NIS2 a dodávatelia softvéru: čo musia urobiť obe strany

01Kde je NIS2 na jeseň 2026

Smernica NIS2 (otvorí externú stránku), smernica (EÚ) 2022/2555, bola uverejnená v Úradnom vestníku 27. decembra 2022 a nadobudla účinnosť 16. januára 2023. Členské štáty mali prijať a uverejniť vnútroštátne opatrenia do 17. októbra 2024 a uplatňovať ich od 18. októbra 2024, keď bola zrušená prvá smernica NIS.

Keďže NIS2 je smernica, organizáciu viaže vnútroštátny zákon, ktorý ju preberá. Prebratie v jednotlivých štátoch prebiehalo nerovnomerne a Európska komisia začala konania o porušení povinnosti voči štátom, ktoré lehotu nedodržali. Na Slovensku smernicu preberá zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti (otvorí externú stránku), novelizovaný zákonom č. 366/2024 Z. z., ktorý bol vyhlásený 19. decembra 2024 a je účinný od 1. januára 2025; odvtedy bol zákon ďalej novelizovaný. Príslušným orgánom pre kybernetickú bezpečnosť je Národný bezpečnostný úrad (NBÚ). Bezpečnostné opatrenia a bezpečnostnú dokumentáciu upravuje vyhláška NBÚ č. 227/2025 Z. z. o bezpečnostných opatreniach (otvorí externú stránku), účinná od 1. septembra 2025. Registrácia, hlásenie incidentov a dohľad sa riadia slovenskými predpismi; firmy so spoločnosťami vo viacerých krajinách musia počítať s odlišnými pravidlami v každej z nich.

02Kľúčové a dôležité subjekty

NIS2 sa vzťahuje na verejné a súkromné subjekty v odvetviach prílohy I (odvetvia s vysokou úrovňou kritickosti: energetika, doprava, bankovníctvo, infraštruktúry finančného trhu, zdravotníctvo, pitná voda, odpadová voda, digitálna infraštruktúra, riadenie služieb IKT, verejná správa a vesmír) a prílohy II (iné kritické odvetvia: poštové a kuriérske služby, nakladanie s odpadom, chemikálie, potraviny, výroba, poskytovatelia digitálnych služieb a výskum). Spravidla zahŕňa stredné a veľké organizácie. Niektoré patria do rozsahu bez ohľadu na veľkosť, napríklad poskytovatelia dôveryhodných služieb, poskytovatelia služieb DNS a subjekty ústrednej štátnej správy.

Článok 3 smernice potom tieto organizácie rozdeľuje do dvoch kategórií:

• Kľúčové subjekty: najmä veľké organizácie v odvetviach prílohy I a subjekty, ktoré sú kľúčové bez ohľadu na veľkosť, ako kvalifikovaní poskytovatelia dôveryhodných služieb, registre názvov domén najvyššej úrovne, poskytovatelia služieb DNS a subjekty ústrednej štátnej správy. Dohľad nad nimi je proaktívny a môže zahŕňať audity a kontroly na mieste.
• Dôležité subjekty: ostatné organizácie v rozsahu príloh I a II. Dohľad je následný: orgán koná, keď má náznaky, že subjekt povinnosti neplní.

Obe kategórie majú rovnaké základné povinnosti: opatrenia na riadenie rizík (článok 21), hlásenie incidentov (článok 23) a zodpovednosť vedenia (článok 20). Líšia sa dohľadom a pokutami. Smernica požaduje, aby vnútroštátne právo za porušenie článkov 21 alebo 23 umožnilo maximálne pokuty najmenej 10 miliónov eur alebo 2 % celosvetového ročného obratu pri kľúčových subjektoch a najmenej 7 miliónov eur alebo 1,4 % pri dôležitých subjektoch, podľa toho, čo je vyššie. Či a v akom rozsahu sa pokuty vzťahujú na subjekty verejnej správy, rozhodujú členské štáty. Konkrétne sankcie na Slovensku určuje zákon o kybernetickej bezpečnosti.

