Analýza minimálnych požiadaviek na kontinuitu, obnovu a technickú odolnosť kritických štátnych služieb.
Problém 1 – Plán obnovy ešte nepreukazuje reálnu odolnosť služby
Slovenský rámec už obsahuje požiadavky na kontinuitu a obnovu informačných technológií verejnej správy. Samotná existencia plánu však ešte nepreukazuje, že službu možno v reálnom incidente obnoviť v potrebnom čase.
Treba pritom rozlišovať aktuálnu a nastupujúcu úpravu. Vyhláška č. 179/2020 Z. z. zostáva účinná do 31. 12. 2026 a od 1. 1. 2027 ju nahrádza vyhláška č. 184/2026 Z. z. Jej § 5 do 30. 6. 2027 uznáva vymedzené minimálne opatrenia prijaté podľa predchádzajúcej úpravy; nejde o všeobecný odklad požiadaviek na kontinuitu alebo kybernetickú bezpečnosť. Zdroj: vyhláška č. 184/2026 Z. z., § 5.
- Vyhláška č. 179/2020 Z. z. pri systémoch s vysokou požiadavkou na dostupnosť vyžaduje plán kontinuity prevádzky. Zdroj: vyhláška č. 179/2020 Z. z..
- Plán pracuje s rolami, časom obnovy, potrebnými dátami, zdrojmi, zálohovaním, priestormi a náhradnou komunikáciou. Zdroj: vyhláška č. 179/2020 Z. z..
- Otvorenou otázkou zostáva praktická úroveň testovania, reálne dosiahnuté časy obnovy a odolnosť záloh.
Dôležité je, že príloha č. 2, časť O vyhlášky č. 179/2020 Z. z. už pre kategórie II a III ustanovuje analýzu dopadov, plán pre systémy s vysokou požiadavkou na dostupnosť a ročné overenie funkčnosti a aktuálnosti plánu. Ročné overovanie teda nie je nový princíp. Treba spresniť jeho dôkaz: preskúmanie dokumentu, diskusné cvičenie a skutočná obnova dát či služby preverujú rôzne veci. Bez protokolov nemožno tvrdiť, že konkrétny správca netestuje alebo je nepripravený.
Nemecký BSI Standard 200-4 je určený pre firmy, úrady aj ďalšie verejné organizácie a nastavuje celý cyklus Business Continuity Management: analýzu dopadov, stratégie kontinuity, plány, cvičenia, testovanie a zlepšovanie. Je kompatibilný s medzinárodným štandardom ISO 22301. Zdroj: BSI Standard 200-4.
Nemecko zároveň testuje spoluprácu federácie, spolkových krajín a ďalších aktérov prostredníctvom cvičení LÜKEX; po cvičení LÜKEX 23 zameranom na kybernetický útok na fungovanie vlády zverejnilo aj hodnotiacu správu. Bavorsko od apríla 2026 sústreďuje ďalšie kapacity civilnej ochrany a civilnej obrany v Landesamt für Bevölkerungsschutz. Zdroj: BBK – LÜKEX. Zdroj: Bavorské ministerstvo vnútra.
Bavorský LSI poskytuje obciam a menším mestám upraviteľné návody k IT núdzovej pripravenosti a balík diskusných cvičení so scenárom, hodnotením a následnými opatreniami. Prenositeľná je dostupná metodická pomoc a uzavretie zistení. Diskusné cvičenie však samo nepotvrdzuje technickú obnovu zo zálohy a existencia príručky nie je doklad pripravenosti každej obce.
Návrh
Správca pri každej službe dôležitej pre bezpečnosť alebo plnenie zákonných povinností určí zodpovednú organizáciu, dôsledky výpadku, najdlhší prípustný výpadok a prípustnú stratu údajov. Uvedie personál, techniku a nadväzujúce služby potrebné na obnovu, dostupné zálohy a náhradný postup. Po skúške zaznamená výsledok, potrebné opravy a výsledok opakovaného testu. RTO označuje cieľový čas obnovy a RPO prípustnú stratu údajov vyjadrenú časom. Nestačí obnoviť techniku: používateľ musí byť schopný dokončiť službu.
- Kritickosť podľa následku. Prednostne zaradiť službu, ktorej výpadok ohrozí život alebo zdravie, znemožní zákonnú lehotu či nenahraditeľné plnenie, alebo zablokuje inú základnú službu. Pri každej doložiť závislosti a dostupnú náhradu. Limity určiť z analýzy dopadu, zákonných povinností a schopnosti núdzového režimu; nezvoliť voľnejší limit iba preto, aby existujúci systém vyzeral pripravený.
- Obnoviť aj preveriť. Test musí v bezpečnom prostredí ukázať obnovu zo zálohy, prihlásenie oprávnených osôb, úplnosť dát a dokončenie služby. Overiť dostupnosť obnovy aj pri nedostupnosti hlavného prostredia, kontaktov alebo dodávateľa; presné scenáre a umiestnenia nezverejňovať. Diskusné cvičenie preverí roly a rozhodovanie, technický test obnovu a spoločná skúška nadväzujúce služby; tieto dôkazy nenahrádzajú jeden druhý.
