Čo NIS2 skutočne vyžaduje a čo nie

NIS2 neobsahuje univerzálny nákupný zoznam technológií. Neprikazuje každej organizácii kúpiť IGA, použiť konkrétny bezpečnostný rámec, viesť rovnaké polia v logoch ani zaviesť všetky opatrenia rovnakým spôsobom. Vyžaduje, aby kľúčové a dôležité subjekty riadili kybernetické riziká vhodnými a primeranými technickými, prevádzkovými a organizačnými opatreniami, a aby vedenie zodpovedalo za ich schválenie a dohľad.

Na tomto rozdiele záleží. Organizácia môže mať moderné bezpečnostné produkty a napriek tomu nevie doložiť znalosť rizík, fungovanie opatrení, včasné hlásenia ani dokončenú nápravu. Iná môže používať jednoduchšie nástroje, ak sú primerané rizikám, dôsledne prevádzkované a ich výsledky sú doložené.

Táto príručka rozlišuje znenie smernice (EÚ) 2022/2555 od podrobnejšieho vykonávacieho nariadenia Komisie (EÚ) 2024/2690, vysvetľuje úlohu riadenia identít a prístupov a ponúka vedeniu aj bezpečnostným tímom praktický plán prípravy podkladov. Vychádza z platných pravidiel EÚ a oficiálnych usmernení overených 12. septembra 2026. NIS2 sa zavádza vnútroštátnymi predpismi, preto musí organizácia preveriť aj zákony a usmernenia príslušných orgánov v každom členskom štáte, ktorý je pre jej činnosť relevantný.

Stručná odpoveď NIS2 vyžaduje riadenie podľa rizík, desať minimálnych oblastí opatrení, postupné hlásenie významných incidentov, dohľad vedenia a podklady o zavedení opatrení. Výslovne uvádza pravidlá riadenia prístupov a podľa potreby viacfaktorové alebo nepretržité overovanie totožnosti. Nepredpisuje jediný produkt, vzor ani univerzálny formát logov.

Najprv overte, či sa vás NIS2 týka

Najprv treba zistiť, či sa NIS2 na organizáciu vzťahuje. Európska komisia opisuje rámec pre 18 kritických odvetví. Vo všeobecnosti ide o stredné a väčšie verejné alebo súkromné subjekty uvedené v prílohách I a II, ktoré poskytujú služby alebo vykonávajú činnosť v Únii. Patria sem energetika, doprava, bankovníctvo, infraštruktúra finančných trhov, zdravotníctvo, pitná voda, odpadové vody, digitálna infraštruktúra, riadenie služieb IKT, verejná správa, vesmírne činnosti, poštové a kuriérske služby, odpadové hospodárstvo, chemický a potravinársky priemysel, výroba, digitálni poskytovatelia a výskum.

Veľkosť je iba východiskovým pravidlom. Článok 2 uvádza prípady, ktoré sa uplatňujú bez ohľadu na ňu: určení poskytovatelia elektronickej komunikácie, dôveryhodných služieb, registre domén najvyššej úrovne a poskytovatelia DNS. Zahŕňa aj výhradných poskytovateľov vybraných základných služieb, subjekty významné pre verejnú bezpečnosť alebo zdravie, subjekty so systémovým rizikom a subjekty určené pre svoj národný či regionálny význam. Kritické subjekty identifikované podľa smernice (EÚ) 2022/2557 sú zahrnuté bez ohľadu na veľkosť. Členské štáty môžu rozsah v určených prípadoch rozšíriť aj na miestnu verejnú správu a vzdelávacie inštitúcie.

Určenie pôsobnosti potrebuje podklady, nie iba názov odvetvia. Zaznamenajte:

1. dotknuté právnické osoby a členské štáty;
2. služby, ktoré každý subjekt poskytuje v Únii;
3. príslušnú kategóriu podľa prílohy I alebo II;
4. údaje o pracovnej sile a finančné údaje použité na test veľkosti;
5. prípadné určenie, registráciu alebo oznámenie od príslušného orgánu;
6. akékoľvek odvetvové právne predpisy EÚ, ktoré môžu nahradiť ekvivalentné ustanovenia NIS2 podľa článku 4; a
7. vnútroštátne predpisy a usmernenia, z ktorých posúdenie vychádza.

Záznam má mať osobu zodpovednú za právne posúdenie a dátum kontroly. Firemné štruktúry, služby aj vnútroštátne pravidlá sa menia. Európska komisia v januári 2026 navrhla cielené úpravy na zjednodušenie častí kybernetického rámca a spresnenie NIS2. Návrh nie je prijatým zákonom. Sledujte legislatívny proces a navrhované znenie nezamieňajte za platnú povinnosť.

