Často kladené otázky o NIS2

NIS2 (Network and Information Security Directive 2) je európska smernica (EÚ) 2022/2555, ktorá zaväzuje stredné a veľké organizácie v kritických sektoroch prijať opatrenia na ochranu pred kybernetickými útokmi. Týka sa firiem v 18 sektoroch — energetika, doprava, bankovníctvo, zdravotníctvo (vrátane výroby liečiv), vodohospodárstvo, digitálna infraštruktúra, verejná správa, poštové a kuriérske služby a ďalších. V SR a ČR ide o tisíce subjektov.

Essential subjekty (kľúčové) sú veľké firmy v najkritickejších sektoroch (Príloha I smernice — energia, doprava, banky, zdravotníctvo, vodovody, DNS, cloud…). Important subjekty (dôležité) sú stredné firmy v Prílohe I alebo všetky stredné/veľké v Prílohe II (poštové a kuriérske služby, chémia, potraviny, výroba zdravotníckych pomôcok, elektroniky a strojov, digitálni poskytovatelia…). Essential má prísnejší dohľad (proaktívne kontroly), vyššie pokuty (až €10M / 2 % obratu vs €7M / 1,4 % pre Important) a pri neplnení nápravných opatrení možnosť dočasného zákazu riadiacej funkcie (čl. 32 ods. 5). Národné zákony tieto pojmy nepreberajú doslovne: slovenský zákon 69/2018 rozlišuje prevádzkovateľa základnej služby a prevádzkovateľa kritickej základnej služby (§ 17, § 18), český zákon 264/2025 Sb. režim vyšších a nižších povinností (§ 8).

Smernica mala byť transponovaná do 17. októbra 2024. Slovensko ju prebralo do zákona č. 69/2018 Z. z. v znení zákona č. 366/2024 Z. z. (novela účinná od 1. januára 2025), s vykonávacou vyhláškou NBÚ 227/2025 Z. z. účinnou od 1. septembra 2025. Česko transponovalo zákonom č. 264/2025 Sb. o kybernetickej bezpečnosti, účinným od 1. novembra 2025 (nahradil zákon č. 181/2014 Sb.). Lehoty: v SR oznámenie NBÚ do 60 dní od začatia činnosti (§ 17 ods. 2 zák. 69/2018) a opatrenia do 12 mesiacov od zápisu do registra (§ 19 ods. 1); v ČR ohlásenie NÚKIB do 60 dní od splnenia podmienok (§ 6 ods. 1 zák. 264/2025 Sb.) a opatrenia do 1 roka od doručenia rozhodnutia o registrácii (§ 13 ods. 4).

Slovensko: Národný bezpečnostný úrad (NBÚ) cez SK-CERT — registrácia subjektov, hlásenie incidentov, kontroly, pokuty. Hlásenia cez jednotný informačný systém kybernetickej bezpečnosti (jiskb.nbu.gov.sk), bez prístupu formulárom na sk-cert.sk. Česko: Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB); incidenty v režime nižších povinností prijíma Národní CERT. Portál: portal.nukib.gov.cz. Obe agentúry vydávajú sektorové usmernenia aj metodiky posúdenia rizík.

Tri kritériá súčasne: (1) sektor podľa NACE kódu musí byť v Prílohe I alebo II smernice, (2) veľkosť firmy — stredná alebo veľká (od 50 zamestnancov, ALEBO ročný obrat aj ročná súvaha nad €10M), (3) aktivita v EÚ. Niektoré firmy sú pod NIS2 aj pri menšej veľkosti (tzv. size-cap výnimky) — napríklad poskytovatelia verejnej elektronickej komunikácie, TLD registry, qualified trust service providers. NISMap scope engine to skontroluje automaticky na základe IČO cez verejný obchodný register.

Príloha I (11 sektorov Essential/Important): energetika (elektrina, ropa, plyn, vodík), doprava (letecká, železničná, vodná, cestná), bankovníctvo, finančné trhy, zdravotníctvo (vrátane výroby základných farmaceutických výrobkov), pitná voda, odpadové vody, digitálna infraštruktúra, ICT service management, verejná správa, vesmírne aktivity. Príloha II (7 sektorov Important): poštové a kuriérske služby, nakladanie s odpadom, výroba a distribúcia chemikálií, výroba a distribúcia potravín, výroba (zdravotnícke pomôcky, elektronika, elektrické zariadenia, stroje, motorové vozidlá a iné dopravné prostriedky), digitálni poskytovatelia (online marketplace, vyhľadávače, sociálne siete), výskumné organizácie.

