1

NÁRODNÁ RADA SLOVENSKEJ REPUBLIKY

IX. volebné obdobie

1080

VLÁDNY NÁVRH

ZÁKON

z ….…… 2025,

ktorým sa mení a dopĺňa zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a ktorým sa menia a dopĺňajú niektoré zákony

Národná rada Slovenskej republiky sa uzniesla na tomto zákone:

Čl. I

Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení zákona č. 134/2020 Z. z., zákona č. 423/2020 Z. z., zákona č. 287/2021 Z. z., zákona č. 395/2021 Z. z., zákona č. 264/2022 Z. z., zákona č. 325/2022 Z. z., zákona č. 351/2022 Z. z., zákona č. 301/2023 Z. z. a zákona č. 367/2024 Z. z. sa mení a dopĺňa takto:

1.V § 1 sa odsek 1 dopĺňa písmenom d), ktoré znie:

„d) postup schvaľovania národnej koncepcie informatizácie verejnej správy (ďalej len „národná koncepcia“).“.

2.V § 1 ods. 3 sa slová „služby2a) alebo poskytovateľmi digitálnej služby2b) podľa osobitného predpisu;3)“ nahrádzajú slovom „služby;2a)“.

Poznámka pod čiarou k odkazu 2a znie:

„2a) § 3 ods. 2 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení zákona č. 366/2024 Z. z.“.

Poznámka pod čiarou k odkazu 2b sa vypúšťa.

3.V § 2 ods. 5 druhej vete sa vypúšťa bodkočiarka a časť vety za bodkočiarkou a na konci sa pripája táto veta: „Ak je orgánov riadenia podľa druhej vety viac, správcu určí orgán vedenia; ak jedným z orgánov riadenia je ústredný orgán štátnej správy, orgán vedenia určí za správcu tento ústredný orgán štátnej správy, alebo niektorý z týchto ústredných orgánov štátnej správy.“.

4.V § 3 písmeno c) znie:

„c) centrálnym metainformačným systémom verejnej správy informačný systém verejnej správy, ktorého obsahom sú informácie o

2

1.technologických, administratívnych a organizačných údajoch prevádzkovaných informačných technológií verejnej správy,

2.registroch vedených prostredníctvom informačných technológií verejnej správy,

3.údajoch evidovaných v informačných technológiách verejnej správy,

4.oprávneniach na používanie údajov evidovaných v informačných technológiách verejnej správy,“.

5.V § 5 ods. 2 písm. d) sa slová „Rada pre vysielanie a retransmisiu“ nahrádzajú slovami „Rada pre mediálne služby“.

6.V § 6 ods. 1 písm. d) sa za slovo „integrovaného“ vkladajú slová „a odolného“ a slová „Národnej koncepcii informatizácie verejnej správy Slovenskej republiky (ďalej len „národná koncepcia“)“ sa nahrádzajú slovami „národnej koncepcii“.

7.§ 8 znie:

㤠8

(1)Orgán vedenia

a)monitoruje výkon riadenia v správe informačných technológií verejnej správy na účely sledovania aktuálneho stavu v správe informačných technológií verejnej správy a ich vývoji a sledovania spôsobov a postupov pri vykonávaní tejto správy,

b)analyzuje údaje získané z monitorovania, kontroly a z iných podnetov na účely identifikácie rizík a nedostatkov v správe informačných technológií verejnej správy,

c)vydáva metodické usmernenia, usmerňuje a koordinuje orgány riadenia na účely jednotného spôsobu výkonu riadenia v správe informačných technológií verejnej správy a centrálneho riadenia informatizácie spoločnosti.

(2)Orgán vedenia tiež analyzuje údaje získané z monitoringu a hodnotenia informačných technológií vo verejnej správe, zo zberu spätnej väzby k elektronickým službám od koncových používateľov a iné údaje získané pri výkone pôsobnosti orgánu vedenia vo vzťahu k informačným technológiám, a to na účely

a)prípravy všeobecne záväzných právnych predpisov,

b)plnenia úloh spočívajúcich v tvorbe štátnej politiky, najmä prípravy národnej koncepcie a ďalších koncepčných a strategických dokumentov s celoštátnou pôsobnosťou,

c)navrhovania alebo prijímania iných opatrení ako podľa písmena a) alebo písmena b), alebo

d)hodnotenia výsledkov a kvality výkonu správy informačných technológií verejnej správy.

(3)Orgán riadenia poskytuje orgánu vedenia súčinnosť potrebnú na riadny výkon vedenia v správe informačných technológií verejnej správy a poskytuje mu údaje o informačných technológiách verejnej správy na analytické účely.

(4)Ak je podľa osobitných predpisov6aa) obmedzené poskytnutie údajov, na ktoré sa vzťahuje povinnosť poskytnúť ich orgánu vedenia podľa tohto zákona, orgán riadenia je povinný ich poskytnúť orgánu vedenia, len ak je udelený súhlas osoby, ktorá je

3

podľa osobitných predpisov6aa) takýto súhlas oprávnená dať alebo ak sa podľa osobitných predpisov6aa) na ich poskytnutie súhlas nevyžaduje.