Patrí do rozsahu aj váš dodávateľ softvéru?

Vývoj softvéru sám osebe nie je odvetvím podľa NIS2. Dodávateľ však môže do rozsahu patriť priamo. Príloha I zahŕňa poskytovateľov riadených služieb a NIS2 ich vymedzuje široko: subjekty, ktoré pre zákazníkov inštalujú, spravujú, prevádzkujú alebo udržiavajú produkty IKT, siete, infraštruktúru alebo aplikácie, na mieste alebo na diaľku. Stredný alebo väčší dodávateľ, ktorý pre zákazníkov prevádzkuje alebo udržiava aplikácie, tak môže pod NIS2 patriť sám za seba, rovnako ako poskytovatelia cloudových služieb a služieb dátových centier. Pre týchto poskytovateľov technické požiadavky podrobne rozpisuje vykonávacie nariadenie (EÚ) 2024/2690 (otvorí externú stránku).

Väčšina dodávateľov softvéru sa však s NIS2 stretne cez zákazníkov, ktorí vlastnú povinnosť v dodávateľskom reťazci premietnu do zmluvných doložiek, dotazníkov a auditov. Softvérové výrobky okrem toho pokrýva akt o kybernetickej odolnosti (otvorí externú stránku), nariadenie (EÚ) 2024/2847: jeho ohlasovacie povinnosti pri aktívne zneužívaných zraniteľnostiach a závažných incidentoch sa uplatňujú od 11. septembra 2026 a ostatné povinnosti od 11. decembra 2027.

03Desať minimálnych opatrení podľa článku 21

Článok 21 vyžaduje primerané a proporcionálne technické, prevádzkové a organizačné opatrenia založené na prístupe zohľadňujúcom všetky riziká. Musia odrážať najnovší stav techniky a relevantné európske a medzinárodné normy a zodpovedať vystaveniu subjektu rizikám, jeho veľkosti a pravdepodobnej závažnosti incidentov. Na Slovensku ich obsah konkretizuje vyhláška NBÚ č. 227/2025 Z. z. Minimálne zahŕňajú:

1. 01politiky analýzy rizík a bezpečnosti informačných systémov;
2. 02riešenie incidentov;
3. 03kontinuitu činností, napríklad správu záloh a obnovu po havárii, a krízové riadenie;
4. 04bezpečnosť dodávateľského reťazca vrátane bezpečnostných aspektov vzťahov s priamymi dodávateľmi a poskytovateľmi služieb;
5. 05bezpečnosť pri nadobúdaní, vývoji a údržbe sietí a informačných systémov vrátane riešenia a zverejňovania zraniteľností;
6. 06politiky a postupy na posúdenie účinnosti týchto opatrení;
7. 07základné postupy kybernetickej hygieny a školenia v oblasti kybernetickej bezpečnosti;
8. 08politiky a postupy pre kryptografiu a podľa potreby šifrovanie;
9. 09bezpečnosť ľudských zdrojov, politiky riadenia prístupu a správu aktív;
10. 10podľa potreby viacfaktorovú alebo nepretržitú autentifikáciu a zabezpečenú hlasovú, video a textovú komunikáciu a núdzovú komunikáciu.

Body 4 a 5 sú miestom, kde prichádzajú na rad dodávatelia. Článok 21 ods. 3 žiada od subjektov, aby zohľadnili zraniteľnosti špecifické pre každého priameho dodávateľa, celkovú kvalitu jeho produktov a postupov kybernetickej bezpečnosti a jeho postupy bezpečného vývoja. Od zákazníkov sa očakáva, že sa budú pozerať na to, ako softvér vyvíjate, nielen na to, čo dodáte.

04Vedenie schvaľuje, dohliada a zodpovedá

Podľa článku 20 musia riadiace orgány kľúčových a dôležitých subjektov schváliť opatrenia na riadenie kybernetických rizík, dohliadať na ich vykonávanie a môžu niesť zodpovednosť za porušenia. Ich členovia musia absolvovať školenie a subjekty sa nabádajú, aby pravidelne školili aj zamestnancov. Pri verejných inštitúciách sa naďalej uplatňujú vnútroštátne pravidlá o zodpovednosti verejných inštitúcií a ich zamestnancov.

