Audit kybernetickej bezpečnosti nie je len formalita – je to kľúčový nástroj na overenie, či organizácia plní svoje povinnosti podľa zákona a na identifikáciu slabých miest v systémoch a procesoch. Zákon o kybernetickej bezpečnosti „jasne“ stanovuje, kedy a za akých podmienok je prevádzkovateľ základnej služby povinný audit vykonať.
Audit do dvoch rokov od zaradenia do registra
Podľa § 29 ods. 1 je každý prevádzkovateľ základnej služby povinný vykonať audit do dvoch rokov odo dňa, kedy bol zaradený do registra prevádzkovateľov základných služieb. Tento audit overuje:
- plnenie povinností podľa zákona,
- úroveň zhody prijatých bezpečnostných opatrení,
- prípadné nedostatky a odporúčania na ich odstránenie.
Audit po významnej zmene alebo v pravidelnom intervale
Podľa § 29 ods. 2 je audit povinné vykonať aj:
- po každej zmene, ktorá má významný vplyv na realizované bezpečnostné opatrenia (napr. reorganizácia IT infraštruktúry, zmena systému),
- v periodicite stanovej vyhláškou NBÚ, ktorá definuje časový interval medzi auditmi tj. 2 roky.
Možnosť samohodnotenia
Ak prevádzkovateľ nie je prevádzkovateľom kritickej základnej služby, môže namiesto auditu do dvoch rokov vykonať tzv. samohodnotenie. Toto hodnotenie:
- realizuje manažér kybernetickej bezpečnosti,
- sa vykonáva cez jednotný informačný systém kybernetickej bezpečnosti (JISKB),
- v čase, kedy je povinný audit, sa samohodnotenie neuplatňuje.
Prechodné obdobie: Možnosť samohodnotenia do 2026
Podľa § 34b platí prechodné obdobie, počas ktorého:
- Prevádzkovateľa základnej služby zaradeného pred 2025 sa považuje za prevádzkovateľa kritickej služby.
- Audit, ktorý bol povinný vykonať v rokoch 2025 alebo 2026, môže vykonať formou samohodnotenia cez JISKB.
- Audit, ktorý bol povinný vykonať v roku 2024, môže byť nahradený samohodnotením najneskôr do 30. septembra 2025.
Kto vykonáva audit?
Podľa § 29 ods. 3 audit vykonáva certifikovaný audítor kybernetickej bezpečnosti. Môže to byť fyzická osoba alebo zamestnanec certifikovanej firmy, ktorá spĺňa podmienky určené NBÚ. Audítormi môže byť len osoba alebo subjekt s platnou certifikáciou.
Zodpovednosť a náklady
- Audity vykonávané na žiadosť NBÚ platí úrad (napr. z vlastnej iniciatívy – § 29 ods. 6).
- Audity vykonávané zo zákona platí prevádzkovateľ základnej služby.
- Záverečnú správu musí PZ doručiť NBÚ do 30 dní od ukončenia auditu.
A aby to bolo ešte jednoduchšie, tu je malý návod :)
