Digitálny štát má občanovi zjednodušovať život a zároveň zostať bezpečný, odolný a pod kontrolou štátu.
Podklady a spôsob spracovania: dátový základ NKÚ a metodika projektu.
Problém 1 – Digitalizácia môže iba preniesť zložitý proces na obrazovku
Digitalizácia nepomáha, ak zachová zbytočné kroky, duplicitné údaje alebo nejasnú zodpovednosť a iba ich presunie do elektronického formulára. Pri podnikaní sa toto riziko prejavuje najmä prepisovaním údajov a duplicitným vykazovaním.
Štruktúrovaná e-faktúra umožňuje automatické spracovanie údajov. Zdroj: Finančná správa – eFaktúra. V rámci projektu je podnetom na posúdenie, či digitalizácia zjednodušuje celý proces; nejde o preukázané zlyhanie e-faktúry.
Návrh
Najprv zjednodušiť proces a až potom ho digitalizovať. Službu navrhovať podľa životnej situácie občana alebo podnikateľa, znovu používať iba údaje, ktoré štát už má a môže ich na daný účel zákonne spracúvať, a ponechať iba kroky potrebné z právnych, odborných alebo bezpečnostných dôvodov. Využívať spoločné dátové štandardy a automatizáciu, odstraňovať duplicitné povinnosti a zmeny komunikovať zrozumiteľne a včas.
Cieľový stav
Občan aj podnikateľ vybavia službu jednoducho a bezpečne, poskytnú potrebné údaje s menšou administratívnou záťažou a štát získa spoľahlivé informácie.
Problém 2 – Digitálny štát môže zostať závislý od jedného dodávateľa
Externý dodávateľ sám osebe nie je problém. Riziko vzniká vtedy, keď štát nemá realistickú možnosť systém meniť, prevádzkovať alebo migrovať s iným dodávateľom bez neprimeraných nákladov alebo rizika prerušenia služby.
Dôkazný základ: analýza závislosti od jedného dodávateľa obsahuje 6 explicitných zistení NKÚ v 5 kontrolných akciách a 5 subjektoch. Malý počet zistení neumožňuje odhadnúť, ako často sa tento problém vyskytuje vo všetkých štátnych systémoch.
Príklad: pri kontrole NASES NKÚ označil ako problém obstaranie komplexného riešenia s vendor lock-in namiesto rozdelenia na samostatné moduly; v porovnaní s komerčným riešením uviedol výrazne vyššiu cenu a horšie technické parametre. Zdroj: NKÚ, KA-029/2021/1063.
Návrh
- Zmluvne určiť, aké práva štát potrebuje na používanie, úpravu a prevádzku systému aj po zmene dodávateľa.
- Umožniť vývoz údajov v použiteľnom formáte a prepojenie systému cez zdokumentované rozhrania, aby ich mohol prevziať aj iný oprávnený dodávateľ.
- Kde je to technicky a ekonomicky odôvodnené, rozdeliť systém na samostatné časti, ktoré možno meniť bez výmeny celého riešenia. Vyčísliť aj náklady ich prepojenia.
- Udržiavať dokumentáciu potrebnú na prevádzku, úpravy a odovzdanie systému. Zmluva určí, kto ju aktualizuje a komu sa sprístupní.
- Pri systéme, ktorého výpadok by ohrozil ľudí alebo chod štátu, vopred pripraviť odovzdanie inému dodávateľovi: údaje, práva, dokumentáciu, čas, náklady a zachovanie služby.
Každé opatrenie má aj vedľajšie náklady a kompromisy: širšie práva môžu zvýšiť cenu a modularita integračnú náročnosť. Preto sa má rozsah poistiek viazať na význam systému.
Cieľový stav
Pri kritickom systéme štát vie, kto dáta spravuje, aké má štát práva na prístup, použitie, prenos a licencovanie, ako systém migrovať, čo by migrácia stála a či službu môže prevziať iný dodávateľ. Pri osobných údajoch nejde o „vlastníctvo“ v majetkovom zmysle; práva dotknutých osôb a pravidlá ochrany osobných údajov zostávajú zachované. Zdroj: GDPR.
Problém 3 – Digitálne služby nemajú vždy riadené prevádzkové a bezpečnostné riziká
Bezpečnosť nie je iba vlastnosť softvéru. Organizácia musí vedieť, ktoré služby sú kritické, čo ich môže vyradiť, kto za ne zodpovedá, ako sa obnovia a či záložné mechanizmy skutočne fungujú.
Právny základ už tvorí aj slovenský rámec kybernetickej bezpečnosti podľa zákona č. 69/2018 Z. z. v aktuálnom znení. Pri informačných technológiách verejnej správy od 1. 1. 2027 nastupuje aj vyhláška č. 184/2026 Z. z.; jej prechodné ustanovenie do 30. 6. 2027 uznáva len vymedzené minimálne opatrenia prijaté podľa predchádzajúcej úpravy, nie všeobecný odklad bezpečnostných povinností. Zdroj: zákon č. 69/2018 Z. z. · Zdroj: vyhláška č. 184/2026 Z. z., § 5.
Dôkazný základ: analýza prevádzkových a bezpečnostných rizík digitálnych služieb tvorí pracovný blok približne 102 zistení v 19 kontrolných akciách a 64 subjektoch.
Príklad: pri kontrole Fakultnej nemocnice s poliklinikou Žilina NKÚ zistil, že nebola určená osoba zodpovedná za informačnú bezpečnosť, chýbali interné pravidlá pre zálohovanie údajov a nemocnica nevykonávala kontrolu bezpečnosti. Zdroj: NKÚ, KA-002/2014/1015.
Návrh
Pre službu, ktorej výpadok by ohrozil ľudí alebo chod štátu, určiť zodpovednú organizáciu, najdlhší prípustný výpadok a riziká. Pripraviť zálohy a náhradnú prevádzku, prakticky vyskúšať obnovu a po chybe overiť nápravu.
Pri rizikovej technológii má bezpečnostné posúdenie prísť pred produkčným nasadením. Podrobnejšie: Bezpečnostné overenie technológie, Minimálny bezpečnostný štandard a Odolnosť štátnych služieb.
Cieľový stav
Každá kritická digitálna služba má určenú zodpovednú organizáciu, definovaný prípustný výpadok, funkčnú zálohu, otestovaný spôsob obnovy a pravidelne preverované riziká. Pri rizikovej technológii je pred spustením do bežnej prevádzky dohľadateľné, kto ju bezpečnostne schválil a na základe čoho.