Zákon o kybernetickej bezpečnosti: čo platí v roku 2026 a čo musí firma splniť pri zálohách a obnove dát

Novela č. 366/2024 Z. z. prepísala zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a v novej podobe platí od 1. januára 2025. Ide o slovenskú transpozíciu európskej smernice NIS2. Dozorným orgánom zostáva Národný bezpečnostný úrad (NBÚ), technickou jednotkou SK-CERT.

Zákon odvtedy prešiel ešte dvoma novelami — zákonom č. 318/2025 Z. z. účinným od 1. januára 2026 a zákonom č. 67/2026 Z. z. účinným od 30. apríla 2026 — takže ho vždy čítajte v znení neskorších predpisov; tento text vychádza z konsolidovaného znenia účinného od 30. apríla 2026. Ustanovení o bezpečnostných opatreniach, hláseniach a audite, o ktoré tu ide, sa ani jedna z nich nedotkla: prvá pridala úradu dohľad nad trhom pre produkty s digitálnymi prvkami, druhá spresnila zápis subjektov hospodárskej mobilizácie a správcov informačných technológií verejnej správy do registra.

Väčšina textov o novele sa točí okolo registrácie a dokumentácie. Nás zaujíma iná časť — tá, ktorú vidíme na stole každý týždeň: zálohy, obnova a to, čo sa deje, keď obe zlyhajú naraz. Nie sme právna kancelária a tento text nenahrádza právne stanovisko. Sme laboratórium na záchranu dát a píšeme o tom, čomu rozumieme z praxe.

Čo sa naozaj zmenilo

Pre bežnú firmu sú podstatné dve veci. Okruh povinných subjektov sa rozšíril na tisíce organizácií vrátane sektorov, ktoré predtým regulované neboli. A zákon prestal byť o papieroch — nestačí mať smernicu o zálohovaní, musíte vedieť doložiť, že obnova funguje.

Ešte jedna vec, ktorá pravidelne mätie firmy podnikajúce na oboch stranách hranice: český náprotivok — český zákon o kybernetickej bezpečnosti č. 264/2025 Sb. účinný od 1. novembra 2025, nad ktorým dozerá NÚKIB — slovenskú firmu nezaväzuje. Vás viaže zákon č. 69/2018 Z. z. a registrujete sa na NBÚ; skratka „Sb.” patrí českej Sbírke zákonů, slovenské predpisy nesú „Z. z.”. Ak ste usadení aj v Česku (česká dcéra, organizačná zložka), plníte oba režimy, nie jeden — registruje sa inde, hlási sa inam a vykonávacie predpisy sú iné. Český návod na vás nesadne.

Týka sa zákon vašej firmy? Rozhodnú tri otázky

1. Ste v regulovanom sektore?

Energetika, doprava, bankovníctvo a infraštruktúra finančného trhu, zdravotníctvo, pitná a odpadová voda, digitálna infraštruktúra, správa IT služieb, verejná správa, vesmír — a v druhej skupine pošty a kuriérske služby, odpadové hospodárstvo, chémia, potravinárstvo, výroba, digitálni poskytovatelia a výskum. Zoznam je podstatne širší než pred novelou; výroba a potravinárstvo bývajú pre majiteľov najväčším prekvapením.

2. Ste aspoň stredný podnik?

Vo väčšine sektorov dopadajú povinnosti na firmy od 50 zamestnancov alebo s obratom nad 10 miliónov eur (kritériá vychádzajú z odporúčania Komisie 2003/361/ES). Mikropodniky a malé podniky sú vo väčšine sektorov vyňaté. Výnimkou sú napríklad poskytovatelia služby DNS, registre domén najvyššej úrovne, poskytovatelia dôveryhodných služieb a subjekty verejnej správy — tam veľkosť nerozhoduje.

