesu,
služby
alebo
tretej
strany
uvedenej
v
rozhodnutí
podľa
odseku
1
na
poskytovanie
základnej
služby
alebo
ich
používanie
obmedziť.
(6)
Rozhodnutie
podľa
odseku
1
sa
vyhlási
zverejnením
v
Zbierke
zákonov
Slovenskej
republiky
28b
)
a
účinky
nadobúda
dňom
vyhlásenia.
Ak
je
vyhlásené
rozhodnutie
podľa
odseku
1
zmenené
alebo
zrušené,
na
právny
akt,
ktorým
sa
rozhodnutie
podľa
odseku
1
zmenilo
alebo
zrušilo,
sa
prvá
veta
použije
rovnako.
Splnomocňovacie ustanovenia
(1)
Úrad
ustanoví
všeobecne
záväzným
právnym
predpisom
a)podrobnosti
o
technickom,
technologickom
a
personálnom
vybavení
jednotky
CSIRT
[§
14
písm.
a)],
b)identifikačné
kritériá
prevádzkovanej
služby
(§
18),
c)obsah
bezpečnostných
opatrení,
obsah
a
štruktúru
bezpečnostnej
dokumentácie
a
rozsah
všeobecných
bezpečnostných
opatrení
(§
20
ods.
1
a
6),
d)bezpečnostné
štandardy
a
znalostné
štandardy
v
oblasti
kybernetickej
bezpečnosti
(§
5
ods.
1
písm.
w),
§
20
ods.
1),
e)identifikačné
kritériá
pre
jednotlivé
kategórie
kybernetických
bezpečnostných
incidentov
a
podrobnosti
hlásenia
kybernetických
bezpečnostných
incidentov
(§
24
ods.
1
a
4),
f)pravidlá
auditu
kybernetickej
bezpečnosti,
časový
rozsah
a
periodicitu
vykonávania
auditu
kybernetickej
bezpečnosti,
podrobnosti
o
akreditácii
certifikačných
orgánov
certifikujúcich
a
u
d
í
t
o
r
o
v
k
y
b
e
r
n
e
t
i
c
k
e
j
bezpečnosti,
certifikačnú
schému
a
postupy
pri
certifikácii
audítora
kybernetickej
bezpečnosti,
podrobnosti
o
certifikáte
audítora
kybernetickej
bezpečnosti
a
podrobnosti
o
formáte
a
obsahu
záverečnej
správy
o
výsledkoch
auditu
kybernetickej
bezpečnosti
(§
29
ods.
1
až
5),
g)certifikačné
schémy
a
postupy
v
systéme
certifikácie
kybernetickej
bezpečnosti,
h)bezpečnostné
opatrenia,
ak
si
to
vyžadujú
právne
záväzné
akty
a
odporúčania
Európskej
únie
pre
oblasť
kybernetickej
bezpečnosti,
(2)
Ústredný
orgán
sa
v
spolupráci
s
úradom
splnomocňuje
na
vydanie
všeobecne
záväzného
právneho
predpisu,
ktorým
ustanovia
sektorové
bezpečnostné
opatrenia
v
rozsahu
svojej
pôsobnosti
podľa
prílohy
č.
1
a
v
súlade
s
bezpečnostnými
štandardmi
v
oblasti
kybernetickej
bezpečnosti.
Spoločné ustanovenia
(1)
Na
konanie
úradu
podľa
§
13
ods.
7,
§
16
ods.
2
a
3,
§
17,
§
21,
§
27
až
27c
sa
nevzťahuje
správny
poriadok.
(2)
Informácie,
údaje
a
hlásenia
podľa
tohto
zákona
sa
predkladajú
úradu
v
elektronickej
podobe
prostredníctvom
elektronického
formulára,
ktorého
vzor
zverejní
úrad
prostredníctvom
jednotného
informačného
systému
kybernetickej
bezpečnosti
a
na
ústrednom
portáli
verejnej
správy
v
module
elektronických
formulárov.
