NIS2 na Slovensku: register, hlásenie incidentov a bezpečnostné opatrenia

Za metodiku zodpovedá Marek Galetka, zakladateľ Pravana. Pred zverejnením text schválil človek.

Krížovo overené k 10. 9. 2026 · vychádza z primárnych prameňov

Aktualizované 10. 9. 2026. Vychádza zo znenia zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení zákona č. 366/2024 Z. z.. Informatívna previerka pripravenosti, nie právna služba ani úradný audit.

Smernicu NIS2 (EÚ) 2022/2555 má Slovensko transponovanú novelou č. 366/2024 Z. z. zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti, účinnou od 1. januára 2025. Slovenský zákon nepozná dva režimy; používa jediný pojem prevádzkovateľ základnej služby. Tento článok zhŕňa tri kľúčové povinnosti: zápis do registra, hlásenie incidentov a bezpečnostné opatrenia.

1) Kto je prevádzkovateľ základnej služby a oznámenie do 60 dní

Do registra prevádzkovateľov základnej služby sa zapisuje okrem iného osoba, ktorá spĺňa najmenej podmienky veľkosti pre stredný podnik a vykonáva činnosť v niektorom zo sektorov podľa prílohy č. 1 alebo č. 2 zákona (§ 17 ods. 1 písm. e)). Bez ohľadu na veľkosť sem patria vybraní poskytovatelia elektronických komunikácií, dôveryhodných služieb, DNS či TLD, jediný poskytovateľ kľúčovej služby a ďalší (písm. c)). Prevádzkovateľ kritickej základnej služby (§ 18) je obdobou kľúčového subjektu („essential entity“), ostatní prevádzkovatelia zodpovedajú dôležitému subjektu („important entity“).

Kto takú činnosť vykonáva, je povinný to oznámiť Národnému bezpečnostnému úradu do 60 dní odo dňa, keď činnosť začne vykonávať (§ 17 ods. 2). Zápis vykoná úrad; práva a povinnosti vznikajú dňom uvedeným v oznámení o zápise, najskôr 30. deň po zápise (§ 17 ods. 5). Neoznámenie začiatku činnosti sa trestá pokutou od 300 eur do 500 000 eur (§ 31 ods. 1 písm. a)).

2) Hlásenie incidentov: 24 hodín, 72 hodín, jeden mesiac

Prevádzkovateľ základnej služby hlási každý závažný kybernetický bezpečnostný incident prostredníctvom jednotného informačného systému kybernetickej bezpečnosti (JISKB) v troch krokoch (§ 24 ods. 3): včasné varovanie bez zbytočného odkladu, najneskôr do 24 hodín od zistenia; oznámenie o incidente najneskôr do 72 hodín od zistenia (poskytovateľ dôveryhodných služieb do 24 hodín); záverečná správa najneskôr jeden mesiac po oznámení. Na žiadosť CSIRT sa poskytujú priebežné informácie a pri pretrvávajúcom incidente s cezhraničným vplyvom aktualizovaná záverečná správa do 30 dní od obnovy prevádzky. Hlási sa aj významná hrozba, udalosť odvrátená v poslednej chvíli a zneužiteľná zraniteľnosť (§ 24 ods. 5).

Lehoty zodpovedajú čl. 23 ods. 4 smernice (EÚ) 2022/2555. Nenahlásenie závažného incidentu sa trestá pokutou od 300 eur do 7 000 000 eur alebo do 1,4 % celosvetového ročného obratu, podľa toho, čo je vyššie (§ 31 ods. 2 písm. c)); pri prevádzkovateľovi kritickej základnej služby do 10 000 000 eur alebo 2 % (§ 31 ods. 3).