Do skupiny, kde veľkosť nerozhoduje, patria aj podniky poskytujúce verejnú elektronickú komunikačnú sieť alebo verejnú elektronickú komunikačnú službu — zákon ich v § 17 ods. 1 písm. c) zapisuje do registra bez ohľadu na splnenie podmienok veľkosti pre stredný podnik. Veľkosť u nich rozhoduje o niečom inom: podľa § 18 ods. 1 písm. f) sa poskytovanie takejto siete alebo služby stáva kritickou základnou službou až vtedy, keď poskytovateľ dosahuje aspoň podmienky veľkosti pre stredný podnik. Inak povedané — v registri ste tak či tak, veľkosť určuje len prísnosť režimu.

3. Dodávate niekomu, kto povinný je?

Toto je bod, ktorý väčšina malých firiem prehliadne. Zákon už vo svojom pôvodnom znení v § 19 ods. 2 vyžaduje, aby regulovaný subjekt uzavrel s treťou stranou zmluvu o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností; novela k tomu pridala analýzu rizík pri uzatváraní zmluvy, kontrolu plnenia opatrení u tretej strany a dôraz na riadenie rizík celého dodávateľského reťazca. Ak servisujete IT nemocnici, robíte účtovníctvo vodárňam alebo dodávate softvér výrobnému podniku, požiadavky na vás pritečú zmluvou — aj keď máte piatich ľudí a zákon sa vás priamo netýka.

V praxi sa malá firma o zákone najčastejšie dozvie tak, že jej príde dodávateľský dotazník s otázkou, ako často testuje obnovu záloh. Na tú otázku sa nedá odpovedať smernicou. Odpovedá sa na ňu zápisom z testu.

Termíny, ktoré už bežia

• Oznámenie a registrácia na NBÚ — subjekty, ktoré kritériá spĺňali k 1. januáru 2025, mali podať oznámenie do 60 dní, teda v prvých dňoch marca 2025. Kto to nestihol, nemá po lehote — omeškanie mu beží ďalej.
• Firma, ktorá začne relevantnú činnosť neskôr — oznamuje do 60 dní odo dňa, keď kritériá začne spĺňať.
• Bezpečnostné opatrenia — zavedené do 12 mesiacov od zápisu do registra.
• Audit alebo samohodnotenie — do 2 rokov od zápisu, ďalej po každej zmene s významným vplyvom na prijaté opatrenia a v intervale, ktorý určuje vykonávacia vyhláška úradu (§ 29 ods. 2). Slovenský zákon tu nepracuje s pojmami „kľúčový” a „dôležitý” subjekt, ktoré poznáte z NIS2 a z českého predpisu, ale rozlišuje prevádzkovateľa základnej služby a prevádzkovateľa kritickej základnej služby. Povinnosť preveriť účinnosť opatrení auditom má podľa § 29 ods. 1 každý prevádzkovateľ základnej služby, a to do dvoch rokov odo dňa zaradenia do registra. Kto nie je prevádzkovateľom kritickej základnej služby, si ju môže v stanovenej periodicite splniť samohodnotením cez jednotný informačný systém kybernetickej bezpečnosti — vykonáva ho manažér kybernetickej bezpečnosti — skutočnému auditu sa však musí podrobiť najneskôr do piatich rokov od zaradenia do registra (§ 29 ods. 8). Do ktorej kategórie patríte a ktorý režim vás čaká, si overte v rozhodnutí o zaradení a v aktuálnom znení zákona.

Samoidentifikačný dotazník aj formulár nájdete na stránkach NBÚ, podáva sa cez Ústredný portál verejnej správy s eID. Presné lehoty a znenie formulárov si pred podaním overte v aktuálnom znení predpisov — pri novele takéhoto rozsahu sa detaily menia rýchlejšie než výklady, ktoré o nej kolujú po internete.

Čo sa žiada od záloh: pravidlo 3‑2‑1 čierne na bielom

Konkrétne technické požiadavky nie sú v zákone, ale vo vyhláške NBÚ č. 227/2025 Z. z. o bezpečnostných opatreniach účinnej od 1. septembra 2025, ktorá k tomu istému dňu zrušila a nahradila staršiu vyhlášku č. 362/2018 Z. z. Ak vám niekto ešte dnes posiela dokumentáciu postavenú na 362/2018, pracuje s predpisom, ktorý neplatí.