(3)
Ak
služba
spĺňa
podmienky
základnej
služby
a
zároveň
aj
digitálnej
služby,
považuje
sa
za
základnú
službu
a
zaraďuje
sa
len
do
zoznamu
základných
služieb
a
jej
prevádzkovateľ
do
registra
prevádzkovateľov
základných
služieb.
(4)
Ak
základná
služba
spadá
do
viacerých
sektorov
alebo
podsektorov
podľa
prílohy
č.
1,
pôsobnosť
podľa
tohto
zákona
vykonáva
ústredný
orgán
určený
úradom.
(5)
Ústredný
orgán,
ktorým
je
Ministerstvo
obrany
Slovenskej
republiky,
plní
úlohy,
ktoré
mu
vyplývajú
z
tohto
zákona,
prostredníctvom
Vojenského
spravodajstva.
34
)
Prechodné ustanovenia k úpravám účinným od 1. augusta 2021
(1)
Prevádzkovateľ
základnej
služby
je
povinný
zosúladiť
bezpečnostné
opatrenia
platné
do
31.
júla
2021
s
opatreniami
podľa
§
20
ods.
3
v
znení
účinnom
od
1.
augusta
2021
najneskôr
do
31.
decembra
2021.
(2)
Prevádzkovateľ
základnej
služby
môže
v
období
od
1.
augusta
2021
do
31.
decembra
2023
pre
I.
a
II.
kategóriu
sietí
a
informačných
systémov
podľa
osobitného
predpisu
35
)
zabezpečiť
plnenie
povinnosti
podľa
§
29
v
znení
účinnom
od
1.
augusta
2021
vykonaním
preverenia
účinnosti
prijatých
bezpečnostných
opatrení
a
plnenia
požiadaviek
ustanovených
týmto
zákonom
v
znení
účinnom
do
31.
júla
2021,
prostredníctvom
manažéra
kybernetickej
bezpečnosti
podľa
§
20
ods.
4
písm.
a)
v
znení
účinnom
od
1.
augusta
2021
funkcionalitou
jednotného
informačného
systému
kybernetickej
bezpečnosti.
(3)
Zmluvy
uzatvorené
podľa
§
9
ods.
3
v
znení
účinnom
do
31.
júla
2021
sa
považujú
za
zmluvy
uzatvorené
v
súlade
s
§
9
ods.
2
v
znení
účinnom
od
1.
augusta
2021
do
konca
obdobia,
na
ktoré
sú
uzatvorené.
Týmto
zákonom
sa
preberajú
právne
záväzné
akty
Európskej
únie
uvedené
v
prílohe
č.
3.
Čl. II
Zákon
Národnej
rady
Slovenskej
republiky
č.
198/1994
Z.
z.
o
Vojenskom
spravodajstve
v
znení
zákona
č.
166/2003
Z.
z.,
zákona
č.
178/2004
Z.
z.,
zákona
č.
319/2012
Z.
z.,
zákona
č.
281/2015
Z.
z.
a
zákona
č.
444/2015
Z.
z.
sa
dopĺňa
takto:
1.
V
§
2
ods.
1
sa
za
písmeno
g)
vkladá
nové
písmeno
h),
ktoré
znie:
„h)
aktivity
a
ohrozenia
v
kybernetickom
priestore,
1ba
)“.
Doterajšie
písmená
h)
až
j)
sa
označujú
ako
písmená
i)
až
k).
Poznámka
pod
čiarou
k
odkazu
1ba
znie:
„
1ba
)
§
3
písm.
b)
zákona
č.
69/2018
Z.
z.
o
kybernetickej
bezpečnosti
a
o
zmene
a
doplnení
niektorých
zákonov.“.
2.
V
§
2
sa
za
odsek
1
vkladá
nový
odsek
2,
ktorý
znie:
„(2)
Ak
je
to
potrebné
na
zabránenie
aktivitám
a
ohrozeniam
podľa
odseku
1,
Vojenské
spravodajstvo
vykonáva
primerané
bezpečnostné
opatrenia.“.
Doterajšie
odseky
2
až
6
sa
označujú
ako
odseky
3
až
7.
3.