Smernica používa definíciu MSP z Odporúčania Komisie 2003/361/ES. Stredný podnik (čl. 2 ods. 1 prílohy): menej ako 250 zamestnancov a ročný obrat do 50 mil. € alebo súvaha do 43 mil. €. Malý podnik: menej ako 50 zamestnancov a ročný obrat alebo súvaha do 10 mil. €. Veľkostnú podmienku čl. 2 ods. 1 NIS2 spĺňa podnik, ktorý je aspoň stredný, teda má 50 a viac zamestnancov alebo obrat aj súvahu nad 10 mil. €. Veľký podnik má 250 a viac zamestnancov alebo obrat nad 50 mil. € a zároveň súvahu nad 43 mil. €. Pozor: pri skupine firiem sa započítavajú aj údaje partnerských a prepojených podnikov (čl. 3 a 6 prílohy). NISMap údaje firmy preberá z verejných registrov, ak sú dostupné, ale údaje skupiny nesčítava, tie treba posúdiť ručne.

Dva scenáre. (A) Ak ste priamo v Prílohe I/II a ste stredná/veľká firma — platia pre vás plné povinnosti. (B) Ak nie ste v rozsahu, ale dodávate kľúčovému alebo dôležitému subjektu, váš zákazník musí podľa čl. 21 ods. 2 písm. d) NIS2 riešiť bezpečnosť dodávateľského reťazca vrátane bezpečnostných aspektov vzťahov s priamymi dodávateľmi. V SR musí zmluva s dodávateľom, ktorý vykonáva činnosť priamo súvisiacu so sieťami a informačnými systémami prevádzkovateľa, obsahovať najmä záväzok dodržiavať jeho bezpečnostné politiky, rozsah kontroly a auditu u dodávateľa a povinnosť informovať o kybernetickom bezpečnostnom incidente (§ 7 ods. 2 vyhlášky NBÚ č. 227/2025 Z. z.). V praxi to znamená: aj malí SaaS/ICT dodávatelia dostávajú dotazníky, zmluvné bezpečnostné doložky a žiadosti o súčinnosť. NISMap vendor audit modul vám pomôže pripraviť sa a distribuovať svoj security posture zákazníkom.

Čl. 21(2) smernice listuje 10 povinných oblastí: (a) politiky analýzy rizík, (b) riešenie incidentov, (c) kontinuita činností (BCP/DRP, backup), (d) supply chain security, (e) bezpečnosť vývoja a údržby, (f) hodnotenie efektívnosti opatrení, (g) kyberhygiena a školenia, (h) kryptografia, (i) HR security a prístupy, (j) multifaktorová autentifikácia, šifrovaná komunikácia. Plus: registrácia u NBÚ/NÚKIB (čl. 3), reporting incidentov (čl. 23), zodpovednosť vedenia (čl. 20). NISMap mapuje každú z 10 oblastí na konkrétne otázky a odporúčania.

NIS2 čl. 23 definuje 3-stupňovú schému: Early warning do 24 hodín od zistenia významného incidentu (čo viete v tej chvíli), notifikácia do 72 hodín (rozšírené údaje + prvé hodnotenie), záverečná správa do 1 mesiaca (analýza príčin + opatrenia). Adresát: SR — SK-CERT cez jednotný informačný systém kybernetickej bezpečnosti (jiskb.nbu.gov.sk). ČR — NÚKIB (režim vyšších povinností) alebo Národní CERT (režim nižších povinností) cez portal.nukib.gov.cz; v ČR je záverečná správa do 30 dní od oznámenia (§ 16 ods. 3 zák. 264/2025 Sb.). "Významný" incident = spôsobuje vážne prevádzkové narušenie alebo finančnú stratu, prípadne dotýka sa iných fyzických/právnických osôb značnou materiálnou alebo nemateriálnou ujmou.

