NBÚ register: Registrácia firiem podľa zákona o kybernetickej bezpečnosti

Od 1. januára 2025 platí na Slovensku novela zákona o kybernetickej bezpečnosti, ktorá do praxe priniesla smernicu NIS2. Spolu s ňou sa do popredia dostal aj NBÚ register – register, ktorý vedie Národný bezpečnostný úrad a do ktorého sa zapisujú prevádzkovatelia základných služieb a ďalšie subjekty podľa zákona. 

Pre mnohé firmy je práve zápis do NBÚ registra prvým „hmatateľným“ krokom: z formálnej povinnosti sa stáva reálny termín, ktorý má lehoty, formuláre a následne aj audity a kontroly. Najprv si treba ujasniť, koho sa NIS2 týka a aké povinnosti prináša.

V tomto článku si zhrnieme: 

• čo je NBÚ register v kontexte kybernetickej bezpečnosti, 

• koho sa týka registrácia, 

• aké lehoty platia, 

• ako registrácia prebieha v praxi, 

• a čo všetko musíte v súvislosti s registrom NBÚ oznamovať. 

Čo je NBÚ register v oblasti kybernetickej bezpečnosti 

Národný bezpečnostný úrad vedie v rámci Jednotného informačného systému kybernetickej bezpečnosti viacero registrov – napríklad register prevádzkovateľov základnej služby a register ústredných orgánov. 

Pre firmy je z pohľadu zákona o kybernetickej bezpečnosti kľúčový najmä: 

• register prevádzkovateľov základnej služby – zoznam subjektov, ktoré prevádzkujú tzv. základné alebo kritické základné služby (napr. v energetike, doprave, zdravotníctve, digitálnej infraštruktúre a ďalších sektoroch). 

Ak je firma zapísaná v tomto NBÚ registri, znamená to, že: 

• na ňu dopadajú povinnosti podľa zákona o kybernetickej bezpečnosti (ZoKB), 

• musí mať zavedené bezpečnostné opatrenia, 

• musí plniť oznamovacie povinnosti (zmeny údajov, incidenty, audity). 

Koho sa NBÚ register týka 

Prevádzkovateľ základnej služby 

Zákon hovorí, že prevádzkovateľom základnej služby je ten, kto je zapísaný v registri

prevádzkovateľov základnej služby. 

V praxi to znamená: 

• firma pôsobí v jednom zo sektorov uvedených v prílohách zákona (napr. energetika, doprava, zdravotníctvo, digitálna infraštruktúra, bankovníctvo a pod.), 

• dosahuje určitú veľkosť alebo význam podľa zákonných kritérií (veľkosť podniku, význam pre spoločnosť, dopad výpadku služby), 

• začala poskytovať činnosť, ktorá sa považuje za základnú službu podľa ZoKB. 

Novela zákona od 1. 1. 2025 zároveň mení spôsob identifikácie povinných osôb – už sa nespolieha len na „samoidentifikáciu“, ale presnejšie určuje, kto sa do NBÚ registra

zapisuje. 

Samoidentifikácia vs. zaradenie 

V minulosti sa veľa diskutovalo o tom, či sa má firma sama identifikovať ako prevádzkovateľ základnej služby. NIS2 aj ZoKB stále pracujú s princípom, že: 

• subjekt má povinnosť sám posúdiť, či spĺňa kritériá, 

• ak áno, musí podať oznámenie/návrh na zápis do NBÚ registra, 

• NBÚ následne preverí splnenie podmienok a zapíše subjekt do registra. 

Kedy vzniká povinnosť zápisu do NBÚ registra 

Lehoty po 1. 1. 2025 

Novela ZoKB, účinná od 1. januára 2025, prináša pre firmy niekoľko zásadných lehôt: 

• subjekty, ktoré spĺňali kritériá už k 1. 1. 2025, mali oznámiť svoj status NBÚ do 60 dní (do začiatku marca 2025), 

• nové subjekty, ktoré začnú poskytovať základnú službu neskôr, majú povinnosť oznámiť začiatok činnosti NBÚ do 60 dní od jej začatia. 

Vždy teda platí princíp: 

od začiatku vykonávania regulovanej činnosti beží lehota 60 dní na podanie oznámenia /

návrhu na zápis do NBÚ registra. 