(5)Ak sa údaje získavané orgánom vedenia týkajú elektronických služieb používaných koncovým používateľom, orgán riadenia zabezpečí, aby ich získaval aj s identifikátorom osoby a s metaúdajmi o konaní, podaní alebo o úradnom dokumente, ktorých sa elektronická služba týka vrátane informácie o priebehu a stave ich vybavenia.

(6)Orgán riadenia zabezpečí dostupnosť údajov alebo informácie, ktoré je povinný poskytovať podľa tohto zákona orgánu vedenia, spôsobom a v štruktúre, aby ich orgán vedenia mohol prijať do ním určenej informačnej technológie; zásahy do informačných technológií orgánu riadenia na tento účel sú možné len s jeho súhlasom. Orgán vedenia zabezpečuje aj nástroje na anonymizáciu a pseudonymizáciu osobných údajov, ktoré orgán riadenia môže použiť.

(7)Osobné údaje podľa odseku 5

a)nemožno zverejniť, ani ich ďalej poskytovať alebo sprístupňovať tretím stranám, okrem prípadov výslovne ustanovených zákonom a za podmienok zabezpečujúcich ochranu osobných údajov,

b)možno spracúvať až po pseudonymizovaní alebo anonymizovaní, pričom

1.pseudonymizácia osobných údajov sa vykoná len, ak v konkrétnom prípade nie je možné použiť anonymizované údaje na dosiahnutie účelu analýzy,

2.pre orgán vedenia nesmie byť objektívne možná spätná identifikácia fyzickej osoby, ale musí byť možné identifikovať, ktoré informácie sa týkajú jednej a tej istej osoby,

3.identifikátor osoby sa ani po anonymizácii ani pseudonymizácii nemusí poskytnúť orgánu vedenia,

c)môžu byť vo výstupe z analýzy spracované len spôsobom, kedy sú anonymizované a nie je objektívne možná spätná identifikácia fyzickej osoby.

(8)Ak sú obsahom údajov, ktoré orgán vedenia analyzuje, aj osobné údaje, orgán vedenia je oprávnený takéto osobné údaje spracúvať na účely podľa odseku 1 písm. b) alebo písm. c) alebo podľa odseku 2, a to v rozsahu podľa odseku 5. Oprávnenie podľa prvej vety sa vzťahuje na osobné údaje v rozsahu nevyhnutnom na dosiahnutie účelu spracúvania a po dobu nevyhnutnú na dosiahnutie tohto účelu.

(9)Orgán riadenia predkladá orgánu vedenia dokumenty v procese plánovania, vytvárania, zmeny alebo rušenia informačnej technológie verejnej správy v rozsahu a spôsobom ustanoveným všeobecne záväzným právnym predpisom, ktorý vydá ministerstvo investícií na úseku bezpečnosti, v oblasti riadenia projektov alebo v oblasti riadenia prevádzky. Orgán vedenia posudzuje predložené dokumenty najmä z hľadiska súladu s požiadavkami bezpečnosti, s cieľmi informatizácie a rozvoja informačných technológií verejnej správy, ktoré vyplývajú z národnej koncepcie a ďalších koncepčných a strategických dokumentov s celoštátnou pôsobnosťou, z hľadiska súladu s povinnosťami orgánu riadenia podľa tohto zákona, ako aj z hľadiska ekonomickej výhodnosti postupu orgánu riadenia alebo súladu s programovým riadením.”.

Poznámka pod čiarou k odkazu 6aa znie:

4

„6aa) Napríklad § 91 zákona č. 483/2001 Z. z. o bankách a o zmene a doplnení niektorých zákonov v znení neskorších predpisov, § 11 zákona č. 563/2009 Z. z. o správe daní (daňový poriadok) a o zmene a doplnení niektorých zákonov v znení neskorších predpisov.“.

8.V § 10 ods. 1 sa vypúšťajú slová „s cieľom budovania riadnej a efektívnej úrovne informatizácie vo verejnej správe“ a na konci sa pripája táto veta: „Cieľom národnej koncepcie je budovanie takej úrovne informatizácie vo verejnej správe, ktorá vytvorí možnosti pre orgány riadenia zvyšovať efektívnosť vo výkone ich pôsobnosti, optimalizovať náklady a kapacity potrebné na tento výkon a zvyšovať dostupnosť a využiteľnosť poskytovaných elektronických služieb.“.

9.V § 11 odsek 4 znie:

„(4) Orgán riadenia plní povinnosti podľa § 13a až 23 v rozsahu a spôsobom v závislosti od veľkosti orgánu riadenia, druhu orgánu riadenia, dôležitosti alebo inej vlastnosti informačnej technológie verejnej správy, rozsahu poskytovaných elektronických služieb, výdavkov vynakladaných na informačné technológie verejnej správy alebo od spôsobu financovania; rozsah a spôsob ustanoví všeobecne záväzný právny predpis, ktorý vydá ministerstvo investícií.“.

Poznámka pod čiarou k odkazu 11 sa vypúšťa.