Vyhláška zavádza princíp, ktorý IT ľudia poznajú ako pravidlo 3‑2‑1:

• tri kópie dát alebo konfigurácií,
• na dvoch rôznych typoch médií,
• pričom jedna kópia je logicky, fyzicky aj geograficky oddelená.

Príloha č. 1 vyhlášky rozdeľuje požiadavky podľa toho, kto ste. Takto celé pravidlo predpisuje položka 32 prevádzkovateľovi kritickej základnej služby. Bežnému prevádzkovateľovi základnej služby ukladá položka 31 o stupeň menej — ukladať zálohy do logicky, fyzicky a geograficky oddelených priestorov. Ako cieľ pre firmu, ktorá chce prežiť ransomware, aj tak dáva zmysel to vyššie číslo, aj keď na papieri musíte menej.

Na tomto bode padá väčšina firiem, ktoré si myslia, že zálohy majú. Zostavy, ktoré pravidlo nespĺňajú:

• Snapshoty na tom istom NAS-e. Btrfs snapshoty v Synology DSM alebo snapshoty v QNAP QTS sú výborná ochrana proti zmazanému súboru, ale nie sú druhou kópiou. Zhorí zdroj, vytopí vás sused, odíde radič alebo sa rozsype zväzok — a snapshoty odchádzajú spolu s dátami.
• Záloha na sieťový disk pripojený ako jednotka. Ak zálohovací účet vidí cieľ ako namapované Z:, vidí ho aj ransomware bežiaci pod tým účtom. Zašifruje produkciu aj zálohu naraz.
• OneDrive alebo Dropbox ako „cloudová záloha”. Synchronizácia nie je záloha — zmazanie aj zašifrovanie sa replikuje do cloudu. Verzie súborov a kôš časť vecí zachránia, ale ako ďaleko dozadu a čo presne sa dá vrátiť, závisí od konkrétneho plánu, licencie a nastavení vašej organizácie — a obnova desiatok tisíc súborov cez webové rozhranie je aj tak beh na dlhé trate. Bez ďalších opatrení to nie je plán obnovy, to je improvizácia pod tlakom.
• Externý USB disk trvalo pripojený k serveru. Geograficky oddelený nie je a pred šifrovaním nechráni o nič lepšie než interný disk.

Čo pravidlo spĺňa: produkčné dáta na poli, druhá kópia cez Hyper Backup (Synology) alebo Hybrid Backup Sync (QNAP) na iný typ média a tretia kópia v inej lokalite alebo v objektovom úložisku so zapnutou nemennosťou — S3 Object Lock, Backblaze B2 alebo hardened repository vo Veeame. Nemenná kópia je dnes najdôležitejšia položka rozpočtu na zálohovanie, pretože útočník, ktorý získa doménového administrátora, sa spravidla ako o prvé pokúsi zlikvidovať práve zálohy. Správne nastavená nemennosť mu to počas dohodnutej retenčnej doby výrazne sťaží — podmienkou však je dosť dlhá retencia a oddelené prihlasovacie údaje a oprávnenia k úložisku. Kto sa dostane ku konfigurácii skôr, než retencia vznikne, alebo počká, kým uplynie, obíde ju.

Poznámka k hardvéru: SMR disk v poli je tichá mína

Vracia sa nám to na stôl príliš často, tak k tomu jeden odsek navyše. Do diskového poľa patria disky určené pre NAS so záznamom CMR — Seagate IronWolf a IronWolf Pro, Toshiba N300, WD Red Plus a WD Red Pro. Rada WD Red mala v roku 2020 potichu nasadené SMR modely (napríklad WD20EFAX, WD30EFAX, WD40EFAX či WD60EFAX) a výrobca ju po vlne kritiky rozdelil práve preto, že SMR disk sa v poli správa nepredvídateľne.