Za
§
4
sa
vkladá
§
4a,
ktorý
vrátane
nadpisu
znie:
㤠4a
Centrum pre kybernetickú obranu Slovenskej republiky
(1)
Vojenské
spravodajstvo
plní
úlohy
na
úseku
obrany
štátu
v
kybernetickom
priestore
2a
)
(ďalej
len
„kybernetická
obrana“)
a
kybernetickej
bezpečnosti
v
rozsahu
ustanovenom
osobitným
predpisom
2b
)
prostredníctvom
Centra
pre
kybernetickú
obranu
Slovenskej
republiky
(ďalej
len
„centrum“),
ktoré
je
osobitnou
organizačnou
zložkou
Vojenského
spravodajstva.
(2)
Centrum
získava,
sústreďuje,
analyzuje
a
vyhodnocuje
informácie
dôležité
na
zabezpečenie
kybernetickej
obrany,
informuje
dotknuté
subjekty
a
navrhuje
vhodné
opatrenia.
(3)
Centrum
je
oprávnené
požadovať
od
vlastníka
alebo
prevádzkovateľa
objektov
osobitnej
dôležitosti,
ďalších
dôležitých
objektov
2c
)
a
prvkov
kritickej
infraštruktúry
2d
)
súčinnosť
a
informácie
v
rozsahu
potrebnom
na
účely
zabezpečenia
kybernetickej
obrany.
(4)
Na
účely
zabezpečenia
plnenia
úloh
podľa
tohto
zákona
má
centrum
priamy
prístup
v
elektronickej
podobe,
v
reálnom
čase
a
v
plnom
rozsahu
k
jednotnému
informačnému
systému
kybernetickej
bezpečnosti.
2e
)“.
Poznámky
pod
čiarou
k
odkazom
2a
až
2e
znejú:
„
2a
)
§
2
ods.
2
zákona
č.
319/2002
Z.
z.
o
obrane
Slovenskej
republiky
v
znení
zákona
č.
69/2018
Z.
z.
2b
)
Zákon
č.
69/2018
Z.
z.
2c
)
§
27
ods.
5
zákona
č.
319/2002
Z.
z.
v
znení
zákona
č.
330/2003
Z.
z.
2d
)
§
2
písm.
a)
zákona
č.
45/2011
Z.
z.
o
kritickej
infraštruktúre.
2e
)
§
8
zákona
č.
69/2018
Z.
z.“.
4.
Za
§
14a
sa
vkladá
§
14b,
ktorý
znie:
Ak
to
nie
je
v
rozpore
s
osobitným
predpisom,
4
)
na
zabránenie
aktivitám
a
ohrozeniam
podľa
§
2
ods.
1
je
Vojenské
spravodajstvo
oprávnené
získavať,
sústreďovať
a
vyhodnocovať
informácie
odvodené
zo
signálov
v
elektromagnetickom
spektre.
Vojenské
spravodajstvo
pri
plnení
týchto
úloh
vystupuje
ako
národná
autorita
k
domácim
a
zahraničným
orgánom
obdobného
zamerania
a
pôsobnosti.“.
Čl. III
Zákon
č.
73/1998
Z.
z.
o
štátnej
službe
príslušníkov
Policajného
zboru,
Slovenskej
informačnej
služby,
Zboru
väzenskej
a
justičnej
stráže
Slovenskej
republiky
a
Železničnej
polície
v
znení
zákona
č.
58/1999
Z.
z.,
zákona
č.
181/1999
Z.
z.,
zákona
č.
356/1999
Z.
z.,
zákona
č.
224/2000
Z.
z.,
zákona
č.
464/2000
Z.
z.,
zákona
č.
241/2001
Z.
z.,
zákona
č.
98/2002
Z.
z.,
zákona
č.
328/2002
Z.
z.,
zákona
č.
422/2002
Z.
z.,
zákona
č.
659/2002
Z.
z.,
zákona
č.
212/2003
Z.
z.,
zákona
č.
201/2004
Z.
z.,
zákona
č.
178/2004
Z.
z,
zákona
č.
365/2004
Z.
z.,
zákona
č.
382/2004
Z.
z.,
zákona
č.
201/2004
Z.
z.,
zákona
č.
732/2004
Z.
z.,
zákona
č.