- Interval a bezpečná skúška. Navrhujeme pri uvedených kritických službách aspoň raz za dvanásť mesiacov prakticky preveriť obnovu všetkých krokov potrebných na dokončenie služby a znovu po zmene, ktorá môže ovplyvniť obnovu, napríklad presune prostredia, zmene dodávateľa alebo zálohovania. Zohľadniť prísnejšie zákonné povinnosti a analýzu rizika. Ide o navrhované spresnenie spôsobu dokazovania, nie tvrdenie, že dnešný zákon predpisuje rovnakú plnú skúšku každému systému. Test nesmie ohroziť živú službu ani použiť osobné údaje bez právneho základu.
- Zistenie sa uzatvára opakovaným overením. Za závažné považovať nesplnenie určeného limitu, neúplnú obnovu dát alebo nefunkčný náhradný postup, ktorý má chrániť život či zákonné plnenie. Správca služby bezodkladne určí dočasnú ochranu, financovanie, termín opravy a opakovaný test. Nepreukázaná pripravenosť sa nezmení na preukázanú iba prijatím opatrenia; prijaté riziko musí byť zákonne prípustné a odôvodnené.
- Celý náklad a použiteľnosť. Porovnať náhradný postup, spoločnú kapacitu a samostatné zdvojenie systému. Vyčísliť náklady na vybavenie, prácu zamestnancov, energiu, licencie, servis, zálohovanie, prenos dát, cvičenia, obnovu a ukončenie prevádzky. Osobitne odhadnúť škody spôsobené výpadkom a uviesť predpoklady tohto odhadu. Technickú požiadavku odvodzovať od potreby a funkcie a vysvetliť jej obmedzenia. Rovnaké drahé zdvojenie nie je automaticky potrebné pri každej službe.
- Zavedenie a prechod práva. MIRRI s príslušnými správcami, vecnými rezortmi a odborným zapojením NBÚ v jeho právomociach do šiestich mesiacov pripravia mapu povinností, spoločnú metodiku a rozpočet. Nasleduje dvanásťmesačný pilot na troch službách s odlišnými závislosťami. Správca nesie prevádzkovú zodpovednosť; koordinátor ani dodávateľ ju automaticky nepreberá. Pilot neodkladá dnešné ročné overenie ani účinnosť novej úpravy od 1. 1. 2027. Pre konkrétnych správcov zohľadniť aj osobitné prechodné pravidlo § 5 ods. 2 novej vyhlášky.
- Bezpečný verejný dôkaz. Zverejniť účel služby v rozsahu, ktorý neohrozí jej bezpečnosť, dátum a druh poslednej skúšky, splnené/čiastočne splnené/nesplnené, neuzavreté závažné zistenia, termín nápravy a ďalšieho overenia. Citlivé limity, topológiu, zálohy, zraniteľnosti, zásoby a kontakty na zásah nezverejňovať. Oprávnenému kontrolórovi sprístupniť podrobný protokol podľa práva; uviesť dôvod zákonného obmedzenia verejného súhrnu.
Právna uskutočniteľnosť: lepší dôkaz plnenia existujúcich povinností sa podľa predbežného posúdenia môže vykonávať v platnom právnom rámci. Nový všeobecne záväzný interval, rozšírenie kritických služieb, verejný výkaz alebo sankcia môže vyžadovať zmenu príslušných právnych predpisov. Rešpektovať Ústavu SR, zákon č. 95/2019 Z. z., aktuálnu vyhlášku č. 179/2020 Z. z., nastupujúcu č. 184/2026 Z. z. a príslušné kybernetické a sektorové predpisy. Povinnosti podľa práva EÚ vrátane NIS2, CER a GDPR posúdiť podľa konkrétneho subjektu a služby, nie automaticky rovnako pre všetky úrady. Zachovať procesné a súkromné práva podľa ECHR a verejných záväzkov OSN; pri spojeneckých a obranných systémoch preveriť záväzky NATO a pravidlá pôvodcu podkladov. Nejaví sa zjavná potreba meniť verejnú medzinárodnú zmluvu; konkrétne systémy, zmluvy a neverejné bezpečnostné dohody potrebujú samostatné overenie.
Cieľový stav
Kritická služba má doložený prípustný výpadok, zodpovednú organizáciu a dostupný personál, funkčnú obnovu a nápravu overenú opakovaným testom. Pilot aj ročné hodnotenie porovnajú skutočné časy a stratu dát s limitmi, úspešné dokončenie služby, otvorené a opakované chyby, vek testu a celý náklad. Verejný súhrn ukáže stav bez návodu na útok. Plán kontinuity, ktorý nebol prakticky otestovaný, sa nepovažuje za preukázanú pripravenosť.
Táto stránka rieši kontinuitu konkrétnej služby a systému. Koordináciu celého štátu a závislosti medzi sektormi rozpracúva Bezpečnosť štátu a obyvateľov; evidencie a testy treba prepojiť, nevytvárať dva rovnaké plány.