Čítate všeobecný výklad. Či ste prevádzkovateľ základnej služby a čo z toho plynie, vám povie previerka zadarmo. Spustiť previerku zadarmo →

3) Bezpečnostné opatrenia do 12 mesiacov

Prevádzkovateľ základnej služby je povinný do 12 mesiacov odo dňa zápisu do registra prijať, dodržiavať a vykonávať všeobecné bezpečnostné opatrenia najmenej v rozsahu § 20 podľa vykonanej analýzy rizík (§ 19 ods. 1). Pri outsourcingu činností súvisiacich s prevádzkou sietí musí s treťou stranou uzatvoriť zmluvu o zabezpečení bezpečnostných opatrení (§ 19 ods. 2). Opatrenia pokrývajú aspoň oblasti podľa § 20 ods. 2: organizácia a riadenie bezpečnosti, správa zraniteľností a hrozieb, správa aktív a rizík, riadenie udalostí a incidentov, riadenie kontinuity, dodávatelia, personálna bezpečnosť, fyzická bezpečnosť, riadenie prístupov, sieťová a komunikačná bezpečnosť, kryptografia a ďalšie. Neprijatie opatrení sa trestá pokutou od 300 eur do 7 000 000 eur alebo 1,4 % celosvetového obratu (§ 31 ods. 2 písm. a)).

Prechodné obdobie do 31. 12. 2026

Prevádzkovatelia základnej služby podľa znenia zákona do 31. 12. 2024 (od 1. 1. 2025 sa považujú za prevádzkovateľov kritickej základnej služby, § 34b ods. 1) môžu do 31. 12. 2026 plniť opatrenia aj podľa doterajších predpisov (§ 34b ods. 5); netýka sa to bývalých poskytovateľov digitálnych služieb. Audit, ktorý by mal prevádzkovateľ vykonať v rokoch 2025 a 2026, môže pri I. a II. kategórii nahradiť samohodnotením (§ 34b ods. 8).

Primárne pramene

Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení zákona č. 366/2024 Z. z., § 17 (register a oznámenie), § 18, § 19, § 20 (opatrenia), § 24 (hlásenie), § 31 (pokuty), § 34b (prechodné)

Najčastejšie otázky

Ako zistíme, či sme prevádzkovateľom základnej služby?

Do registra sa zapisuje okrem iného osoba, ktorá spĺňa najmenej podmienky veľkosti pre stredný podnik a vykonáva činnosť v niektorom zo sektorov podľa prílohy č. 1 alebo č. 2 zákona č. 69/2018 Z. z. (§ 17 ods. 1 písm. e)). Bez ohľadu na veľkosť sem patria vybraní poskytovatelia, napríklad elektronických komunikácií, dôveryhodných služieb, DNS či TLD (písm. c)).

Dokedy sa musíme ohlásiť?

Kto takú činnosť vykonáva, je povinný to oznámiť Národnému bezpečnostnému úradu do 60 dní odo dňa, keď činnosť začne vykonávať (§ 17 ods. 2). Neoznámenie sa trestá pokutou od 300 eur do 500 000 eur (§ 31 ods. 1 písm. a)).

Aké lehoty platia pri incidente?

Včasné varovanie do 24 hodín od zistenia, oznámenie o incidente do 72 hodín (poskytovateľ dôveryhodných služieb do 24 hodín), záverečná správa najneskôr jeden mesiac po oznámení (§ 24 ods. 3). Hlási sa cez jednotný informačný systém kybernetickej bezpečnosti.

Máme prechodné obdobie?

Prevádzkovatelia základnej služby podľa znenia zákona do 31. 12. 2024 (od 1. 1. 2025 sa považujú za prevádzkovateľov kritickej základnej služby, § 34b ods. 1) môžu do 31. 12. 2026 plniť opatrenia aj podľa doterajších predpisov (§ 34b ods. 5); netýka sa to bývalých poskytovateľov digitálnych služieb. Audit, ktorý by mal prevádzkovateľ vykonať v rokoch 2025 a 2026, môže pri I. a II. kategórii nahradiť samohodnotením (§ 34b ods. 8). Nový subjekt má na prijatie opatrení 12 mesiacov od zápisu do registra (§ 19 ods. 1).

Zistiť, čo sa nás týka → Viac o oblasti NIS2 na Slovensku

Tento článok je všeobecný výklad, nie individuálna právna rada. Konkrétny prehľad pre vašu firmu (Kompas) pripraví informatívna previerka zadarmo.