To mení rozhovor s dodávateľmi. Vedenie, ktoré má opatrenia schváliť, chce podklady, ktorým rozumie: ktorí dodávatelia podporujú ktoré služby, aké riziká zostávajú a čo sa naozaj otestovalo.

05Hlásenie incidentov: 24 hodín, 72 hodín, jeden mesiac

Článok 23 smernice ukladá subjektom hlásiť závažné incidenty svojmu tímu CSIRT alebo príslušnému orgánu. Incident je závažný, ak spôsobil alebo môže spôsobiť vážne narušenie prevádzky alebo finančnú stratu subjektu, alebo značnú majetkovú či nemajetkovú ujmu iným. Hlásenie prebieha v etapách:

Podľa potreby musia subjekty bez zbytočného odkladu informovať aj príjemcov svojich služieb o závažných incidentoch, ktoré môžu tieto služby ovplyvniť. Formuláre, kanály a podrobnosti hlásenia na Slovensku určujú slovenské predpisy a NBÚ; overte si ich priamo tam.

Lehota začína plynúť, keď sa subjekt o incidente dozvie. Ak sa incident začne v systéme dodávateľa, zákazník dodrží 24-hodinovú lehotu len vtedy, keď ho dodávateľ do niekoľkých hodín odhalí, rozpozná a odovzdá ďalej. Detekcia, logovanie a dohodnutý kanál na oznámenie sú preto zmluvné podmienky, nielen technické detaily.

06Čo bude zákazník v rozsahu NIS2 chcieť od dodávateľa softvéru

V praxi sa článok 21 premieta do technických opatrení a podkladov, ktoré by dodávateľ mal vedieť ukázať bez toho, aby kvôli nim začínal projekt. Najčastejšie sa stretávame s týmito:

• Bezpečný životný cyklus vývoja. Modelovanie hrozieb pri významných zmenách, vzájomná kontrola kódu, automatické bezpečnostné testy a kontrola závislostí v pipeline, podpísané buildy a zoznam softvéru (SBOM) ku každému vydaniu.
• Riešenie a zverejňovanie zraniteľností. Zverejnený spôsob, ako nahlásiť zraniteľnosť, dohodnuté reakčné časy podľa závažnosti a oznámenie zákazníkovi, keď sa zraniteľnosť týka jeho prostredia.
• Riadenie prístupu pracovníkov dodávateľa. Pomenované účty, viacfaktorová autentifikácia, minimálne oprávnenia, časovo obmedzený zvýšený prístup a záznam každého administrátorského kroku v prostredí zákazníka.
• Logovanie a podklady k incidentom. Bezpečnostne relevantné udalosti zaznamenané so spoľahlivými časovými údajmi, uchovávané po dohodnutú dobu a exportovateľné, aby zákazník vedel odpovedať na otázky včasného varovania aj záverečnej správy.
• Spolupráca pri incidentoch. Určený kontakt a kanál, lehota na oznámenie hlboko pod 24 hodinami zákazníka a podpora pri analýze základnej príčiny.
• Kontinuita a obnova. Zálohy overené skutočnou obnovou, ciele obnovy zosúladené so zákazníkom a nacvičený postup.
• Dokumentácia dodávateľského reťazca. Aktuálny zoznam subdodávateľov a miest hostingu a hlavných komponentov a služieb tretích strán, od ktorých riešenie závisí.
• Plán ukončenia spolupráce. Export údajov v použiteľných formátoch, dokumentácia a podpora pri odovzdaní, aby zákazník mohol zmeniť dodávateľa bez straty kontroly nad službou.

Nič z toho nie je pre vyspelé vývojárske tímy nové. NIS2 mení to, že zákazník to musí vedieť preukázať, aj voči NBÚ. Na stránke Dôvera a súlad s predpismi opisujeme, ako pracujeme ako dodávateľ, vrátane systému riadenia informačnej bezpečnosti s certifikáciou ISO/IEC 27001.

