Analýza potreby jednotnejších a praktických minimálnych bezpečnostných pravidiel pre štátne informačné systémy, pri ktorých sa dá jednoznačne overiť, či ich systém spĺňa.
Problém 1 – Nie je vždy možné jednoducho overiť, či štátne informačné systémy spĺňajú bezpečnostné požiadavky
Slovensko už má bezpečnostné pravidlá. Otázkou je, či správca pri konkrétnom systéme vie doložiť, ktoré povinnosti sa naň vzťahujú, ako ich plní a kedy to naposledy overil. Samotná existencia predpisu ani všeobecné vyhlásenie o súlade taký dôkaz nenahrádzajú. Bez údajov z konkrétnych kontrol nemožno z tejto otázky vyvodiť, že všetky úrady bezpečnostné pravidlá porušujú.
Zákon č. 95/2019 Z. z. upravuje riadenie bezpečnosti, evidenciu aktív (údajov, systémov a ďalších chránených zdrojov) a rizík, oddelenie riadenia, vykonávania a kontroly aj preskúmanie bezpečnosti najmenej raz ročne. Pri nadobúdaní systému sa určujú požiadavky vrátane vývoja, testovania a dodania. Zdroj: § 18–20 zákona č. 95/2019 Z. z..
Právny režim určiť podľa správcu aj systému. Ak je správca prevádzkovateľom základnej služby, podľa § 18 ods. 2 sa uplatní aj príslušný režim kybernetickej bezpečnosti. Vyhláška Národného bezpečnostného úradu (NBÚ) č. 227/2025 Z. z. upravuje bezpečnostnú dokumentáciu, riadenie rizík a evidenciu aktív; nemožno ju automaticky uplatniť rovnako na každú organizáciu. Zákon č. 95/2019 Z. z., § 18; zákon č. 69/2018 Z. z., § 17–20; vyhláška č. 227/2025 Z. z., § 4–6.
Do 31. 12. 2026 platí vyhláška č. 179/2020 Z. z.; od 1. 1. 2027 ju nahrádza vyhláška č. 184/2026 Z. z. Jej § 5 ods. 1 do 30. 6. 2027 uznáva uvedené opatrenia podľa predchádzajúcej úpravy. Ide o konkrétne prechodné pravidlo, nie všeobecný odklad bezpečnosti. Osobitne treba posúdiť § 5 ods. 2 pre správcov zriadených alebo založených od 1. 1. 2026. Vyhláška č. 179/2020 Z. z.; vyhláška č. 184/2026 Z. z.; záväzný PDF text, § 5–7.
Porovnanie: nemecký úrad pre informačnú bezpečnosť BSI pri kontrole IT-Grundschutz rozlišuje splnenú, čiastočne splnenú a nesplnenú požiadavku aj odôvodnenie, prečo požiadavka nie je potrebná. V Bavorsku čl. 46 BayDiG zveruje prípravu minimálnych štandardov krajinskému úradu pre bezpečnosť informačných technológií (LSI) a upravuje ich vydávanie a použitie pri úradnej sieti. Príručka LSI pre obecné aplikácie spája bezpečnostné požiadavky s konkrétnymi prístupmi, aktualizáciami a prevádzkovými podmienkami. BSI – dokumentovanie kontroly; Bavorsko – čl. 46 BayDiG; LSI – kritériá obecných aplikácií, príručka z roku 2020.
Prenositeľný je prehľad požiadaviek s dôkazmi a dostupná odborná pomoc, nie automatické prevzatie nemeckej normy ako slovenského zákona. Uvedené dokumenty opisujú postup; samy nepreukazujú účinnosť každej nemeckej či bavorskej organizácie. Staršiu príručku treba pri konkrétnom použití porovnať s aktuálnou technikou a právom.
Návrh
Nestratené Slovensko navrhuje spoločný spôsob, ako správca priradí povinnosti ku konkrétnemu systému a doloží ich splnenie. Základné pravidlá sa používajú aj pri bežných zariadeniach; rozsah a hĺbka kontroly rastú podľa následkov zlyhania.
- Priradiť správny právny režim. Správca eviduje účel systému, spracúvané údaje, nadväzujúce služby a dôsledky výpadku. Pri každej povinnosti uvedie právny zdroj, účinné znenie a dôvod jej použitia. Zákonné kategórie správcu a analýza rizika majú rozdielny účel; jedna nenahrádza druhú.
- Pomenovať overiteľnú požiadavku. Nestačí napísať „systém je bezpečný“. Záznam určí požadovaný výsledok, osobu alebo útvar zodpovedný za plnenie, spôsob skúšky a doklad. Napríklad pri prístupoch overí, či testovací účet nemôže používať funkciu, na ktorú nemá oprávnenie, a či sa oprávnenie po odobratí skutočne zrušilo.
- Využiť existujúce dôkazy. Prepojiť použiteľnú bezpečnostnú dokumentáciu, výsledky skúšok a zákonné audity. Automatická kontrola môže overiť nastavenie, ale sama nepreukáže zákonnosť spracúvania údajov ani funkčnosť všetkých organizačných postupov. Duplicitný výkaz vytvárať iba pri odôvodnenej potrebe.