10.V § 11 sa za odsek 7 vkladá nový odsek 8, ktorý znie:

„(8) Ak orgán riadenia môže začať s realizáciou určitej činnosti až po schválení orgánom vedenia, orgán vedenia vykoná posúdenie a schválenie v lehotách ustanovených všeobecne záväzným právnym predpisom, ktorý vydá ministerstvo investícií.“.

Doterajšie odseky 8 a 9 sa označujú ako odseky 9 a 10.

11.V § 12 ods. 1 písmeno b) znie:

„b) prostredníctvom centrálneho metainformačného systému verejnej správy tak, aby nedošlo k priamemu ani nepriamemu sprístupneniu osobných údajov, bezodkladne sprístupniť orgánu vedenia a aktualizovať

1.informácie o informačných technológiách verejnej správy, ktorých je správcom a ktoré plánuje vytvárať,

2.informácie o elektronických službách verejnej správy, ktoré poskytuje a ktoré plánuje poskytovať,

3.metaúdaje o registroch vedených prostredníctvom informačných technológií verejnej správy, ktorých je správcom,

4.metaúdaje o údajoch evidovaných v informačných technológiách verejnej správy, ktorých je správcom a

5.informácie o právnom základe oprávnenia na používanie údajov evidovaných v informačných technológiách verejnej správy, ktorých je správcom,“.

12.§ 12 sa dopĺňa odsekom 3, ktorý znie:

„(3) Správca sprístupní elektronickú službu verejnej správy alebo inú informačnú technológiu verejnej správy na používanie verejnosti až po sprístupnení informácie o elektronickej službe verejnej správy alebo o informačnej technológii verejnej správy v centrálnom metainformačnom systéme verejnej správy podľa odseku 1 písm. b).

5

Informácie podľa odseku 1 písm. b) sa v rozsahu sprístupnenom orgánom riadenia použijú aj na účely využívania elektronickej služby a elektronickú komunikáciu s orgánom riadenia prostredníctvom ústredného portálu.11a)“.

13.V § 13 odsek 1 znie:

„(1) Koncepcia rozvoja je orgánom riadenia vypracovaný súbor cieľov, nástrojov a konkrétnych plánovaných aktivít, ktorého účelom je definovať architektúru informačných technológií vo verejnej správe, ktorých je správcom a naplniť požiadavky národnej koncepcie a strategických priorít informatizácie verejnej správy. Cieľom koncepcie rozvoja je najmä plánovať budovanie, prevádzku a rozvoj informačných technológií vo verejnej správe v dlhodobom horizonte tak, aby tieto technológie umožnili zvyšovať efektívnosť vo výkone pôsobnosti orgánu riadenia, optimalizovať náklady a kapacity potrebné na tento výkon a zvyšovať dostupnosť a využiteľnosť poskytovaných elektronických služieb.“.

14.V § 13 ods. 2 úvodnej vete sa slovo „šiestich“ nahrádza číslom „12“.

15.V § 13 ods. 6 sa slová „každoročne v termíne do 31. mája posúdi“ nahrádzajú slovami „priebežne posudzuje“.

16.V § 13a ods. 5 sa slová „§ 15 ods. 8“ nahrádzajú slovami „§ 15 ods. 6“.

17.V § 13a ods. 7 sa za prvú vetu vkladá nová druhá veta, ktorá znie: „Údaje zo spätnej väzby podľa prvej vety možno poskytovať tretím osobám až po pseudonymizovaní alebo anonymizovaní osobných údajov, pričom pseudonymizácia osobných údajov sa vykoná len, ak v konkrétnom prípade nie je možné použiť anonymizované údaje na dosiahnutie účelu poskytnutia.“ a v tretej vete sa slová „v určenej lehote, najskôr 31. januára,“ nahrádzajú slovami „do 31. januára“.

18.V § 14 ods. 6 písm. c) sa na konci čiarka nahrádza bodkočiarkou a pripájajú sa tieto slová: „informácie možno sprístupniť až po pseudonymizovaní alebo anonymizovaní osobných údajov, pričom pseudonymizácia osobných údajov sa vykoná len, ak v konkrétnom prípade nie je možné použiť anonymizované údaje na dosiahnutie účelu sprístupnenia,“.

19.V § 15 odsek 2 znie:

„(2) Na zabezpečenie riadenia projektov v oblasti informačných technológií verejnej správy je správca povinný

a)vydať vnútorný predpis upravujúci plánovanie projektov, procesné riadenie a implementáciu projektov,

b)zabezpečiť, aby sa realizované projekty uskutočňovali v súlade s koncepciou rozvoja,

c)zabezpečiť, aby projekt mal určené merateľné ukazovatele súladu s koncepciou rozvoja, identifikované požiadavky, identifikované riziká, určené prínosy a určené merateľné kritériá kvality,

d)identifikovať požiadavky podľa odseku 3,

e)nastaviť požiadavky prevádzky pre všetky informačné technológie verejnej správy, ktoré sú súčasťou projektu,

f)odôvodniť vybrané riešenie pre veľké projekty s ohľadom na možné alternatívy a odôvodniť, najmä z pohľadu hodnoty za peniaze, zvolený postup obstarania a implementácie a tieto informácie sprístupniť verejnosti,

