Kybernetická bezpečnosť verejnej správy sa už nedá riadiť len podľa toho, či má organizácia vypracovanú dokumentáciu. Nestačí mať smernicu, tabuľku aktív alebo formálne pomenované riziká. Dôležité je, či organizácia skutočne vie, aké systémy prevádzkuje, aké údaje spracúva, kto za ne zodpovedá, aké hrozby jej reálne hrozia, a ktoré opatrenia ich dokážu znížiť na prijateľnú úroveň.

Práve týmto smerom sa posúva aj nová vyhláška č. 184/2026 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy. Vyhláška nadobúda účinnosť 1. januára 2027 a nahrádza doterajšiu vyhlášku č. 179/2020 Z. z.

Prečo nová vyhláška vznikla

Vyhláška č. 179/2020 Z. z. vytvorila základný rámec bezpečnostných opatrení pre informačné technológie verejnej správy. Od jej prijatia sa však prostredie výrazne zmenilo. Verejná správa využíva viac cloudových služieb, pribúdajú integračné väzby, rastie význam dodávateľov, zvyšujú sa nároky na monitoring, zvládanie kybernetických bezpečnostných incidentov, ochranu údajov aj kontinuitu služieb.

Zároveň sa zmenil aj širší legislatívny rámec kybernetickej bezpečnosti. Národný bezpečnostný úrad je gestorom všeobecnej bezpečnostnej vyhlášky č. 227/2025 Z. z. o bezpečnostných opatreniach, ktorá reflektuje na zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti.

Nová vyhláška MIRRI SR preto nemá ambíciu vytvárať paralelný svet pravidiel v oblasti kybernetickej bezpečnosti ani výrazne nové a iné bezpečnostné opatrenia. Jej filozofiou je priblížiť bezpečnosť ITVS k aktuálnemu rámcu kybernetickej bezpečnosti, zosúladiť používané pojmy a postupy a pomôcť správcom ITVS riadiť bezpečnosť praktickejšie, preukázateľnejšie a modernejšie reflektujúc na skutočné potreby organizácií vo verejnej správe.

Prepojenie na legislatívu NBÚ

Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe sa vzťahuje aj na správcov, ktorí sú zároveň prevádzkovateľmi základnej služby, ktorých reguluje zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti. Inými slovami, ak je organizácia zapísaná v registri prevádzkovateľov základnej služby a zároveň je orgánom riadenia tak organizáciu regulujú oba právne predpisy v oblasti kybernetickej bezpečnosti. Ďalší prvok, ktorý je potrebný brať do úvahy, je sektor podľa prílohy č. 1 zákona o kybernetickej bezpečnosti, do ktorého je organizácia zaradená. V prípade ak je to sektor MIRRI SR, t.j. sektor 8. 3 podľa prílohy č. 1 vyhlášky NBÚ platí, že plní iba jeden sektorový právny predpis a tým je vyhláška MIRRI SR č. 184/2026 Z. z. Ak je organizácia zaradená do iného sektora ako je sektor MIRRI SR, platí, že okrem vyhlášky MIRRI SR sa na ňu vzťahuje aj všeobecná bezpečnostná vyhláška a tou je vyhláška NBÚ č. 227/2025 Z. z.

Pri tvorbe novej vyhlášky sme sa zamerali predovšetkým na jej zosúladenie so všeobecnou bezpečnostnou vyhláškou NBÚ so zameraním na špecifiká verejnej správy z dôvodu, aby nedošlo k dvojkoľajnej právnej úprave v oblasti kybernetickej bezpečnosti.

Pri tvorbe novej vyhlášky sme kládli dôraz predovšetkým na evidenciu aktív, riadenie rizík, klasifikáciu informácií, bezpečnostné opatrenia naviazané na reálne riziká a pravidelné preskúmavanie ich účinnosti. Pri analýze rizík výslovne pripúšťa použitie metodiky vydanej orgánom vedenia alebo metodiky vydanej podľa osobitného predpisu Národným bezpečnostným úradom.

Čo sa mení oproti vyhláške č. 179/2020 Z. z.

Nie všetko je úplne nové. Kategórie bezpečnostných opatrení existovali už v doterajšej vyhláške. Nová vyhláška však mení spôsob, akým sú požiadavky formulované, rozširuje ich obsah a viac ich prepája s riadením rizík, životným cyklom systémov a aktuálnymi hrozbami. Vyhláška č. 179/2020 Z. z. už pracovala s kategóriami I, II a III, preto nejde o novú kategorizáciu ako takú, ale o aktualizovaný a precíznejší rámec bezpečnostných opatrení pre jednotlivé kategórie vzťahujúce sa na konkrétne orgány riadenia.

Významnou zmenou je dôraz na aktíva. Nová vyhláška už nehovorí len o technických prvkoch, ale pracuje so širším pohľadom na primárne a podporné aktíva. Do evidencie patria nielen systémy, aplikácie a hardvér, ale aj údaje, procesy, služby, cloudové služby, komunikačné kanály, používatelia, dodávatelia či fyzické lokality. Evidencia aktív má byť centralizovane riadená a zodpovedať aktuálnemu stavu.

