NIS2 vo výrobe: kedy sa vás týka a čo treba stihnúť

Ak vyrábate stroje alebo zariadenia a máte aspoň 50 zamestnancov alebo obrat nad 10 miliónov eur, pravdepodobne ste regulovaný subjekt podľa zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti, ktorým Slovensko prebralo smernicu NIS2. Znamená to oznámiť činnosť Národnému bezpečnostnému úradu do 60 dní od jej začatia, hlásiť závažné incidenty do 24 hodín od zistenia a mať ošetrených dodávateľov, ktorí vám siahajú do systémov. Pokuta za závažné porušenie siaha do 7 miliónov eur alebo 1,4 percenta celosvetového obratu, podľa toho, čo je viac.

Povinnosť	Lehota
Oznámenie začatia regulovanej činnosti NBÚ	do 60 dní od začatia
Zmena zapísaných údajov	do 14 dní
Včasné varovanie pri závažnom incidente	do 24 hodín od zistenia
Oznámenie incidentu	do 72 hodín od zistenia
Záverečná správa	do 1 mesiaca od oznámenia

Ako zistím, či pod to spadáme?

Podmienky sú dve a musia platiť naraz: firma dosahuje aspoň veľkosť stredného podniku a vykonáva činnosť uvedenú v prílohe č. 1 alebo č. 2 zákona (§ 17).

Stredný podnik je ten, ktorý už nie je malý. Malý podnik má menej ako 50 pracovníkov a obrat alebo bilančnú sumu najviac 10 miliónov eur. Stačí teda prekročiť jedno z tých kritérií a veľkostnú podmienku spĺňate. Pri partnerských a prepojených podnikoch sa údaje skupiny pripočítavajú, takže dcéra veľkej skupiny sa malým podnikom nestane.

Druhá podmienka stojí na klasifikácii SK NACE, nie na tom, ako svoju výrobu opisujete v cenníku. Výroba strojov a zariadení, teda divízia 28, patrí do sektora výroby v prílohe č. 2. Ak vyrábate napríklad kovové konštrukcie alebo spojovací materiál, môže ísť o inú divíziu a záver bude iný.

Príloha č. 2 znamená spravidla postavenie dôležitého subjektu, nie prevádzkovateľa kritickej základnej služby. Rozdiel je hlavne v intenzite dohľadu a v tom, že najprísnejšie opatrenia voči štatutárom sa na dôležité subjekty neuplatňujú.

Čo ak sme mali oznámiť a neoznámili?

Lehota 60 dní beží od začatia regulovanej činnosti, nie od dnešného dňa. Firma, ktorá takú výrobu robí roky, má lehotu dávno po termíne. Prakticky to znamená overiť, či ste v registri NBÚ zapísaní, a ak nie, podať oznámenie bezodkladne. Zmeny zapísaných údajov sa potom hlásia do 14 dní.

Čo musíme chcieť od dodávateľov?

Zákon rieši dodávateľský reťazec samostatne a je to tá časť, ktorá vo výrobe prekvapí najviac. Ak tretia strana vykonáva činnosť, ktorá priamo súvisí s dostupnosťou, dôvernosťou alebo integritou vašich sietí a systémov, musíte s ňou mať písomnú zmluvu o plnení bezpečnostných opatrení a notifikačných povinností, a to počas celého trvania tej činnosti (§ 19 ods. 2). Pred jej uzavretím sa robí analýza rizík, ktorej súčasťou je aj politické riziko tretej strany (§ 20).

Vo výrobe to typicky dopadá na správcu IT a OT prostredia, dodávateľa priemyselných riadiacich systémov, vzdialený servis technológií, cloud, zálohovanie, ERP a MES. Zmluva by mala riešiť rozsah prístupov, hlásenie incidentov a zraniteľností, súčinnosť pri incidente, pravidlá pre subdodávateľov, právo kontroly, ochranu a vrátenie dát a ukončenie prístupov.

Výnimka existuje, ak je dodávateľ sám prevádzkovateľom základnej služby alebo ak je riziko danej činnosti nízke (§ 19 ods. 3). Neruší to však všeobecnú povinnosť riadiť riziká reťazca.

Kedy je incident závažný a čo hlásime?