6

g)akceptovať len také zmluvné podmienky, podľa ktorých

1.užívanie informačnej technológie verejnej správy správcom, prevádzkovateľom alebo orgánom verejnej moci na výkon ich zmluvnej povinnosti alebo zákonom ustanovenej pôsobnosti nie je obmedzené,

2.dohodnuté spôsoby použitia informačného systému, dokumentácie k nemu a zdrojového kódu správcom, prevádzkovateľom alebo orgánom verejnej moci ich neobmedzujú v možnosti použitia akýmkoľvek spôsobom potrebným pre výkon ich činnosti,

3.dohodnuté spôsoby použitia informačného systému, dokumentácie k nemu a zdrojového kódu nebránia súťažným spôsobom z neuzatvoreného okruhu osôb vybrať dodávateľa služieb spojených s touto technológiou, najmä služieb podpory prevádzky, údržby a rozvoja a zabezpečiť dodávanie týchto služieb,

4.je možné bez ďalšieho udeliť súhlas na použitie informačného systému, dokumentácie k nemu a zdrojového kódu akémukoľvek správcovi, prevádzkovateľovi na účely výkonu činnosti pre správcu alebo akémukoľvek orgánu verejnej moci v rovnakom rozsahu, v akom právom na použitie disponuje ten, kto súhlas udeľuje,

5.ak vznikne činnosťou dodávateľa a správcu alebo prevádzkovateľa dielo spoluautorov, majetkové práva k tomuto dielu bude vykonávať vo svojom mene a na svoj účet výhradne správca, vrátane možnosti zmeny alebo iného zásahu do diela spoluautorov, pričom správca sa môže dohodnúť inak len, ak to vedie k vyššej miere hospodárnosti alebo efektívnosti,

6.programový prostriedok tretej strany sa môže stať súčasťou informačného systému len vtedy, ak

6a.s tým správca výslovne súhlasí,

6b.podmienky použitia programového prostriedku tretej strany nebránia použitiu prvého bodu až štvrtého bodu vo vzťahu k ostatným častiam informačného systému, dokumentácie k nemu a zdrojového kódu a

6c.podmienky použitia programového prostriedku tretej strany sú v súlade aspoň s prvým bodom a tretím bodom, pričom podmienky podľa druhého bodu, štvrtého bodu a piateho bodu nemusia byť splnené,

7.právo použiť databázu, ktorá vykazuje kvalitatívne alebo kvantitatívne podstatný vklad do získania, overenia alebo predvedenia jej obsahu a nie je výsledkom tvorivej duševnej činnosti autora a právo udeliť súhlas na extrakciu alebo reutilizáciu celého obsahu takejto databázy alebo jej kvalitatívne alebo kvantitatívne podstatnej časti sa prevedie na správcu,

8.je správca jediným a výhradným disponentom so všetkými informáciami zhromaždenými alebo získanými počas projektu a prevádzky projektom vytvoreného riešenia vrátane jeho zmien a servisu,

9.pri zmene dodávateľa pôvodný dodávateľ poskytne správcovi úplnú súčinnosť pri prechode na nového dodávateľa, najmä v oblasti architektúry a integrácie informačných systémov a

10.dodávateľ informačného systému alebo služieb k informačnému systému poskytne inému dodávateľovi pri vytváraní nového informačného systému súčinnosť, ktorá je potrebná na riadne vytvorenie a uvedenie do prevádzky, najmä v oblasti migrácie dát a v oblasti integrácie informačných systémov,

7

h)zabezpečiť, aby veľký projekt alebo projekt, ktorý pozostáva z dodania viacerých funkčných celkov, bol z hľadiska dodania rozdelený na čiastkové plnenia, pričom

1.každé čiastkové plnenie musí mať vlastný prínos bez ohľadu na celkové plnenie,

2.po každom čiastkovom plnení musí byť možné projekt ukončiť, ak stratil svoje pôvodné opodstatnenie,

3.cena jedného čiastkového plnenia nesmie presiahnuť sumu ustanovenú všeobecne záväzným právnym predpisom, ktorý vydá ministerstvo investícií, a

4.lehota dodania každého čiastkového plnenia nesmie presiahnuť lehotu ustanovenú všeobecne záväzným právnym predpisom, ktorý vydá ministerstvo investícií,

i)predložiť veľký projekt na posúdenie a schválenie orgánu vedenia a začať s jeho realizáciou až po jeho schválení,

j)predložiť zámer na vytvorenie a prevádzkovanie mobilnej aplikácie na posúdenie a schválenie orgánu vedenia a začať s jeho realizáciou, len ak orgán vedenia do 20 pracovných dní odo dňa doručenia úplného zámeru nevysloví s realizáciou nesúhlas; na predkladanie zámeru sa § 13a ods. 10 použije rovnako,

k)zabezpečiť riadenie zmien podľa odseku 5,

l)udržiavať technické informácie o realizovanom riešení v aktuálnom a správnom stave vrátane informácií o vzťahoch medzi jednotlivými jeho prvkami.“.