Dôležité: Ak subjekt lehotu nestihne, povinnosť tým nezaniká – NBÚ register vás nebude „magicky obchádzať“. Len sa zvyšuje riziko sankcií. Registrácia je len jeden z míľnikov, ktoré firmy riešia pod pojmom NIS2 deadline.

Ako prebieha registrácia do NBÚ registra v praxi 

Proces registrácie pozostáva z niekoľkých krokov: 

1. Overenie, či firma spadá pod ZoKB 

Najprv je potrebné posúdiť: 

• či firma pôsobí v niektorom z regulovaných sektorov, 

• či jej činnosť zodpovedá definícii základnej (alebo kritickej základnej) služby, 

• či spĺňa veľkostné alebo iné zákonné kritériá. 

K tomu je praktické využiť: 

• prílohy zákona č. 69/2018 Z. z., 

• metodické materiály NBÚ, 

• prípadne právnu alebo konzultačnú podporu. 

2. Vyplnenie formulára pre NBÚ register 

NBÚ zverejňuje formuláre pre oznámenie / návrh na zápis do registra prevádzkovateľov základnej služby. Tie sa podávajú: 

• elektronicky cez portál Slovensko.sk alebo prostredníctvom Jednotného informačného systému kybernetickej bezpečnosti, 

• v stanovenej lehote (spravidla do 60 dní). 

Vo formulári typicky uvádzate: 

• identifikačné údaje firmy (IČO, sídlo, kontakty), 

• sektor a typ základnej služby, 

• kontaktné osoby (bezpečnostný kontakt, zodpovedné osoby), 

• vybrané informácie o infraštruktúre a prevádzke. 

3. Zápis do NBÚ registra 

Po doručení oznámenia: 

• NBÚ preverí splnenie zákonných podmienok, 

• zapíše firmu do registra prevádzkovateľov základnej služby, 

• oznámi zápis prostredníctvom Jednotného informačného systému kybernetickej bezpečnosti. 

Od momentu zápisu do NBÚ registra: 

• beží lehota na zavedenie bezpečnostných opatrení (štandardne 12 mesiacov), 

• začínajú platiť povinnosti súvisiace s auditmi, incidentmi a oznamovaním zmien. 

Aké údaje obsahuje NBÚ register 

Verejná časť NBÚ registra prevádzkovateľov základnej služby typicky obsahuje: 

• názov subjektu a IČO, 

• sektor a druh poskytovanej základnej služby, 

• niekedy aj doplňujúcu klasifikáciu (napr. „digitálna infraštruktúra“, „energetika“, „zdravotníctvo“). 

Interná časť registra (nedostupná verejnosti) obsahuje podrobnejšie údaje, ktoré NBÚ potrebuje na výkon dohľadu – napríklad kontaktné osoby, technické informácie či

záznamy o zmenách. 

Ďalšie povinnosti súvisiace s NBÚ registrom 

Registráciou sa povinnosti nekončia. Prevádzkovateľ základnej služby musí v súvislosti s NBÚ registrom: 

• oznamovať všetky zmeny údajov zapísaných v registri (napr. zmeny v identifikačných údajoch, kontaktných osobách), 

• informovať NBÚ pri ukončení poskytovania základnej služby, 

• v prípade kritickej základnej služby oznamovať aj zmluvy s tretími stranami, ktoré zabezpečujú plnenie bezpečnostných opatrení alebo notifikačných povinností. 

Okrem toho platí aj: 

• povinnosť vykonávať audit kybernetickej bezpečnosti v pravidelných intervaloch (prvý spravidla do 2 rokov od zaradenia do registra), 

• povinnosť hlásiť závažné incidenty v zákonom určených lehotách. 

Najčastejšie chyby pri NBÚ registri 

V praxi sa pri NBÚ registri opakujú podobné problémy: 

1. Čakanie na to, že „NBÚ sa ozve“ Zákon vychádza z princípu, že sa subjekt identifikuje sám. Ak spĺňate kritériá a neoznámite to, problém je na vašej strane, nie na strane NBÚ. 

2. Podcenenie 60-dňovej lehoty Registrácia sa odkladá s tým, že „to ešte stihneme“. Do formulára je však často potrebné doplniť údaje, ktoré bez prípravy nemáte. 