07Kontrolný zoznam pre zmluvy a obstarávanie

1. 01Priraďte dodávateľov k službám. Zaznamenajte, ktorí dodávatelia podporujú ktoré služby v rozsahu a ktorí majú prístup k vašim systémom alebo údajom.
2. 02Rozdeľte ich podľa kritickosti. Najprísnejšie požiadavky uplatnite na dodávateľov, ktorí prevádzkujú kritické systémy alebo ich môžu meniť.
3. 03Opatrenia zapíšte do zmluvy. Bezpečnostné požiadavky, lehota a kanál na oznámenie incidentu, riešenie zraniteľností, logovanie a uchovávanie, právo na audit alebo podklady, pravidlá subdodávok a miesta spracovania. Vo verejnom obstarávaní ich uveďte priamo v súťažných podkladoch.
4. 04Žiadajte podklady, nie vyhlásenia. Certifikáty s ich rozsahom, výsledky testov, SBOM, dátum posledného testu obnovy.
5. 05Ukončenie dohodnite vopred. Vrátenie údajov, podpora pri prechode a obdobie, počas ktorého dodávateľ službu ešte prevádzkuje.
6. 06Nacvičujte spolu. S kritickými dodávateľmi urobte cvičenie incidentu vrátane včasného varovania do 24 hodín.
7. 07Pravidelne prehodnocujte. Dodávatelia, služby aj hrozby sa menia; register dodávateľov aktualizovaný raz ročne je väčšinu roka zastaraný.

08Podrobnosti určuje vnútroštátne právo

Registrácia, kanály a formuláre na hlásenie, príslušný orgán a prípadné ďalšie požiadavky vyplývajú z vnútroštátneho práva, na Slovensku zo zákona č. 69/2018 Z. z. a jeho vykonávacích predpisov. Niektoré členské štáty spájajú opatrenia podľa článku 21 s národným rámcom alebo certifikáciou. Subjekt spravidla patrí pod členský štát, v ktorom je usadený. Článok 26 určuje výnimky: poskytovatelia verejných elektronických komunikačných služieb patria pod každý štát, v ktorom služby poskytujú, poskytovatelia cloudu, dátových centier a riadených služieb a niekoľko ďalších digitálnych poskytovateľov pod štát svojej hlavnej prevádzkarne a subjekty verejnej správy pod štát, ktorý ich zriadil.

09Čo sledovať v najbližších mesiacoch

• Slovenské predpisy a usmernenia NBÚ k zákonu o kybernetickej bezpečnosti a vnútroštátne pravidlá v ďalších krajinách, kde pôsobíte.
• Návrh Komisie Digital Omnibus (otvorí externú stránku) z 19. novembra 2025, COM(2025) 837, podľa ktorého by hlásenia incidentov podľa NIS2, GDPR, DORA a ďalších predpisov išli cez jedno vstupné miesto prevádzkované agentúrou ENISA. V októbri 2026 bol stále v Európskom parlamente (otvorí externú stránku)); kým nebude prijatý a nezačne sa uplatňovať, platia súčasné kanály a lehoty.
• Koordinované posúdenia rizík kritických dodávateľských reťazcov IKT na úrovni EÚ podľa článku 22, ktoré musia subjekty zohľadniť pri výbere opatrení voči dodávateľom.
• Harmonogram aktu o kybernetickej odolnosti pre softvérové výrobky s plným uplatňovaním od 11. decembra 2027.

Pri finančných subjektoch nahrádza pravidlá NIS2 o riadení IKT rizika, hlásení incidentov a dohľade nariadenie o digitálnej prevádzkovej odolnosti; pozrite si náš článok o DORA a poskytovateľoch IKT služieb. Komisia udržiava prehľad o NIS2 a jej vykonávacích aktoch na stránke Smernica NIS 2 (otvorí externú stránku).