Poznámka pod čiarou k odkazu 18 sa vypúšťa.

20.V § 15 sa vypúšťajú odseky 3, 4 a 11.

Doterajšie odseky 5 až 10 sa označujú ako odseky 3 až 8 a doterajšie odseky 12 a 13 sa označujú ako odseky 9 a 10.

21.V § 15 odsek 8 znie:

„(8) Správca je povinný sprístupňovať v centrálnom metainformačnom systéme verejnej správy projektovú dokumentáciu informačnej technológie verejnej správy, pričom na rozsah sprístupňovaných informácií sa použijú ustanovenia osobitného predpisu o obmedzení prístupu k informáciám,19) a nesprístupňovať tie časti, ktorých sprístupnenie by bolo rizikové z pohľadu bezpečnosti informačnej technológie verejnej správy.“.

22.V § 15 ods. 9 sa slová „§ 15 ods. 4 písm. f)“ nahrádzajú slovami „odseku 2 písm. j)“.

23.V § 15 ods. 10 sa slová „odseku 2 písm. d) prvý bod, odseku 4 písm. e) a odseku 10“ nahrádzajú slovami „odseku 2 písm. g) prvého bodu a písm. i) a odseku 8“.

24.V § 16 ods. 2 písm. b) sa slová „§ 15 ods. 8 písm. c)“ nahrádzajú slovami „§ 15 ods. 6 písm. c)“.

25.V § 16 ods. 3 písm. h) sa slová „§ 15 ods. 2 písm. d)“ nahrádzajú slovami „§ 15 ods. 2 písm. g)“.

26.§ 18 vrátane nadpisu znie:

㤠18

8

Základné ustanovenia

(1)Správca prijíma a realizuje bezpečnostné opatrenia k informačnej technológii verejnej správy v jeho správe podľa tohto zákona a všeobecne záväzného právneho predpisu, ktorý vydá ministerstvo investícií.

(2)Správca, ktorý je prevádzkovateľom základnej služby, prijíma a realizuje bezpečnostné opatrenia k informačnej technológii verejnej správy podľa tohto zákona a aj v rozsahu a za podmienok podľa osobitného predpisu.20)“.

Poznámka pod čiarou k odkazu 20 znie:

„20) § 20 ods. 4 zákona č. 69/2018 Z. z. v znení neskorších predpisov.“.

Poznámky pod čiarou k odkazom 21 a 22 sa vypúšťajú.

27.V § 19 ods. 1 písm. g) a ods. 3 písm. e) sa za slovo „riešenia“ vkladá slovo „kybernetických“.

28.V § 19 ods. 2 písm. c) sa za slovo „riešených“ vkladá slovo „kybernetických“.

29.V § 19 ods. 5 písmeno a) znie:

„a) dodržiava opatrenia týkajúce sa bezpečnosti informačných technológií verejnej správy,“.

30.V § 21 ods. 2 písm. b) sa slová „klasifikované z hľadiska dôvernosti ako chránené alebo prísne chránené podľa osobitného predpisu.22b)“ nahrádzajú slovami „používané a prístupné len určeným skupinám oprávnených osôb, ktorých neoprávnené odhalenie, prezradenie alebo zničenie môže mať negatívny vplyv na poskytovanie služby verejnej správy.“.

31.V § 21 ods. 3 písmeno b) znie:

„b) aktualizuje bezpečnostný projekt pre tento systém vypracovaný podľa § 23 ods. 1 a 2,“.

32.V § 21 sa odsek 3 dopĺňa písmenami c) až g), ktoré znejú:

„c)zavedie jednotný systém riadenia informačnej bezpečnosti pre všetky informačné systémy, ktoré sú v jeho správe,

d)zabezpečí riadenie konfigurácie informačného systému verejnej správy a jeho častí,

e)určí bezpečnostne závažné operácie, ktorými sa rozumejú najmä správa prístupov a prístupových údajov, ukladanie záznamov o systémových udalostiach, realizácia bezpečného oddelenia vnútornej časti systému a siete od vonkajšej časti, a zavedie dokumentovanie postupov pre tieto operácie,

f)zabezpečí nepretržitý monitoring informačného systému verejnej správy,

g)zabezpečí vykonanie bezpečnostného auditu informačného systému verejnej správy v pravidelných intervaloch určených najmä s ohľadom na dôležitosť informačného systému verejnej správy a na minulé zistenia bezpečnostných auditov a pri zistení závažných bezpečnostných nedostatkov prepracuje bezpečnostný projekt a naň nadväzujúce dokumenty.“.

33. V § 23 sa odsek 1 dopĺňa písmenom d), ktoré znie:

9

„d) z technickej dokumentácie a prevádzkovej dokumentácie informačného systému verejnej správy.“.