3. Vnímanie registrácie ako čisto administratívnej úlohy Zápis do NBÚ registra je len začiatok – po ňom nasledujú riziková analýza, opatrenia, dokumentácia a audity. 

4. Chýbajúce interné roly a kontakty Firmy niekedy do formulára „nejako“ doplnia kontaktnú osobu, ale vnútri nemajú jasne definované zodpovednosti za kybernetickú bezpečnosť. 

5. Neoznamovanie zmien Zmení sa štruktúra skupiny, organizačné zaradenie alebo kontaktná osoba – ale NBÚ register zostane roky nezmenený. 

Ako vám s NBÚ registrom a dokumentáciou pomôže RiskMinder 

NBÚ register je v zásade len „zoznam“ – skutočná práca začína tým, že viete preukázať: 

• aké aktíva a služby prevádzkujete, 

• aké riziká ste identifikovali, 

• aké opatrenia ste prijali, 

• aké máte dôkazy pre audit a dohľad. 

Tu vstupuje do hry RiskMinder – nástroj navrhnutý špeciálne pre organizácie, ktoré

musia plniť požiadavky NIS2 a zákona o kybernetickej bezpečnosti. 

Pomáha vám: 

• viesť register aktív, hrozieb, zraniteľností a rizík na jednom mieste, 

• používať jednotné hodnotenie rizík (risk scoring) naviazané na NIS2, ZoKB, NBÚ a ISO 27001, 

• priraďovať vlastníkov rizík, plánovať opatrenia a sledovať vývoj riadených rizík, 

• pracovať s katalógmi opatrení podľa NBÚ/ISO a dopĺňať ich podľa vašich potrieb, 

• generovať prehľady pripravené na audit pre vedenie aj audítora – bez manuálneho skladania excelov. 

V kontexte NBÚ registra to znamená, že: 

• máte k dispozícii údaje, ktoré potrebujete pri vypĺňaní formulára (aktíva, služby, zodpovedné osoby), 

• viete preukázať, čo všetko máte nastavené po zaradení do registra (riziká, opatrenia, dokumenty), 

• ste lepšie pripravení na kybernetický audit aj na prípadnú kontrolu zo strany NBÚ. 

Rozpoznajte riziká a chráňte svoju firmu. Máte záujem vyskúšať RiskMinder, potrebujete cenovú ponuku alebo máte otázky? Napíšte nám. 

FAQ

Čo je NBÚ register v oblasti kybernetickej bezpečnosti?

Je to najmä register prevádzkovateľov základnej služby, ktorý vedie Národný bezpečnostný úrad. Zápis znamená, že sa na vás vzťahujú povinnosti podľa zákona o kybernetickej bezpečnosti.

Ako zistím, či sa mám do NBÚ registra zapísať?

Posúďte, či pôsobíte v sektoroch a činnostiach podľa príloh zákona č. 69/2018 Z. z. a či spĺňate veľkostné a ďalšie kritériá. Ak áno, máte povinnosť podať oznámenie / návrh na zápis.

Aká je lehota na zápis do NBÚ registra?

Zvyčajne je to 60 dní od začatia vykonávania regulovanej činnosti. Pre subjekty, ktoré spĺňali kritériá už k 1. 1. 2025, bola prvá lehota nastavená na začiatok marca 2025.

Čo ak sme sa do NBÚ registra neprihlásili načas?

Povinnosť nezaniká – stále sa musíte registrovať. NBÚ však môže uložiť sankcie za zmeškanie lehoty, preto sa neoplatí to ďalej odkladať.

Musíme NBÚ hlásiť aj zmeny po zápise do registra?

Áno. Musíte oznamovať zmeny údajov v registri (napr. identifikačné údaje, kontakty) a pri kritickej základnej službe aj vybrané informácie o zmluvách s tretími stranami k opatreniam.

Pomôže nám RiskMinder priamo s registráciou v NBÚ registri?

Samotné oznámenie podávate vy cez formulár NBÚ. RiskMinder však pomôže s podkladmi (služby, aktíva, riziká, opatrenia) a udrží dokumentáciu tak, aby bola použiteľná pri audite aj kontrole.