Ďalšou zmenou je podrobnejšie riadenie rizík. Vyhláška výslovne pracuje s identifikáciou rizík, analýzou rizík, hodnotením rizík, prijatím bezpečnostných opatrení, preskúmaním rizík najmenej raz ročne a aj s analýzou vplyvov vrátane cieľovej doby obnovy a cieľového bodu obnovy.

Aktualizovaný je aj pohľad na bezpečnostný projekt informačného systému verejnej správy. Ten nemá byť dokumentom spracovaným až na konci projektu. Nová vyhláška ho stavia ako súčasť celého životného cyklu informačného systému. Bezpečnostný projekt je špecifikom, ktoré zavádza už zákon o ITVS a presne predpisuje kedy je správca povinný ho vytvoriť. Následne vyhláška špecifikuje, že bezpečnostný projekt sa predkladá na schválenie orgánu vedenia prostredníctvom Vládneho informačného systému verejnej správy.

Vyhláška zároveň presnejšie pomenúva oblasti, ktoré dnes patria medzi kľúčové riziká verejnej správy: bezpečný vývoj a obstarávanie systémov, riadenie konfigurácií, penetračné testovanie vybraných systémov, monitoring a logovanie, riadenie zraniteľností, ochranu pred škodlivým kódom, bezpečnosť dodávateľského reťazca a ďalšie. V neposlednom rade zavádza novú prílohu, ktorá špecifikuje, ktoré systémové sa zasielajú orgánu vedenia prostredníctvom Vládneho informačného systému verejnej správy..

Minimum nie je cieľová čiara

Dôležité je aj to, že vyhláška pracuje s minimálnymi bezpečnostnými opatreniami. Tie predstavujú základ, nie konečný stav. Ak charakter systému, spracúvaných údajov alebo rizík vyžaduje vyššiu úroveň ochrany, organizácia má prijať opatrenia nad rámec minima a ich rozsah zdokumentovať a odôvodniť. To platí aj naopak. V prípade, ak sa organizácia rozhodne nejaké bezpečnostné opatrenie neprijať, zavádza sa možnosť tak urobiť ale ustanovuje však presný postup ako na to.

To je podstatná filozofická zmena: bezpečnosť nemá byť len splnenie zoznamu povinností. Má byť výsledkom rozhodovania založeného na rizikách, zodpovednosti a znalosti vlastného prostredia.

Ako môže pomôcť dokumentácia z JMR

Pri implementácii novej vyhlášky môžu organizáciám pomôcť aj jednotné metodické rámce, ktoré MIRRI SR pripravuje ako praktické metodické materiály pre verejnú správu. JMR nenahrádzajú právny predpis ale pomáhajú jeho požiadavky preklopiť do praxe.

Vhodné sú najmä pri oblastiach, ako je riadenie aktív, riadenie rizík, organizácia a riadenie kybernetickej a informačnej bezpečnosti, riešenie incidentov, kontinuita prevádzky, audit a interná kontrola, kryptografické opatrenia alebo práca s dodávateľmi.

Organizáciám tak môžu pomôcť odpovedať na praktické otázky: čo má byť zdokumentované, kto má byť zodpovedný, ako často sa má proces preskúmavať a ako preukázať, že opatrenie nie je len formálne prijaté ale aj reálne používané.

Čas na prípravu je teraz

Vyhláška nadobúda účinnosť 1. januára 2027. Zároveň obsahuje prechodné obdobie, podľa ktorého sa do 30. júna 2027 minimálne bezpečnostné opatrenia podľa novej vyhlášky považujú za prijaté aj vtedy, ak sú prijaté opatrenia podľa doterajšej vyhlášky č. 179/2020 Z. z.

Toto obdobie by organizácie mali využiť najmä na oboznámenie sa s novými a aj so zmenenými požiadavkami, ktoré nová vyhláška zavádza.

Ešete sa vám nechce čítať celú vyhlášku? Príďte na webinár

Nová vyhláška je odborný predpis, ktorý si vyžaduje pozorné čítanie. Práve preto sekcia kybernetickej bezpečnosti MIRRI SR pripravuje 20. augusta od 10:00 do 11:00 k novej vyhláške č. 184/2026 Z. z. webinár.

Počas webinára predstavíme hlavné zmeny, prepojenie na legislatívu NBÚ, kompatibilitu s vyhláškou č. 227/2025 Z. z., praktické dopady na organizácie verejnej správy a odporúčania ako sa na nové požiadavky pripraviť.

Súčasťou webinára bude aj diskusia, v rámci ktorej bude priestor na otázky účastníkov.

Prihlasovací link nájdete tu: Join this Webex Meeting now

Kybernetická bezpečnosť sa nedá vybudovať jedným dokumentom. Dá sa však budovať systematicky — cez poznanie vlastných aktív, riadenie rizík, zodpovednosti, primerané opatrenia a pravidelné overovanie, či bezpečnosť funguje aj v praxi.