34.V § 23 odseky 3 a 4 znejú:

„(3) Správca je povinný

a)nahlasovať kybernetický bezpečnostný incident24)

1.spôsobom podľa osobitného predpisu3) aj vtedy, ak sa naň nevzťahuje povinnosť nahlasovania podľa osobitného predpisu,3)

2.nahlasovať každý kybernetický bezpečnostný incident vládnej jednotke CSIRT,25)

b)bezodkladne riešiť kybernetický bezpečnostný incident a prijať opatrenia na zníženie rizika26) vyplývajúceho zo zraniteľnosti bezodkladne po tom, ako sa o kybernetickom bezpečnostnom incidente alebo zraniteľnosti dozvedel,

c)prijať alebo upraviť bezpečnostné opatrenia, ak pri riešení kybernetického bezpečnostného incidentu, riešení penetračného testovania, hodnotení zraniteľností alebo posúdení bezpečnosti informačných technológii alebo informačných systémov orgánu riadenia zistí riziko alebo hrozbu podľa osobitného predpisu3) pre bezpečnosť informačnej technológie verejnej správy alebo ak bola identifikovaná a vyhodnotená jej zraniteľnosť, a oznámiť vládnej jednotke CSIRT prijaté bezpečnostné opatrenia,

d)viesť evidenciu kybernetických bezpečnostných incidentov a evidenciu postupov na riešenie kybernetických bezpečnostných incidentov,

e)určiť a zverejniť na svojom webovom sídle kontaktné údaje na kontaktný bod alebo primeraný počet kontaktných bodov na nahlasovanie kybernetického bezpečnostného incidentu,

f)zverejniť na svojom webovom sídle pravidlá na oznamovanie zraniteľností,

g)predkladať bezpečnostný projekt podľa odsekov 1 a 2 na schválenie orgánu vedenia; ak orgán vedenia do 20 pracovných dní odo dňa predloženia bezpečnostného projektu nevyjadrí nesúhlas, platí, že bezpečnostný projekt schválil v predloženom znení,

h)zasielať najmenej raz ročne orgánu vedenia zoznam aktív podľa § 19 ods. 1 písm. c),

i)zasielať spôsobom určeným orgánom vedenia vládnej jednotke CSIRT ňou určené systémové informácie o aktívach, rizikách, kontaktných bodoch a evidencii kybernetických bezpečnostných incidentov informačných technológií verejnej správy v rozsahu ustanovenom všeobecne záväzným právnym predpisom, ktorý vydá ministerstvo investícií, a aktualizovať zaslané údaje do 14 dní po tom, ako došlo k ich zmene,

j)poskytnúť orgánu vedenia súčinnosť a spoluprácu pri plnení jeho úloh podľa § 23a a plniť pokyny orgánu vedenia pri výkone jeho oprávnení podľa § 23a.

(4) Povinnosti podľa odseku 3 sa nevzťahujú na správcu, ktorý je orgánom riadenia podľa § 5 ods. 2 písm. f) alebo písm. g).“.

Poznámky pod čiarou k odkazom 24 a 26 znejú:

„24) § 3 písm. m) zákona č. 69/2018 Z. z. v znení neskorších predpisov.

26) § 3 písm. i) zákona č. 69/2018 Z. z. v znení neskorších predpisov.“.

35.V § 23 sa vypúšťa odsek 5.

Poznámka pod čiarou k odkazu 27 sa vypúšťa.

10

36.V § 23a ods. 2 písm. d) sa slová „§ 23 ods. 3 písm. d)“ nahrádzajú slovami „§ 23 ods. 3 písm. i)“.

37.V § 23a sa odsek 2 dopĺňa písmenami f) až h), ktoré znejú:

„f)prijíma nahlásenie kybernetického bezpečnostného incidentu správcom alebo prevádzkovateľom; povinnosti prevádzkovateľa základnej služby podľa osobitného predpisu3) tým nie sú dotknuté,

g) koordinuje zverejňovanie zraniteľností v informačných technológiách verejnej správy,

h)spolupracuje na výskume a vývoji nástrojov a riešení v oblasti kybernetickej bezpečnosti.“.

38.§ 23a sa dopĺňa odsekom 3, ktorý znie:

„(3) Orgán vedenia prostredníctvom vládnej jednotky CSIRT je na účely plnenia úloh podľa tohto zákona oprávnený využiť automatizované nástroje na spracúvanie údajov a o využití takýchto nástrojov je povinný informovať prostredníctvom svojho webového sídla. Orgán vedenia prostredníctvom vládnej jednotky CSIRT je povinný vykonať posúdenie rizík využitia automatizovaných nástrojov na spracúvanie údajov podľa prvej vety raz ročne podľa medzinárodných štandardov v oblasti riadenia informačnej bezpečnosti.“.

39.V § 29 ods. 1 písm. a) sa slová „§ 6 ods. 1, § 12 ods. 1 písm. a), § 14 ods. 6, § 15 ods. 2 alebo § 16 ods. 3 písm. e) alebo povinnosti“ nahrádzajú slovami „§ 6 ods. 1 alebo podľa § 12 ods. 1 písm. a) alebo povinnosť“.