201/2004
Z.
z.,
zákona
č.
727/2004
Z.
z.,
zákona
č.
69/2005
Z.
z.,
zákona
č.
69/2005
Z.
z.,
zákona
č.
623/2005
Z.
z.,
zákona
č.
342/2007
Z.
z.,
zákona
č.
513/2007
Z.
z.,
zákona
č.
61/2008
Z.
z.,
zákona
č.
278/2008
Z.
z.,
zákona
č.
491/2008
Z.
z.,
zákona
č.
445/2008
Z.
z.,
zákona
č.
70/2009
Z.
z.,
zákona
č.
60/2010
Z.
z.,
zákona
č.
151/2010
Z.
z.,
zákona
č.
543/2010
Z.
z.,
zákona
č.
547/2010
Z.
z.,
zákona
č.
48/2011
Z.
z.,
zákona
č.
79/2012
Z.
z.,
zákona
č.
361/2012
Z.
z.,
zákona
č.
345/2012
Z.
z.,
zákona
č.
80/2013
Z.
z.,
zákona
č.
462/2013
Z.
z.,
zákona
č.
307/2014
Z.
z.,
zákona
č.
406/2015
Z.
z.
a
zákona
č.
125/2016
Z.
z.
sa
dopĺňa
takto:
1.
V
§
84
sa
odsek
2
dopĺňa
písmenom
t),
ktoré
znie:
„t)
príplatok
za
výkon
činnosti
v
oblasti
kybernetickej
bezpečnosti.“.
2.
Za
§
102b
sa
vkladá
§
102c,
ktorý
vrátane
nadpisu
znie:
Príplatok za výkon činnosti v oblasti kybernetickej bezpečnosti
(1)
Policajtovi,
ktorý
vykonáva
osobitne
významné
úlohy
alebo
mimoriadne
náročné
činnosti
v
oblasti
kybernetickej
bezpečnosti,
možno
priznať
príplatok
až
do
výšky
90
%
súčtu
funkčného
platu
a
hornej
hranice
prídavku
za
výsluhu
rokov.
(2)
Príplatok
podľa
odseku
1
určuje
minister
v
závislosti
od
náročnosti,
zodpovednosti
Zbierka
zákonov
Slovenskej
republiky
a
podklady
dôležité
na
zabezpečenie
kybernetickej
bezpečnosti
v
rozsahu
a
spôsobom
ustanoveným
na
základe
uzatvorených
dohôd
o
spolupráci.
V
prípade
výmeny
informácií
prijímajúci
úrad
zabezpečí
rovnakú
úroveň
dôvernosti
ako
úrad,
ktorý
informáciu
poskytne.“.
Poznámka
pod
čiarou
k
odkazu
15a
znie:
„
15a
)
Zákon
č.
69/2018
o
kybernetickej
bezpečnosti
a
o
zmene
a
doplnení
niektorých
zákonov.“.
2.
§
63
sa
dopĺňa
odsekom
17,
ktorý
znie:
„(17)
Údaje,
ktoré
sú
predmetom
telekomunikačného
tajomstva
podľa
odseku
1
písm.
b)
až
d),
možno
sprístupniť
Národnému
bezpečnostnému
úradu
v
záujme
bezpečnosti
štátu
na
účely
riešenia
kybernetického
bezpečnostného
incidentu,
na
účel
ich
zberu,
spracovávania
a
uchovávania
v
rozsahu
potrebnom
na
identifikáciu
kybernetického
bezpečnostného
incidentu
a
zabezpečenia
kybernetickej
bezpečnosti
podľa
všeobecného
predpisu
o
kybernetickej
bezpečnosti.
15a
)“.
Čl. IX
Zákon
č.
305/2013
Z.
z.
o
elektronickej
podobe
výkonu
pôsobnosti
orgánov
verejnej
moci
a
o
zmene
a
doplnení
niektorých
zákonov
(zákon
o
e-Governmente)
v
znení
zákona
č.
214/2014
Z.
z.,
zákona
č.
29/2015
Z.
z.,
zákona
č.
130/2015
Z.
z.,
zákona
č.