Príčina je v spôsobe zápisu: stopy sa čiastočne prekrývajú, takže prepis jednej znamená prečítať a znovu zapísať celé pásmo. Disk to maskuje malou oblasťou, do ktorej zapisuje klasicky a ktorá slúži ako vyrovnávacia pamäť. Pri bežnej domácej prevádzke si toho nikto nevšimne. Pri prestavbe poľa po výmene disku však ide o dlhý súvislý zápis — vyrovnávacia oblasť sa vyčerpá, priepustnosť spadne o rád a radič poľa disk po opakovaných časových limitoch vyhodí. Spravidla uprostred prestavby, teda presne vtedy, keď je pole najzraniteľnejšie. Z jedného chybného disku sa tak stane rozpadnuté pole.

RTO a RPO: dve čísla, ktoré musíte vedieť povedať

Vyhláška požaduje analýzu vplyvu na fungovanie organizácie vrátane určenia cieľovej doby obnovy (RTO) a cieľového bodu obnovy (RPO). Bez žargónu:

• RTO = ako dlho firma prežije bez daného systému. Osem hodín? Dva dni?
• RPO = koľko práce ste ochotní stratiť. Ak zálohujete raz denne o 22:00 a systém padne o 17:00, prišli ste o devätnásť hodín práce celej firmy.

Nie je to byrokracia, sú to rozhodnutia o peniazoch — tieto dve čísla určujú, koľko bude zálohovanie stáť. A majú priamy súvis s naším odborom: ak funkčná záloha neexistuje a jediná cesta k dátam vedie cez laboratórium, vaše reálne RTO nie je osem hodín. Podľa typu poruchy a dostupnosti dielov ide o dni až týždne a pri poli RAID alebo NAS-e je aj cena úplne inde než pri jednom disku. Rozpísali sme to v texte o tom, koľko stojí záchrana dát a za čo presne platíte.

Inak povedané: záchrana dát je záchranná brzda, nie plán obnovy. Kto ju má v pláne namiesto RTO, plán nemá.

Zálohu, ktorú ste netestovali, nemáte

Vyhláška nepožaduje len zálohovať, ale aj testovať funkčnosť záloh a viesť o teste záznam. Pri prevádzkových technológiách je požiadavka konkrétna — aspoň raz ročne otestovať zálohy najmenej dvoch rôznych systémov.

Z nášho pohľadu je to najužitočnejšia časť celej vyhlášky, lebo popisuje presne tú poruchu, ktorú vidíme najčastejšie. Zálohovanie roky „beží”, ale:

• úloha padá mesiace na tú istú chybu a notifikácie chodia na adresu človeka, ktorý vo firme už nepracuje,
• záloha sa robí, no bez databázy — Hyper Backup vynechal pripojený zväzok alebo bol súbor databázy počas zálohy zamknutý, takže v archíve leží nekonzistentný snímok, ktorý sa nedá pripojiť,
• záloha existuje, ale leží na disku zašifrovanom BitLockerom a obnovovací kľúč nemá nikto. Po výmene základnej dosky sú dáta úplne v poriadku, len sa k nim nikto nedostane. Kľúč si overte príkazom manage-bde -protectors -get C:; pri osobnom konte Microsoft býva zálohovaný na aka.ms/myrecoverykey, pri pracovnom alebo školskom konte skôr v Entra ID alebo v Active Directory — vtedy si oň píšte správcovi firemnej identity,
• obnova sa nikdy neskúšala a nikto netuší, že trvá tri dni.

Test nemusí byť náročný. Raz za štvrťrok vytiahnite zo zálohy päť náhodných súborov a jednu celú databázu, obnovte ich do dočasného priestoru, otvorte ich a zapíšte dátum, kto testoval a ako dlho to trvalo. Ten zápis je dôkaz pre audit aj hotová odpoveď na dodávateľský dotazník — a hlavne je to jediný spôsob, ako sa pravdu dozvedieť skôr než v deň výpadku.

Ak sa pri teste ukáže, že jediná použiteľná kópia leží na médiu, ktoré už hlási chyby, prestaňte ho používať a nespúšťajte na ňom žiadne opravy. Pošlite nám ho na bezplatnú a nezáväznú analýzu — najprv zistíte, na čom ste, a až potom sa rozhoduje. Ak disk klepe alebo cvaká, ide o mechanickú poruchu a každé ďalšie zapnutie uberá zo šance; rozobrali sme to v texte o tom, čo robiť, keď disk cvaká.