40.V § 29 ods. 1 písm. b) prvom bode sa za slovami „§ 13“ čiarka nahrádza slovom „alebo“ a vypúšťajú sa slová „alebo povinnosť podľa § 15 ods. 11“.

41.V § 29 ods. 1 písm. c) druhom bode sa za slovami „písm. j)“ vypúšťa čiarka a slová „§ 15 ods. 4 písm. d) alebo písm. e), § 16 ods. 3 písm. d)“.

42.V § 29 ods. 1 písm. d) sa slová „od 125 eur do 5 000 eur“ nahrádzajú slovami „od 250 eur do 15 000 eur“ a na konci sa pripájajú slová „alebo v odseku 2“.

43.V § 29 sa za odsek 1 vkladá nový odsek 2, ktorý znie:

„(2) Orgán vedenia uloží pokutu

a)od 10 000 eur do 250 000 eur správcovi, ktorý poruší povinnosť podľa § 15 ods. 2 písm. i) alebo písm. j) alebo ods. 5,

b)do 5 % z celkovej zmluvnej ceny, najmenej však 10 000 eur správcovi, ktorý poruší povinnosť podľa § 16 ods. 3 písm. f),

c)od 1 000 eur do 150 000 eur správcovi, ktorý poruší niektorú z povinností podľa § 15 ods. 2 písm. d) až g),

d)od 1 000 eur do 35 000 eur správcovi, ktorý poruší povinnosť v rámci nastavenia zmluvných vzťahov pre poskytovanie služieb podľa § 14 ods. 6,

e)od 500 eur do 35 000 eur správcovi, ktorý poruší povinnosť podľa § 15 ods. 2 písm. k) alebo podľa § 16 ods. 3 písm. e) alebo písm. h),

f)od 250 eur do 35 000 eur správcovi, ktorý poruší povinnosť sprístupniť elektronickú službu verejnej správy na používanie verejnosti po sprístupnení informácie o elektronickej službe verejnej správy podľa § 12 ods. 3 prvej vety,

11

g)od 250 eur do 25 000 eur správcovi, ktorý poruší povinnosť podľa § 15 ods. 2 písm. h) alebo podľa § 16 ods. 3 písm. d).“.

Doterajšie odseky 2 až 6 sa označujú ako odseky 3 až 7.

44.V § 29 ods. 3 sa za slová „odseku 1“ vkladajú slová „alebo odseku 2“.

45.V § 30 sa pred odsek 1 vkladá nový odsek 1, ktorý znie:

„(1) Správca majetku štátu37) môže previesť správu majetku štátu,37a) ktorým je informačný systém, na iného správcu majetku štátu prostredníctvom zmluvy o prevode správy,37b) a to aj ak informačný systém nie je prebytočným majetkom štátu.37c) Informačný systém môže podľa prvej vety nadobudnúť len správca majetku štátu, ktorý ho nevyhnutne potrebuje na plnenie úloh v rámci predmetu jeho činnosti alebo v súvislosti s ním. Informačný systém nemôže podľa prvej vety nadobudnúť štátny orgán bez právnej subjektivity.“.

Doterajšie odseky 1 až 4 sa označujú ako odseky 2 až 5.

Poznámky pod čiarou k odkazom 37a až 37c znejú:

„37a) § 3 ods. 1 zákona Národnej rady Slovenskej republiky č. 278/1993 Z. z. v znení zákona č. 72/1999 Z. z.

37b) § 9 zákona Národnej rady Slovenskej republiky č. 278/1993 Z. z. v znení neskorších predpisov.

37c) § 3 ods. 3 zákona Národnej rady Slovenskej republiky č. 278/1993 Z. z. v znení neskorších predpisov.“.

46.V § 30 ods. 2 sa nad slovom „štátu“ vypúšťa odkaz 37.

47.V § 30 ods. 3 a 4 sa slová „odseku 1“ nahrádzajú slovami „odseku 2“.

48.Poznámka pod čiarou k odkazu 38 znie:

„38) Zákon Národnej rady Slovenskej republiky č. 278/1993 Z. z. v znení neskorších predpisov.“.

49.V § 30 ods. 5 sa vypúšťa slovo „hnuteľný“.

50.V § 31 sa vypúšťa písmeno a).

Doterajšie písmená b) až n) sa označujú ako písmená a) až m).

51.V § 31 písm. d) sa slová „§ 15 ods. 4“ nahrádzajú slovami „§ 15 ods. 2“ a slová „písm. d)“ sa nahrádzajú slovami „písm. h)“.

52.V § 31 písm. h) sa slová „písmen c) až g), v závislosti od klasifikácie informácií a kategorizácie sietí a informačných systémov“ nahrádzajú slovami „písmen b) až f), v závislosti od kritérií podľa § 11 ods. 4“.

53.V § 31 písm. i) treťom bode sa slová „klasifikácie informácií a od kategorizácie sietí a informačných systémov“ nahrádzajú slovami „kritérií podľa § 11 ods. 4“.