- Rozlišovať výsledok a chýbajúci dôkaz. Zaznamenať splnené, čiastočne splnené, nesplnené alebo neoverené. Neoverené sa nepočíta ako splnené. Neuplatniteľnú požiadavku vyradiť iba s konkrétnym dôvodom a schválením v príslušnom právnom režime; osobitne uviesť, koľko požiadaviek bolo takto vyradených.
- Odchýlku posúdiť podľa práva. § 2 ods. 3–4 vyhlášky č. 184/2026 Z. z. od jej účinnosti pripúšťa vymedzené prípady, keď sa opatrenie nemusí realizovať; vyžaduje zdokumentované posúdenie a schválenie. To nie je všeobecné oprávnenie vzdať sa bezpečnosti. Pri dočasnej internej odchýlke uviesť náhradnú ochranu, zodpovednú osobu, dátum skončenia a termín kontroly. Zdroj: vyhláška č. 184/2026 Z. z., § 2.
- Nápravu skutočne overiť. Pri nedostatku určiť následok, dočasnú ochranu, náklady a termín opravy. Pri možnosti neoprávneného prístupu k chráneným údajom alebo zastavenia služby ohrozujúceho život či zákonnú povinnosť musí správca riešiť ochranu bezodkladne. Zistenie uzavrie až kontrola výsledku; samotná objednávka opravy nestačí.
- Pripraviť metodiku a overiť jej náklady. Ministerstvo investícií, regionálneho rozvoja a informatizácie (MIRRI) s príslušnými správcami a s NBÚ v jeho právomociach pripraví do šiestich mesiacov od pridelenia ľudí a financií na prípravu metodiky mapu povinností, príklady dôkazov a rozpočet. Navrhujeme dvanásťmesačný pilot v troch organizáciách s rozdielnou kapacitou a rizikom. Pilot od začiatku eviduje rozsah, čas práce, použiteľnosť dôkazov a čas nápravy; neodkladá zákonné povinnosti ani prechod na novú vyhlášku.
- Započítať prevádzku aj administratívu. Rozpočet zahrnie prácu odborníkov, testovacie prostredie, nástroje, školenie, nápravu, licencie, podporu a obnovu. Osobitne vyčísli náklady vedenia evidencie a opakovaných kontrol. Po pilote sa odhad porovná so skutočnosťou. Zrušiť možno zbytočné interné výkazy alebo duplicitné kontroly; zákonné bezpečnostné povinnosti tým nezanikajú.
Právne posúdenie: mapovanie a dokazovanie existujúcich povinností sa predbežne javí ako možné v platných právomociach. Nový všeobecne záväzný katalóg, centrálne oprávnenie zastavovať systém, povinné nové hlásenie alebo sankcia potrebuje zodpovedajúcu právnu úpravu; podľa obsahu môže ísť o vykonávací predpis alebo novelu zákona. Pri osobných údajoch zachovať zákonný účel, obmedzený prístup a ochranu podľa GDPR. Kontrola zamestnancov nemá vzniknúť skryto z bezpečnostných záznamov. Rešpektovať ochranu súkromia podľa Ústavy SR, Európskeho dohovoru a verejných záväzkov OSN; pri obranných či spojeneckých systémoch aj osobitné bezpečnostné pravidlá. V civilnom metodickom rozsahu nebol identifikovaný dôvod na zmenu medzinárodnej zmluvy. Konkrétne bezpečnostné dohody a konečné záväzné znenie však nie sú úplne overené. Ústava SR, čl. 2, 19 a 26; GDPR, čl. 5, 32 a 35; Európsky dohovor, čl. 8; OSN – Medzinárodný pakt o občianskych a politických právach, čl. 17.
Cieľový stav
Oprávnený kontrolór pri systéme nájde použiteľné požiadavky, dôkazy, dátum posledného overenia, otvorené nedostatky a výsledok nápravy. Splnené znamená doložené splnenie všetkých uplatniteľných povinností v hodnotenom rozsahu; čiastočne splnené otvorené nedostatky s doloženou ochranou a nápravou; nesplnené chýbajúcu povinnú ochranu alebo nedoložený stav. Hodnotiaci stupeň sám nedáva oprávnenie na prevádzku. Ani úplný kontrolný záznam nie je zárukou, že nikdy nevznikne incident.
Vyhodnotenie uvedie počet hodnotených systémov, podiel použitých požiadaviek s aktuálnym dôkazom, neoverené a vyradené požiadavky, otvorené a opakované nedostatky, čas nápravy a celkové náklady. Verejnosť dostane bezpečný súhrn výsledku a termín ďalšej kontroly; nezverejnia sa zraniteľnosti, technické usporiadanie, prihlasovacie údaje ani presné obranné kapacity.
Prednasadzovacie posúdenie rozpracúva Bezpečnostné overenie technológie a praktickú obnovu Minimálny štandard odolnosti štátnych služieb. Tie isté doklady sa majú použiť v nadväzujúcich kontrolách; právna a prevádzková zodpovednosť správcu zostáva zachovaná.