Keď zálohy zlyhajú: 24 hodín beží aj vám

Ak ste regulovaný subjekt, hlásenie incidentu upravuje vyhláška č. 226/2025 Z. z. účinná od 1. septembra 2025 a podáva sa elektronicky cez jednotný informačný systém kybernetickej bezpečnosti (JISKB). Lehoty kopírujú NIS2:

• do 24 hodín od zistenia — včasné varovanie: kto ste, kedy ste incident zaznamenali a stručný opis vrátane toho, či máte podozrenie na protiprávne konanie,
• do 72 hodín od zistenia — podrobnejšie hlásenie: priebeh, prvotné posúdenie závažnosti a prijaté protiopatrenia,
• najneskôr do jedného mesiaca od 72-hodinového hlásenia — záverečná správa s analýzou príčin. Táto lehota platí aj vtedy, keď incident v tom čase ešte trvá: záverečnú správu podáte s tým, čo je vtedy známe, ďalej posielate priebežné aktualizácie o vývoji a do 30 dní od vyriešenia incidentu doplníte aktualizovanú záverečnú správu — tak to stanovuje § 24 ods. 3 písm. d) a e) zákona.

Významné hrozby, odvrátené útoky a zistené zraniteľnosti sa hlásia bez zbytočného odkladu.

Pre prácu s médiami z toho plynie jeden veľmi praktický záver: nezasahujte do postihnutého disku, kým z neho nemáte kópiu. Preinštalovanie systému, spustenie kontroly disku alebo pokus o „opravu” poľa prepíšu presne tie stopy, z ktorých sa dá zrekonštruovať priebeh útoku — a tie potrebujete do 72-hodinového hlásenia aj do záverečnej správy. Štandardný postup je vyrobiť bitovú kópiu média a ďalej pracovať iba s ňou.

Pri SSD je situácia ešte vyhrotenejšia. Príkaz TRIM označí bloky ako nepoužívané a radič disku ich potom môže na pozadí sám uvoľniť — v rámci údržby, garbage collection a u šifrovaných diskov aj zahodením kľúča. Kedy a či sa tak stane, závisí od konkrétneho radiča, firmvéru a stavu disku, takže obnova býva po TRIM veľmi obmedzená alebo úplne nemožná a šanca sa môže rýchlo znižovať. O to viac platí, že postihnuté SSD treba čo najskôr odpojiť a ďalej s ním nepracovať. Prečo je záchrana z SSD úplne iný prípad než z klasického disku, sme rozobrali v samostatnom texte.

Bitovú kópiu média aj následnú analýzu vieme urobiť za vás. Médium preberáme na odovzdávací protokol, takže máte doložené, kde disk bol a kto s ním manipuloval — čo sa pri hlásení incidentu hodí takmer rovnako ako samotné dáta.

Pokuty

Sankcie sú odstupňované podľa toho, do ktorej kategórie subjekt patrí a čoho sa dopustil. Pozor na terminológiu — „kľúčový” a „dôležitý” subjekt sú pojmy zo smernice NIS2 a z českého predpisu, slovenský zákon ich ako svoje kategórie nepoužíva:

• prevádzkovateľ kritickej základnej služby — až 10 miliónov eur alebo 2 % celkového celosvetového ročného obratu, podľa toho, čo je vyššie,
• prevádzkovateľ základnej služby — až 7 miliónov eur alebo 1,4 % obratu,
• menej závažné porušenia ako neoznámenie začiatku činnosti, neohlásenie zmien, neaktuálna dokumentácia či neodstránenie zistení auditu — v nižšom pásme, ktoré začína v stovkách eur a končí v státisícoch.

Pre malú firmu je však reálnejším rizikom niečo iné než pokuta od NBÚ: vypadnutie z tendra alebo vypovedaná zmluva, lebo neviete odpovedať na dodávateľský dotazník.

Časté otázky

Týka sa zákon aj firmy s desiatimi zamestnancami?