12

54.Za § 33a sa vkladá § 33b, ktorý vrátane nadpisu znie:

㤠33b

Prechodné ustanovenia k úpravám účinným od 1. marca 2026

(1)Na právne vzťahy, ktoré vznikli do 28. februára 2026 a na právne vzťahy, ktoré vznikli ako výsledok verejného obstarávania začatého do 28. februára 2026, sa vzťahuje § 15 ods. 2 písm. d) v znení účinnom do 28. februára 2026 a ustanovenia § 15 ods. 2 písm. g) v znení od 1. marca 2026 sa na tieto vzťahy nepoužijú.

(2)Konanie o uložení pokuty za správny delikt podľa § 29 v znení účinnom do 28. februára 2026, ktoré bolo začaté do 28. februára 2026 a právoplatne neukončené do 28. februára 2026 sa dokončí podľa zákona účinného do 28. februára 2026 a pri ukladaní pokút sa použije tento zákon účinný od 1. marca 2026, ak je to pre páchateľa správneho deliktu priaznivejšie. Protiprávnosť konania, ku ktorému došlo do 28. februára 2026, sa posudzuje a sankcia sa ukladá podľa zákona účinného v čase spáchania správneho deliktu; protiprávne konanie sa posudzuje podľa zákona účinného od 1. marca 2026, len ak je to pre páchateľa správneho deliktu priaznivejšie.“.

55.Slová „Rozhlas a televízia Slovenska“ vo všetkých tvaroch sa v celom texte zákona nahrádzajú slovami „Slovenská televízia a rozhlas“ v príslušnom tvare.

Čl. II

Zákon č. 305/2013 Z. z. o elektronickej podobe výkonu pôsobnosti orgánov verejnej moci a o zmene a doplnení niektorých zákonov (zákon o e-Governmente) v znení zákona č. 214/2014 Z. z., zákona č. 29/2015 Z. z., zákona č. 130/2015 Z. z., zákona č. 273/2015 Z. z., zákona č. 272/2016 Z. z., zákona č. 374/2016 Z. z., zákona č. 238/2017 Z. z., zákona č. 69/2018 Z. z., zákona č. 313/2018 Z. z., zákona č. 211/2019 Z. z., zákona č. 134/2020 Z. z., zákona č. 416/2020 Z. z., zákona č. 325/2022 Z. z., zákona č. 301/2023 Z. z., zákona č. 237/2024 Z. z., zákona č. 354/2024 Z. z. a zákona č. 365/2024 Z. z. sa mení a dopĺňa takto:

1.V § 14 ods. 2 písmeno e) znie:

„e) doručenia žiadosti majiteľa elektronickej schránky o deaktiváciu elektronickej schránky, alebo bezodkladne po jej doručení, ak ide o elektronickú schránku fyzickej osoby, fyzickej osoby podnikateľa, zapísanej organizačnej zložky alebo toho, o kom to ustanoví osobitný predpis, ak nie je zároveň v postavení orgánu verejnej moci,“.

2.V § 14 sa odsek 2 dopĺňa písmenom f), ktoré znie:

„f) uvedenému v žiadosti ústavu na výkon väzby, ústavu na výkon trestu odňatia slobody, ústavu na výkon trestu odňatia slobody pre mladistvých, detenčného ústavu, detenčného ústavu pre mladistvých a nemocnice pre obvinených a odsúdených, ak ide o elektronickú schránku osoby, ktorá je vo väzbe, výkone trestu odňatia slobody alebo vo výkone detencie, ak s tým majiteľ elektronickej schránky vyjadril súhlas.“.

3.V § 14 ods. 3 písm. d) a ods. 4 až 6 sa za slová „odseku 2 písm. e)“ vkladajú slová „alebo písm. f)“.

13

Čl. III

Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení zákona č. 373/2018 Z. z., zákona č. 134/2020 Z. z., zákona č. 287/2021 Z. z., zákona č. 55/2022 Z. z., zákona č. 231/2022 Z. z. a zákona č. 366/2024 Z. z. sa mení takto:

1.V § 17 ods. 1 písm. c) deviaty bod znie:

„9. je určená ako subjekt hospodárskej mobilizácie spôsobom podľa osobitného predpisu,23)“.

Poznámka pod čiarou k odkazu 23 znie:

„23) § 4 ods. 1 písm. d) zákona č. 179/2011 Z. z. v znení neskorších predpisov.“.

2.V § 17 ods. 1 písmeno g) znie:

„g) správca informačnej technológie verejnej správy,23a) na ktorého sa vo vzťahu k informačným technológiám verejnej správy vzťahujú minimálne bezpečnostné opatrenia Kategórie II alebo Kategórie III podľa osobitného predpisu,23aa)“.

Poznámky pod čiarou k odkazom 23a a 23aa znejú:

„23a) § 2 ods. 5 zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení zákona č. .../2025 Z. z.

23aa) § 3 ods. 3 a 4 vyhlášky Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy.“.

Čl. IV

Tento zákon nadobúda účinnosť 1. marca 2026, okrem čl. I bodov 4, 10 a 11, ktoré nadobúdajú účinnosť 1. januára 2027.