Podľa NIS2 (čl. 34): kľúčový (Essential) subjekt do €10 000 000 alebo 2 % celosvetového ročného obratu (podľa toho, čo je vyššie), dôležitý (Important) subjekt do €7 000 000 alebo 1,4 % obratu. V SR (§ 31 zák. 69/2018): do €10 000 000 alebo 2 % len prevádzkovateľ kritickej základnej služby, ostatní prevádzkovatelia základnej služby do €7 000 000 alebo 1,4 %, vybrané povinnosti 300 až 500 000 €. V ČR (§ 59 ods. 4 zák. 264/2025 Sb.): do 250 000 000 Kč alebo 2 % (režim vyšších povinností), do 175 000 000 Kč alebo 1,4 % (režim nižších povinností). Pokuty sa kombinujú s GDPR (až €20M / 4 % obratu) — pri porušení oboch môžu pribudnúť. Sankcie sú administratívneho charakteru, ukladá ich priamo NBÚ/NÚKIB bez súdu. Voči kľúčovým subjektom môže regulátor pri neúčinnosti iných opatrení pozastaviť certifikáciu alebo povolenie a požadovať dočasný zákaz výkonu riadiacej funkcie (čl. 32 ods. 5 NIS2; v SK § 29j ods. 4 zák. 69/2018, v ČR § 58 zák. 264/2025 Sb.).

Čiastočne. Čl. 20 NIS2 ukladá orgánom riadenia schváliť bezpečnostné opatrenia, dohliadať na ich vykonávanie a absolvovať odbornú prípravu; za porušenie čl. 21 ich musí byť možné brať na zodpovednosť podľa vnútroštátneho práva. NIS2 ani SK a CZ zákon však neupravujú pokutu ukladanú priamo členovi vedenia — pokuty podľa § 31 zák. 69/2018 a § 59 zák. 264/2025 Sb. sa ukladajú subjektu. Osobný dosah má dočasný zákaz výkonu funkcie: čl. 32 ods. 5 NIS2 pre kľúčové subjekty, v SK štatutár prevádzkovateľa kritickej základnej služby (§ 29j ods. 4 zák. 69/2018), v ČR člen štatutárneho orgánu poskytovateľa v režime vyšších povinností (§ 58 zák. 264/2025 Sb.). Zodpovednosť voči vlastnej spoločnosti sa riadi obchodným právom. NISMap board-liability kalkulačka ukáže, kde máte medzery.

NISMap generuje dokumenty a posúdenia, ktoré môžete použiť ako vstup pre internú dokumentáciu aj pre komunikáciu s NBÚ/NÚKIB. Pre záväznú kategorizáciu subjektu (Essential vs Important) sa však musíte obrátiť na NBÚ SR (jiskb.nbu.gov.sk) alebo NÚKIB (portal.nukib.gov.cz) a zaregistrovať sa. V praxi: NISMap report pomáha pripraviť sa na proaktívny audit (Essential), reaktívnu kontrolu po incidente alebo zákaznícky due diligence. Pre certifikáciu zhody s ISO 27001/27002 potrebujete externého akreditovaného audítora.

Externý audítor je užitočný v 3 scenároch: (1) váš zákazník to vyžaduje v tendri alebo zmluve (typicky pre banky, telco, verejnú správu), (2) chcete certifikát ISO 27001 ako konkurenčnú výhodu, (3) po závažnom incidente potrebujete dôveryhodné potvrdenie, že ste nápravné opatrenia implementovali správne. V SR musí prevádzkovateľ základnej služby vykonať audit kybernetickej bezpečnosti do dvoch rokov od zápisu do registra; ak nie je prevádzkovateľom kritickej základnej služby, môže ho nahradiť samohodnotením cez jednotný informačný systém kybernetickej bezpečnosti (§ 29 ods. 1 zák. 69/2018). Predpripravená dokumentácia z NISMap môže audítorovi skrátiť prípravu.

ISO 27001 je medzinárodný štandard pre Information Security Management System (ISMS). NIS2 je právna regulácia EÚ. Témy sa z veľkej časti prekrývajú: obe vyžadujú analýzu rizík, riadenie prístupov, hlásenie incidentov, školenia, kontinuitu činností. Rozdiely: NIS2 má konkrétne sektorové povinnosti (poštové služby, výroba…) + lehoty hlásenia incidentov + povinnosti orgánov riadenia (čl. 20) — ISO tieto nemá. Naopak ISO vyžaduje formálne Statement of Applicability a certifikácia podľa ISO má externý audit a trojročný certifikačný cyklus. Ideálny stav: ISO 27001 ako základ + NIS2 add-on pre sektorové špecifiká.