Vo väčšine sektorov nie — priame povinnosti dopadajú na stredné a veľké podniky. Výnimkou sú napríklad služby DNS, registre TLD, poskytovatelia dôveryhodných služieb a podniky poskytujúce verejnú elektronickú komunikačnú sieť alebo službu — tam sa do registra zapisuje bez ohľadu na veľkosť; veľkosť u nich rozhoduje len o tom, či ide o kritickú základnú službu. Ak však dodávate regulovanému subjektu, ten musí bezpečnostné požiadavky premietnuť do zmluvy s vami.

Stačí ako záloha snapshot na NAS-e alebo synchronizácia do OneDrive?

Nie. Snapshot v Synology DSM či QNAP QTS je na tom istom zariadení, takže nespĺňa ani požiadavku na oddelené uloženie zálohy, nieto pravidlo troch kópií na dvoch typoch médií. Synchronizácia replikuje aj zmazanie a zašifrovanie. Chýbajúcim článkom býva nemenná kópia mimo budovy.

Ako často sa musia zálohy testovať?

Vyhláška požaduje testovanie funkčnosti záloh a vedenie záznamu o teste; pri prevádzkových technológiách je stanovené aspoň raz ročne na najmenej dvoch rôznych systémoch. Praktické minimum je štvrťročný test obnovy súborov aj databázy so zápisom dátumu, mena a času trvania.

Ransomware nám zašifroval server aj zálohy. Čo s médiami?

Ak ste registrovaným subjektom, hlásite cez JISKB do 24 hodín od zistenia, podrobnosti do 72 hodín a záverečnú správu najneskôr do mesiaca od 72-hodinového hlásenia — tá lehota platí aj vtedy, keď incident ešte trvá; vtedy posielate ďalšie aktualizácie a do 30 dní od vyriešenia doplníte aktualizovanú záverečnú správu. S médiami nerobte nič, kým z nich nemáte bitovú kópiu — preinštalovanie ani pokus o opravu poľa nič nezachránia, len prepíšu stopy potrebné pre hlásenie aj pre prípadnú obnovu.

Môže laboratórium pracovať s diskom, na ktorom sú osobné údaje klientov?

Áno, ale zodpovednosť za ne nesiete vy ako prevádzkovateľ. Uzavrite so servisom sprostredkovateľskú zmluvu podľa čl. 28 GDPR a dohodu o mlčanlivosti, a to skôr, než médium odošlete. Overte si aj to, či firma dáta spracúva vo vlastnom laboratóriu, alebo ich posiela ďalej — v druhom prípade sa reťazec sprostredkovateľov predlžuje bez vášho vedomia.

Čo urobiť tento týždeň

1. Prejdite si samoidentifikačný dotazník NBÚ. Trvá to desiatky minút a odpoveď „netýka sa nás” má cenu len vtedy, keď je zapísaná aj s dátumom.
2. Napíšte na jednu stranu, kde sú tri kópie vašich dát a či je jedna z nich mimo budovy a nemenná.
3. Otvorte konzolu zálohovania a pozrite sa na dátum poslednej úspešnej úlohy — nie poslednej spustenej.
4. Skúste obnovu jedného súboru a jednej databázy. Zapíšte dátum a čas trvania.
5. Zistite, kde máte obnovovací kľúč k BitLockeru.
6. Doplňte do zmlúv s IT dodávateľmi mlčanlivosť a sprostredkovateľskú zmluvu podľa čl. 28 GDPR — na diskoch bývajú osobné údaje vašich klientov.

ITHOPE s.r.o. sa záchrane dát venuje od roku 2008. Médiá preberáme v pobočke v Považskej Bystrici na adrese Slovenských partizánov 1093/13 a obsluhujeme celé Slovensko poštou aj kuriérom, takže na diagnostiku nikam cestovať nemusíte. Analýza média je bezplatná a nezáväzná a pri neúspešnej záchrane neplatíte nič. Ak potrebujete posúdiť, či sa z konkrétneho disku, poľa alebo NAS-u ešte dá niečo dostať, ozvite sa nám alebo volajte nonstop na +421 951 004 958 — ideálne skôr, než sa to stane naostro.