Rizikovo orientované bezpečnostné posúdenie technológií pred ich nasadením do štátneho prostredia.
Problém 1 – Bezpečnostné posúdenie technológie môže prísť až po jej nasadení
Riziko vzniká, ak sa bezpečnostné požiadavky neurčia pred nákupom alebo ak sa systém spustí bez doloženého posúdenia výsledkov skúšok. Ide o riziko postupu, nie o preukázané tvrdenie, že tak koná každý úrad. Na jeho rozsah treba údaje o konkrétnych dodávkach a kontrolách.
Slovenské právo už bezpečnosť pri nákupe pozná. § 19 ods. 5 zákona č. 95/2019 Z. z. vyžaduje určiť zodpovednú osobu a identifikovať riziká prostredia; § 20 požiadavky na vývoj, testovanie, dodanie a dokumentáciu. Dodávateľ musí odstrániť alebo znemožniť funkcie umožňujúce neoprávnený prístup jemu alebo tretej strane. Zákaz sa týka neoprávneného prístupu, nie každej zmluvne a zákonne dovolenej vzdialenej správy. Zdroj: zákon č. 95/2019 Z. z., § 19–20.
Prednasadzovacie overenie preto nemá vytvárať dojem, že zákon dnes nevyžaduje bezpečnosť. Správca má prepojiť požiadavky určené pred obstaraním, skúšky dodávky a rozhodnutie o jej použití. Pri prevádzkovateľovi základnej služby sa overí aj príslušný režim zákona o kybernetickej bezpečnosti. Zákon č. 95/2019 Z. z., § 18; zákon č. 69/2018 Z. z..
Porovnanie: nemecký úrad pre informačnú bezpečnosť BSI v postupe OPS.1.1.6 opisuje testovanie softvéru a zdokumentované schválenie jeho používania; ide o technický model, nie slovenskú zákonnú povinnosť. Bavorský krajinský úrad pre bezpečnosť informačných technológií (LSI) pri obecnej aplikácii odporúča už v zmluve riešiť aktualizácie vrátane použitých súčastí tretích strán. Prenositeľné je včasné určenie požiadaviek, výsledok skúšok a jasné rozhodnutie. Tieto dokumenty samy nepreukazujú, že každá nemecká či bavorská dodávka je bezpečná. BSI – testovanie a schválenie softvéru, vydanie 2022; Bavorsko – LSI, kritériá obecných aplikácií z roku 2020.
Návrh
Nestratené Slovensko navrhuje, aby správca doložil bezpečnostné posúdenie pred spustením systému a pri zmene, ktorá môže ovplyvniť jeho ochranu. Bežné zariadenie stále musí spĺňať uplatniteľné bezpečnostné pravidlá. Podrobné samostatné posúdenie sa vyžaduje podľa následkov a prístupov, nie podľa názvu výrobku.
- Vopred určiť prípady podrobného posúdenia. Navrhujeme ho pri systéme, ktorého zlyhanie môže ohroziť život, zdravie alebo nenahraditeľné zákonné plnenie; pri spracúvaní zdravotných či iných osobitne chránených osobných údajov; pri bezpečnostnej alebo identifikačnej funkcii; a pri vzdialenom prístupe dodávateľa s oprávnením meniť systém alebo pristupovať k chráneným údajom. Správca uvedie konkrétny dôvod aj rozsah skúšok. Zákonná kategorizácia sa tým nenahrádza.
- Požiadavky určiť pred súťažou. Vecný útvar, správca IT a bezpečnostná funkcia spoločne opíšu účel, požadované oprávnenia, dátové prepojenia, podporu a aktualizácie, závislosti a požadovaný dôkaz splnenia. Kritériá musia umožniť odôvodnené rovnocenné riešenie. Značka alebo krajina pôvodu sama nenahrádza posúdenie konkrétnej funkcie, sankcie či zákonného obmedzenia.
- Preveriť konkrétnu dodávku. Záznam označí dodanú verziu a konfiguráciu, podmienky vzdialenej správy, dobu podpory a výsledky dohodnutých skúšok. Správca overí funkčnosť požadovaných oprávnení a ochrany údajov aj nadväznosť na existujúce systémy. Vyhlásenie výrobcu ani certifikát samy nepreukazujú bezpečnosť konkrétneho zapojenia.
- Skúšať bezpečne a oprávnene. Určiť rozsah oprávnenia na test, oddelené testovacie prostredie, zodpovednosť a postup pri poruche. Prednostne použiť vytvorené alebo anonymizované údaje. Použitie skutočných osobných údajov musí mať právny základ a potrebnú ochranu. Skúška nesmie ohroziť živú službu.
- Oddeliť dodanie od rozhodnutia o spustení. Dodávateľ doloží dohodnuté výsledky; správca ich preverí. Oprávnený riadiaci pracovník rozhodne na základe stanoviska príslušnej bezpečnostnej a vecnej funkcie. Správca zachová zákonom požadované oddelenie riadenia, výkonu a kontroly. Rozhodnutie uvedie rozsah schválenia, otvorené nedostatky, náhradnú ochranu a podmienky ďalšieho používania.
