Dôvera a súlad s predpismi pre regulované organizácie

Smernica NIS2, smernica (EÚ) 2022/2555, vyžaduje od kľúčových a dôležitých subjektov, aby riadili kybernetické riziká svojich sieťových a informačných systémov. Bezpečnosť dodávateľského reťazca patrí medzi minimálne opatrenia podľa článku 21 ods. 2 a článok 21 ods. 3 od subjektov žiada, aby zohľadnili bezpečnostné postupy svojich priamych dodávateľov a poskytovateľov služieb. Na Slovensku smernicu transponuje zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení zákona č. 366/2024 Z. z., ktorý je účinný od 1. januára 2025, s Národným bezpečnostným úradom (NBÚ) ako príslušným orgánom; bezpečnostné opatrenia a bezpečnostnú dokumentáciu upravuje vyhláška NBÚ č. 227/2025 Z. z.

Ako váš dodávateľ vám uľahčíme preukázanie tejto časti vašej povinnosti. Bezpečnostné doložky, kanály pre incidenty a riešenie zraniteľností dohodneme v každej zmluve a opatrenia, ktoré sa týkajú vašej spolupráce, zdokumentujeme tak, aby ich váš proces riadenia rizík dodávateľov mohol posúdiť. Či a ako sa na vašu organizáciu vzťahuje zákon o kybernetickej bezpečnosti, posudzujete vy.

Nariadenie (EÚ) 2022/2554 o digitálnej prevádzkovej odolnosti finančného sektora (DORA) sa uplatňuje od 17. januára 2025. Banky, poisťovne, investičné spoločnosti, platobné inštitúcie a ďalšie finančné subjekty musia riadiť externé IKT riziko v rámci svojho rámca riadenia IKT rizika, viesť register informácií o všetkých zmluvných dojednaniach o využívaní IKT služieb (článok 28) a do týchto zmlúv zahrnúť kľúčové zmluvné ustanovenia (článok 30). Na Slovensku vykonáva dohľad nad finančným trhom vrátane DORA Národná banka Slovenska, ktorej finančné subjekty hlásia závažné IKT incidenty.

Keď poskytujeme IKT služby finančnému subjektu, dohodneme ustanovenia, ktoré uvádza článok 30: úplný opis služieb, miesta, kde sa poskytujú a kde sa spracúvajú údaje, pomoc v prípade incidentov súvisiacich s IKT, súčinnosť s orgánmi dohľadu a práva na ukončenie zmluvy. Pri službách, ktoré podporujú kritické alebo dôležité funkcie, zmluva pokrýva aj stratégie ukončenia a našu účasť na vašom testovaní odolnosti.

Dodáme informácie, ktoré potrebuje váš register informácií, a plány ukončenia dokumentujeme od začiatku, aby zmena dodávateľa zostala reálnou možnosťou.

Akt o umelej inteligencii, nariadenie (EÚ) 2024/1689, sa uplatňuje postupne. Zakázané praktiky a gramotnosť v oblasti AI platia od februára 2025 a povinnosti transparentnosti podľa článku 50 od augusta 2026. Po zmene nariadením (EÚ) 2026/1744 z roku 2026 sa pravidlá pre vysokorizikové systémy uvedené v prílohe III uplatňujú od 2. decembra 2027. Na Slovensku zatiaľ nie je určený orgán dohľadu podľa aktu o umelej inteligencii (stav na jeseň 2026).

Pri vysokorizikových systémoch akt vyžaduje technickú dokumentáciu (článok 11), automatické zaznamenávanie (článok 12) a návrh, nad ktorým môžu ľudia účinne vykonávať dohľad (článok 14), a nasadzujúce subjekty musia tento dohľad zveriť ľuďom s potrebnou odbornosťou a právomocou (článok 26). Na to staviame od prvého vydania: kroky schválenia a možnosť zasiahnuť sú tam, kde rozhodnutia ovplyvňujú ľudí, a dokumentácia vzniká súbežne s kódom.

Či vaša organizácia koná ako poskytovateľ alebo ako nasadzujúci subjekt, závisí od toho, ako sa systém uvedie do prevádzky. Táto otázka je súčasťou právneho posúdenia, ktoré zostáva na vašich právnikoch; my dodáme technické fakty, ktoré na to potrebujú.

Tímy pre obstarávanie, bezpečnosť a právo potrebujú dôkazy pred podpisom zmluvy. Vyžiadajte si od nás certifikát ISO/IEC 27001 a jeho rozsah, odpovede na váš bezpečnostný dotazník pre dodávateľov a podmienky spracúvania údajov, ktoré by platili pre vašu spoluprácu.

Žiadosť pošlite cez kontaktnú stránku a uveďte rámec, podľa ktorého dodávateľov posudzujete, napríklad zákon o kybernetickej bezpečnosti, DORA alebo interný bezpečnostný štandard. Ozvú sa vám tí správni ľudia.