Hlási sa závažný incident, nie každá bezpečnostná udalosť. Kritériá sú vo vyhláške č. 226/2025 Z. z. a patrí medzi ne napríklad úplný výpadok činnosti na viac ako 60 minút, jej obmedzenie na viac ako 180 minút alebo hmotná škoda používateľa nad 250 000 eur.

Postupnosť je trojstupňová (§ 24 ods. 3): do 24 hodín od zistenia včasné varovanie s informáciou, či incident mohol byť spôsobený protiprávnym konaním alebo môže mať cezhraničný vplyv, do 72 hodín oznámenie s prvotným posúdením a do jedného mesiaca záverečná správa s príčinou a prijatými opatreniami.

Všimnite si, že hodiny bežia od zistenia, nie od vzniku. Firma preto potrebuje vedieť incident vôbec spozorovať a kvalifikovať, inak jej lehota uplynie skôr, než sa o probléme dozvie vedenie.

Aké sú pokuty a čo z toho padá na konateľa?

Za nesplnenie registračných, zmluvných či dokumentačných povinností môže NBÚ uložiť pokutu od 300 do 500 000 eur (§ 31 ods. 1). Za závažnejšie porušenia, teda neprijatie opatrení, chýbajúcu bezpečnostnú dokumentáciu alebo neohlásený závažný incident, je hranica od 300 eur do 7 miliónov eur alebo 1,4 percenta celkového celosvetového ročného obratu, pričom sa použije vyššia suma (§ 31 ods. 2). Pri opakovanom porušení do roka môže ísť až o dvojnásobok.

Štatutár sa z toho nevyviaže tým, že to zveril IT oddeleniu. Firma musí mať mechanizmus, ktorým sa štatutárny orgán a vedúci pracovníci včas dozvedia o hrozbách, incidentoch a stave nápravných opatrení (§ 19 ods. 6), a bezpečnostné opatrenia musia menovať konkrétne osoby zodpovedné za schvaľovanie, dohľad a zdroje (§ 20 ods. 4). Dočasný zákaz výkonu funkcie zákon umožňuje pri prevádzkovateľovi kritickej základnej služby, teda spravidla nie pri výrobe z prílohy č. 2.

Kde sa to stretáva s AI vo fabrike

Dve veci z NIS2 dopadajú priamo na to, ako nasadzovať AI vo výrobe. Prvá je dodávateľský reťazec: každý nástroj, ktorý sa pripojí na vaše systémy, je tretia strana so zmluvnými povinnosťami. Druhá je tok dát von z fabriky. Preto naše riešenia bežia on premise, teda v sieti zákazníka, a nie v cudzom cloude. Znižuje to počet miest, kde môžu dáta z výroby uniknúť, aj rozsah toho, čo treba zmluvne ošetrovať.

Časté otázky

Máme 60 zamestnancov a obrat 8 miliónov eur. Sme malý podnik? Nie. Malý podnik musí mať menej ako 50 pracovníkov a zároveň obrat alebo bilančnú sumu do 10 miliónov eur. Počtom zamestnancov ste už nad hranicou, takže veľkostnú podmienku spĺňate.

Sme subdodávateľ a v prílohách zákona nie sme. Prečo od nás zákazník žiada bezpečnostnú zmluvu? Lebo on regulovaný je a zákon mu ukladá ošetriť tretie strany, ktoré mu vstupujú do systémov. Povinnosť sa k vám dostáva zmluvou, nie priamo zo zákona.

Incident sme objavili v pondelok ráno, ale stal sa cez víkend. Odkedy beží 24 hodín? Od zistenia. Preto je dôležité mať detekciu a jasné pravidlo, kto incident kvalifikuje, inak sa lehota začne počítať až vtedy, keď si ho niekto všimne.

Kybernetiku nám celú zabezpečuje externá firma. Stačí to? Externý dodávateľ môže plniť opatrenia, ale zodpovednosť voči NBÚ ostáva vám. Zmluvne to musí byť podchytené a štatutár musí byť preukázateľne informovaný.

Zdroje

Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, pôsobnosť, registrácia, incidenty a sankcie
Vyhláška č. 226/2025 Z. z., kritériá závažného incidentu a obsah hlásení
Smernica (EÚ) 2022/2555 (NIS2), európske pravidlá riadenia rizík a dodávateľského reťazca

Právne fakty v článku sme overili cez Nexanu, nástroj na prácu so slovenskou a európskou legislatívou.