V kritickej infraštruktúre bude po novom verejná doprava či veľkí potravinári
Nová legislatíva je transpozíciou európskej smernice o odolnosti kritických subjektov. Na Slovensku ju vykonáva zákon č. 367/2024 Z. z. o kritickej infraštruktúre, ktorý nahradil pôvodnú úpravu z roku 2011. Oproti predchádzajúcemu stavu sa okruh chránených subjektov výrazne rozširuje. Zákon pokrýva jedenásť sektorov, medzi ktoré patria energetika, doprava vrátane verejnej a železničnej dopravy, financie, poštové služby, zdravotníctvo, voda a atmosféra, digitálna infraštruktúra, verejná správa, vesmír, výroba, spracovanie a distribúcia potravín a priemysel.
„Medzi dotknutými môžu byť aj subjekty, pri ktorých by to široká verejnosť na prvý pohľad nečakala. Popri nemocniciach či dopravných podnikoch ide napríklad o veľkých priemyselných výrobcov potravín a ich veľkoobchodnú distribúciu, ale aj o farmaceutické alebo chemické podniky. Slovensko totiž ide nad rámec európskej smernice, keď medzi chránené sektory zaradilo aj poštové služby a farmaceutický, hutnícky a chemický priemysel,“ vysvetľuje Ivan Lužica, partner poradenskej spoločnosti Moore Advisory SK.
Nejde len o kybernetickú bezpečnosť
Kybernetická bezpečnosť je len jednou časťou požiadaviek. Zákon mieri aj na fyzickú bezpečnosť, ako sú kamerové systémy a zabezpečenie objektov, a na vnútropodnikové procesy vrátane personálneho zabezpečenia nepretržitej prevádzky. Každý kritický subjekt musí zároveň určiť kontaktnú osobu pre styk so štátnymi orgánmi a pri oprávnených osobách preukazovať bezúhonnosť výpisom z registra trestov.
„Firmy musia zaviesť krízové riadenie, priebežne posudzovať riziká a mať pripravené postupy reakcie na incidenty aj plány kontinuity služby pre prípad blackoutu alebo inej krízy. Opatrenia pritom nie sú plošné ani univerzálne. Líšia sa podľa sektora aj od podniku k podniku, podľa toho, ako má daná firma nastavené procesy a kde sú rozmiestnené jej prevádzky,“ opisuje Ivan Lužica.
Investície v státisícoch eur a deväť mesiacov na prvé povinnosti
Splnenie nových povinností nebude lacné. Pri väčšom subjekte, akým je napríklad dopravný podnik, sa za zavedenie opatrení očakávajú investície rádovo v státisícoch eur a následne minimálne tisíce až desaťtisíce eur ročne na prevádzku a údržbu. Keďže do nových povinností bude musieť investovať množstvo firiem naprieč jedenástimi sektormi, v súčte pôjde rádovo o desiatky miliónov eur, ktoré budú smerovať do zabezpečenia.
„Vzhľadom na objem investícií sa časť nákladov môže premietnuť do koncových cien pre spotrebiteľov, či už ide o cestovné, potraviny alebo ďalšie služby,“ upresňuje Ivan Lužica.
Firmy sa pritom nemusia prihlasovať samy. Kritické subjekty identifikuje príslušný ústredný orgán štátnej správy a zaradenie im písomne oznamuje do 30 dní od identifikácie. Zoznam kritických subjektov vedie Ministerstvo vnútra SR. Od doručenia oznámenia začínajú plynúť zákonné lehoty. Do deviatich mesiacov musí subjekt vykonať komplexné posúdenie rizík a do desiatich mesiacov mať vypracovaný a zavedený bezpečnostný plán vrátane opatrení fyzickej ochrany. Firma, ktorá dostane oznámenie v týchto dňoch, tak musí byť plne pripravená približne v apríli či máji 2027.
„Ignorovanie povinností sa môže poriadne predražiť. Za porušenie zákona hrozia pokuty až do výšky 300 000 eur a pri opakovanom porušení v priebehu jedného roka sa horná hranica zvyšuje na dvojnásobok,“ upozorňuje Ivan Lužica.
Modelovú krízovú situáciu bude treba predviesť v praxi
Jedným zo spôsobov overenia pripravenosti je precvičenie modelovej situácie podľa bezpečnostného plánu, ktoré musí kritický subjekt vykonať aspoň raz za štyri roky. Plnenie povinností kontroluje príslušný ústredný orgán, ktorý môže u subjektu vykonať audit alebo nariadiť jeho vykonanie. Závažné incidenty musia firmy navyše hlásiť najneskôr do 24 hodín.
„Nestačí, aby krízové postupy existovali len v dokumentácii. Pri precvičovaní modelovej situácie aj pri kontrole alebo audite bude musieť firma preukázať, že opatrenia reálne fungujú v prevádzke. Príprava pritom pri väčších subjektoch trvá mesiace, preto odporúčame začať hneď po doručení oznámenia,“ uzatvára Ivan Lužica, partner poradenskej spoločnosti Moore Advisory SK.
Súvisiace články:
