227/2025 Z. z.
VYHLÁŠKA
Národného bezpečnostného úradu
z 26. augusta 2025
o bezpečnostných opatreniach
Národný bezpečnostný úrad (ďalej len „úrad“) podľa § 32 ods. 1 písm. b) zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon“) ustanovuje:
§ 1
Táto vyhláška ustanovuje obsah bezpečnostných opatrení, rozsah všeobecných bezpečnostných opatrení pre siete a informačné systémy a operačné technológie a obsah a štruktúru bezpečnostnej dokumentácie podľa § 20 zákona.
§ 2
Na účely tejto vyhlášky sa rozumie
a) aktívom hmotný alebo nehmotný komponent informačnej architektúry, ktorý má pre prevádzkovateľa základnej služby hodnotu, najmä služby, procesy, informácie alebo údaje,
b) primárnym aktívom aktívum, ktoré je nevyhnutné na dosiahnutie cieľov prevádzkovateľa základnej služby,
c) podporným aktívom aktívum, na ktorom je závislé jedno alebo viacero primárnych aktív,
d) bezpečnostnou politikou dokumentácia, ktorá určuje smerovanie prevádzkovateľa základnej služby v oblasti kybernetickej bezpečnosti na úrovni riadenia a určuje povinnosti, zodpovednosti, požiadavky, zákazy a zásady správania sa v jednotlivých oblastiach kybernetickej bezpečnosti,
e) bezpečnostným štandardom súbor pravidiel spojených s kybernetickou bezpečnosťou, ktoré jednotne interpretujú požiadavky bezpečnostných politík v konkrétnych situáciách, určujú aktivity, hlavné pravidlá, zodpovednosti a organizáciu riadenia kybernetickej bezpečnosti a ktorých účelom je vytvorenie jednotného prostredia pre dodržiavanie bezpečnostných politík.
§ 3
(1)
Bezpečnostné opatrenia tvoria opatrenia podľa § 20 ods. 4 zákona, ktoré sú minimálne bezpečnostné opatrenia a
a) opatrenia pre oblasti kybernetickej bezpečnosti podľa § 20 ods. 2 zákona, alebo
b) sektorové bezpečnostné opatrenia, ak sú ustanovené.
(2) Rozsah všeobecných bezpečnostných opatrení pre oblasti kybernetickej bezpečnosti podľa § 20 ods. 2 zákona je uvedený v prílohe č. 1 a určuje sa na základe analýzy rizík.
§ 4
(1)
Bezpečnostná dokumentácia obsahuje
a) schválenú stratégiu kybernetickej bezpečnosti určujúcu ciele, ktoré je potrebné v riadení kybernetickej bezpečnosti dosiahnuť, spolu s uvedením základných princípov na ich dosiahnutie a určením právomocí a zodpovedností za systémy manažérstva, riadenie rizík a aktualizáciu bezpečnostnej dokumentácie,
b) schválené bezpečnostné politiky pre jednotlivé oblasti riadenia kybernetickej bezpečnosti vrátane opisu súvisiacej organizačnej štruktúry, procesov a väzieb, pracovných rolí, zodpovednosti a delenia právomocí a opisu rámca riadenia bezpečnostných rizík,
c) vykonanú klasifikáciu informácií podľa prílohy č. 2; ak prevádzkovateľ základnej služby disponuje vlastnou metodikou pre klasifikáciu informácií, vykoná sa mapovanie na klasifikačné stupne v súlade s prílohou č. 2,
d) určenie sietí a informačných systémov a operačných technológií do príslušnej kategórie informačných a komunikačných technológií alebo operačných technológií; v prípade nejednoznačnosti rozhodne o určení kategórie prevádzkovateľ základnej služby,
e) vykonanú analýzu…