273/2015
Z.
z.,
zákona
č.
272/2016
Z.
z.,
zákona
č.
374/2016
Z.
z.
a
zákona
č.
238/2017
Z.
z.
sa
mení
takto:
V
§
60b
ods.
3
sa
slová
„1.
mája
2018“
nahrádzajú
slovami
„1.
februára
2019“
a
slová
„30.
apríla
2018“
sa
nahrádzajú
slovami
„31.
januára
2019“.
Čl. X
Zákon
č.
281/2015
Z.
z.
o
štátnej
službe
profesionálnych
vojakov
a
o
zmene
a
doplnení
niektorých
zákonov
v
znení
zákona
č.
378/2015
Z.
z.
a
zákona
č.
125/2016
Z.
z.
sa
mení
a
dopĺňa
takto:
1.
V
§
156
ods.
1
sa
za
písmeno
h)
vkladá
nové
písmeno
i),
ktoré
znie:
„i)
príplatok
za
výkon
špecializovanej
činnosti,“.
Doterajšie
písmená
i)
až
k)
sa
označujú
ako
písmená
j)
až
l).
2.
V
§
156
od.
2
sa
slová
„písm.
a)
až
i)“
nahrádzajú
slovami
„písm.
a)
až
j)“.
3.
Za
§
164
sa
vkladá
§
164a,
ktorý
vrátane
nadpisu
znie:
Príplatok za výkon špecializovanej činnosti
(1)
Profesionálnemu
vojakovi,
ktorý
vykonáva
činnosť,
ktorá
vyžaduje
vykonávanie
osobitne
významných
úloh
alebo
mimoriadne
náročných
úloh
v
oblasti
kybernetickej
bezpečnosti,
možno
priznať
príplatok
za
výkon
špecializovanej
činnosti
až
do
výšky
90
%
jeho
hodnostného
platu.
(2)
Funkcie
a
výšku
príplatku
podľa
odseku
1
ustanoví
služobný
predpis.
(3)
Príplatok
podľa
odseku
1
sa
zaokrúhľuje
na
50
eurocentov
nahor.“.
Zbierka
zákonov
Slovenskej
republiky
Čl. XI
Tento
zákon
nadobúda
účinnosť
1.
apríla
2018
okrem
čl.
I
§
12
ods.
6,
ktorý
nadobúda
účinnosť
Andrej Kiska v. r. Andrej Danko v. r. Robert Fico v. r.
Zbierka
zákonov
Slovenskej
republiky
Príloha
č.
2
k
zákonu
č.
69/2018
Z.
z.
(2)
Internetový vyhľadávačVysvetlivky:
Online trhovisko – digitálna služba, ktorá umožňuje spotrebiteľom alebo podnikateľom uzatvárať online kúpne zmluvy alebo zmluvy o službách s podnikateľmi buď na webovom sídle online trhoviska, alebo na webovom sídle podnikateľa, ktoré využíva počítačové služby poskytované online trhoviskom.
Internetový vyhľadávač – digitálna služba, ktorá umožňuje používateľom vyhľadávať v zásade na všetkých webových sídlach alebo na webových sídlach v konkrétnom jazyku informácie o akejkoľvek téme na základe kľúčového slova, vety alebo iných zadaných údajov, pričom jeho výsledkom sú linky, prostredníctvom ktorých možno nájsť informácie súvisiace s požadovaným obsahom,
Služba v oblasti cloud computingu – digitálna služba, ktorá umožňuje prístup ku škálovateľnému a pružnému súboru počítačových zdrojov, ktoré možno zdieľať.
Zbierka
zákonov
Slovenskej
republiky
Príloha č. 3 k
zákonu
č.
69/2018
Z.
z.
Zoznam preberaných právne záväzných aktov Európskej únie
Smernica
Európskeho
parlamentu
a
Rady
(EÚ)
2016/1148
zo
6.
júla
2016
o
opatreniach
na
zabezpečenie
vysokej
spoločnej
úrovne
bezpečnosti
sietí
a
informačných
systémov
v
Únii.
(Ú.
v.
EÚ
L
194,
19.
7.
2016).