- Nepremeniť nesplnenú povinnosť na výnimku. Ak chýba záväzná ochrana, interný podpis sám neoprávňuje systém používať. Správca musí zabezpečiť zákonne prípustný postup, napríklad nápravu, obmedzenie dotknutej funkcie alebo náhradnú službu. Odchýlka sa posúdi podľa konkrétneho predpisu; od účinnosti vyhlášky č. 184/2026 Z. z. aj podľa jej § 2 ods. 3–4. Zdroj: vyhláška č. 184/2026 Z. z..
- Posúdiť aj následné zmeny. Overenie sa zopakuje v rozsahu, ktorý zodpovedá zmene oprávnení, vzdialenej správy, spracúvaných údajov, bezpečnostnej funkcie alebo spôsobu obnovy. Pri núdzovej zmene správca vopred určí zákonne prípustný rozsah, dočasnú ochranu a konkrétny termín dodatočnej kontroly. Označenie zmeny za urgentnú nie je výnimkou zo zákona.
- Zaviesť postup spolu s technickými pravidlami. Ministerstvo investícií, regionálneho rozvoja a informatizácie (MIRRI) s príslušnými správcami a Národným bezpečnostným úradom (NBÚ) v jeho pôsobnosti pripraví do šiestich mesiacov od pridelenia ľudí a financií na prípravu metodiky metodiku, rozdelenie zodpovedností a vzor rozhodnutia. Overí ich v spoločnom dvanásťmesačnom pilote opísanom pri minimálnom bezpečnostnom štandarde. Pilot sleduje čas posúdenia, zachytené nedostatky, kvalitu a náklady; neodkladá dnešné povinnosti.
- Porovnať celý náklad. Správca vyčísli prípravu podmienok, prácu zamestnancov, skúšky, úpravy, školenie, licencie, prevádzku, aktualizácie, obnovu a ukončenie. Pri využití externého posudzovateľa preverí jeho spôsobilosť a konflikt záujmov. Náklady kontroly porovná s jej výsledkami; lacný nákup s drahou nápravou nie je automaticky úspora.
Posúdenie konkrétneho nasadenia nenahrádza povinné európske požiadavky na výrobok ani posudzovanie zhody. Nariadenie (EÚ) 2024/2847, známe ako Cyber Resilience Act, sa vo všeobecnosti uplatní od 11. 12. 2027; oznamovanie podľa čl. 14 od 11. 9. 2026 a kapitola IV od 11. 6. 2026. Výrobca a správca používajúci výrobok majú odlišné úlohy; uplatnenie treba určiť podľa výrobku a postavenia konkrétnej osoby. Nariadenie (EÚ) 2024/2847, čl. 71; Európska komisia – vysvetlenie pôsobnosti a termínov.
Právne posúdenie: zosúladenie existujúcich požiadaviek a doložené rozhodnutie v právomoci správcu sa predbežne javí ako možné v platnom rámci. Nové centrálne oprávnenie zakázať nasadenie, všeobecný povinný certifikát alebo sankcia potrebuje osobitný právny základ. Pri obstarávaní zachovať primeranosť, rovnaký prístup a zákonné podmienky rovnocennosti; pri testoch ochranu osobných údajov a práv zamestnancov. Osobitne posúdiť policajné spracúvanie a obranné alebo utajované systémy vrátane príslušných záväzkov NATO a pravidiel pôvodcu údajov. Metodický civilný návrh sám neukazuje potrebu meniť verejnú medzinárodnú zmluvu. Presné znenie, konkrétne zmluvy a neverejné bezpečnostné dohody zostávajú na samostatné preverenie. Ústava SR, čl. 2 a 19; smernica 2014/24/EÚ, čl. 42; GDPR, čl. 5, 32 a 35; Európsky dohovor, čl. 8.
Cieľový stav
Pri posudzovanom nasadení je pred spustením dohľadateľné, kto určil požiadavky, čo bolo otestované, kto rozhodol a aké podmienky používania zostali. Splnené znamená doložené splnenie uplatniteľných požiadaviek a schválenie pred spustením; čiastočne splnené chýbajúci doklad alebo otvorenú zákonne prípustnú podmienku; nesplnené spustenie bez potrebnej ochrany alebo povinného rozhodnutia. Prevádzková zodpovednosť zostáva správcovi.
Pilot a následné hodnotenie uvedú počet nasadení podliehajúcich posúdeniu, podiel schválených pred spustením, prípady odmietnutia a nápravy, čas a náklady posúdenia aj opakované chyby po nasadení. Počet zistených chýb sám nepreukazuje zlepšenie; hodnotí sa aj ich odstránenie a zachovanie služby. Verejný súhrn neobsahuje zraniteľnosti, presné prístupy ani technické usporiadanie systému.
Požiadavky a dôkazy prepája Minimálny bezpečnostný štandard, preverenie dodávateľa Overenie integrity dodávateľa a obnovu služby Minimálny štandard odolnosti. Záznamy sa majú použiť spoločne; tieto kontroly však hodnotia rozdielne otázky.