Kým nespustíme platby, sú všetky funkcie NISMap zadarmo vrátane AI reportov, monitoringu a exportov. Verejné nástroje (scope-check, scan domény, NIS2 dotazník, frameworky crosswalk, NIS2 mapa) fungujú bez registrácie, na uloženie dát a AI funkcie si založíte bezplatný účet. Ceny platených plánov na /pricing sú orientačné (bez DPH): Pro €99, Business €249 a Audítor €499 mesačne, Enterprise od €1 499 mesačne podľa dohody. Skúšobnú verziu neponúkame. Na podmienky sa môžete vopred opýtať na sales@nismap.com.

Dáta sú hostované v EÚ (Supabase Frankfurt, AES-256 at rest, TLS 1.3 in transit). Citlivé PII polia sú šifrované per-row cez Supabase Vault. Z dát posielaných do AI (Claude od Anthropic) pred odoslaním automaticky odstraňujeme IČO, názov firmy, kontaktné údaje a rozpoznané mená a adresy (mená a adresy heuristicky, nie so zárukou). Prenosy mimo EÚ idú pod Schrems II zárukami: Supabase SCC Modul 2, Anthropic SCC (Modul 2 a 3). Plný zoznam sub-processorov + DPA odkazy na /sub-processors. Zero tracking cookies, GDPR-first architektúra.

Áno, hneď — stačí na hlavnej stránke zadať doménu alebo IČO. Dostanete (a) orientačný NIS2 scope check (Essential / Important / mimo rozsahu), (b) technický bezpečnostný scan (TLS, hlavičky, DNS, CVE pri rozpoznanom CMS), (c) odhad compliance skóre. Verejné nástroje nevyžadujú registráciu ani kreditnú kartu. Na uloženie výsledkov a histórie scanov stačí bezplatná registrácia e-mailom. Kým nespustíme platby, sú zadarmo aj sledovanie trendu a AI report. Účet môžete kedykoľvek zrušiť v nastaveniach.

Po dokončení scanu so skóre aspoň 50 % si v účte v časti Potvrdenia vystavíte potvrdenie o samohodnotení na 12 mesiacov. Dostanete verejnú URL a SVG odznak v 3 veľkostiach (sm / md / lg) s HTML kódom na vloženie. Odznak vedie na verejnú stránku so skóre, dátumom a upozornením, že ide o samohodnotenie, ktoré NISMap neoveroval. Nie je to certifikát ani úradné osvedčenie a nenahrádza audit. Vystavenie je bezplatné, potrebujete bezplatný účet. Detaily: /certificates.

Crosswalk je matica 10 oblastí NIS2 × 6 rámcov (NIS2, GDPR, DORA, ISO 27001, NIST CSF 2.0, CIS Controls v8). Pre každú kombináciu ukazuje najbližší článok alebo kontrolu a kvalitatívnu úroveň väzby (čiastočná väzba / bez väzby), bez percent — je to naše vlastné porovnanie textov, nie výsledok štúdie. Väčšina oblastí NIS2 má čiastočnú protistranu v ISO 27001, NIST CSF, CIS Controls aj DORA, v GDPR len tam, kde ide o osobné údaje. Matica ukáže, kde sa dá jeden proces použiť pre viac rámcov a čo treba pre každý doplniť. Dostupné zadarmo na /frameworks/crosswalk.

NISMap automaticky analyzuje vašich dodávateľov cez RPVS a RPO (SK), ARES (CZ) a Entyrix. Bez manuálneho zadávania — stačí IČO dodávateľa, doplní UBO, majetkovú štruktúru, credit scoring a sankčné zoznamy. Graph-based detekcia hľadá skryté prepojenia: zdieľané skutočné majitele (UBO), spoločné korporátne matky, zdieľané banky/IBAN, geografická koncentrácia. Alert pri 2+ dodávateľoch v jednom uzle — NIS2 Art. 21(2)(d) + Art. 29 DORA koncentračný risk monitoring. Detaily: /supply-chain.

Dashboard zobrazuje unified countdown naprieč všetkými frameworkmi — DORA 4h initial classification, NIS2 24h early warning, NIS2 72h incident report, NIS2 final report do 1 mesiaca (v ČR do 30 dní), GDPR 72h supervisor notification. Pri otvorení incidentu sa automaticky vypočítajú deadlines pre aplikovateľné rámce. Stavy: pending (zelené) / due_soon (amber, posledných 25 % času) / overdue (červené). Každý deadline má link na právny základ (NIS2 Art. 23, Art. 19 DORA, Art. 33 GDPR + SK 69/2018 § 24, CZ 264/2025).