Kľúčové a dôležité subjekty: obe skupiny majú povinnosti

Organizácie, na ktoré sa NIS2 vzťahuje, sa delia na kľúčové subjekty a dôležité subjekty. Pravidlá zaradenia stanovuje článok 3. Rozdiel sa prejavuje najmä v dohľade. Kľúčové subjekty môžu podliehať preventívnym aj následným opatreniam vrátane inšpekcií, pravidelných či cielených auditov, skenovania a žiadostí o podklady. Dohľad nad dôležitými subjektmi je podľa článku 33 následný: orgán koná, ak má dôkazy, náznaky alebo informácie o možnom nesúlade.

Obe kategórie musia byť v súlade so základnými povinnosťami týkajúcimi sa riadenia rizík a hlásenia incidentov v článkoch 21 a 23. „Dôležité“ preto nie je ľahší štítok, ktorý odstraňuje potrebu kontrol. Mení model dohľadu a niektoré detaily presadzovania.

Vedenie zodpovedá za rozhodnutie aj dohľad

Článok 20 prenáša zodpovednosť aj na vedenie. Členské štáty musia zabezpečiť, aby riadiace orgány kľúčových aj dôležitých subjektov schvaľovali opatrenia podľa článku 21 a dohliadali na ich zavedenie. Za porušenia môžu niesť zodpovednosť podľa vnútroštátnych pravidiel. Členovia riadiacich orgánov musia absolvovať odbornú prípravu. Členské štáty majú tiež podporovať pravidelné podobné školenia zamestnancov.

Pre manažment by schválenie malo znamenať viac ako podpísanie politiky. Užitočný záznam predstavenstva odpovedá na päť otázok:

• Ktoré významné kybernetické riziká ohrozujú služby, pre ktoré podliehame smernici?
• Ktoré opatrenia znižujú každé riziko a prečo sú primerané?
• Kto zodpovedá za opatrenia a zvyškové riziko?
• Ako overujeme, že opatrenia naozaj fungujú?
• Ktoré medzery, výnimky a oneskorené opatrenia manažment akceptoval?

Prehľad počtu zablokovaných útokov na tieto otázky nestačí. Vedenie potrebuje výsledky spojené s rizikami služieb: testy obnovy, zraniteľnosti po termíne nápravy, privilegované účty bez vlastníka, neodobraté prístupy po odchode, dodávateľov bez bezpečnostných záväzkov, oneskorené kontroly či otvorené zistenia auditu. Uchovávať treba výnimky aj rozhodnutia, ktorými boli schválené.

Článok 21: desať minimálnych oblastí a podklady z praxe

Článok 21 vychádza z primeranosti riziku. Opatrenia majú zohľadniť stav techniky, príslušné normy, náklady, vystavenie riziku, veľkosť subjektu a pravdepodobnosť aj závažnosť incidentov vrátane spoločenského a hospodárskeho dosahu. Prístup má pokrývať všetky druhy rizík a chrániť siete, informačné systémy aj ich fyzické prostredie.

Smernica potom vymenúva desať minimálnych oblastí. V nasledujúcej tabuľke sú právne kategórie oddelené od praktických dôkazov. Príklady dôkazov sú vykonávacie usmernenia, nie dodatočný právny text.

Slovo minimálne má význam. Týmto zoznamom sa program nekončí. Posúdenie rizík môže odôvodniť ďalšie opatrenia. Rovnako dôležité je slovo primerané. Bráni mechanickému kopírovaniu všeobecného zoznamu bez zohľadnenia služieb a rizík. Každé opatrenie má mať účel, vlastníka, rozsah, prevádzkový postup, test a uchovaný výsledok.

Čo NIS2 nevyžaduje

Materiály dodávateľov často premieňajú osvedčené bezpečnostné postupy na predpokladané zákonné znenie. Vďaka tomu sa požiadavka ľahšie predáva a ťažšie sa obhajuje. Nasledujúce tvrdenia vyžadujú opravu.

„NIS2 predpisuje polia, ktoré musí obsahovať každý bezpečnostný protokol“

Smernica neurčuje jednotný zoznam polí, ktoré musí zaznamenávať každá dotknutá organizácia. Článok 21 ods. 2 vymenúva oblasti riadenia rizík, nie spoločný formát záznamov udalostí. Požiadavky na riešenie incidentov a hodnotenie účinnosti opatrení môžu v konkrétnom prostredí vyžadovať logovanie. To je záver z posúdenia rizík, nie univerzálna schéma predpísaná smernicou.

Podrobnejšie požiadavky obsahuje príloha k vykonávaciemu nariadeniu (EÚ) 2024/2690. Dotknuté subjekty musia zaviesť postupy a nástroje na sledovanie a zaznamenávanie činností v sieťových a informačných systémoch; príloha uvádza aj údaje, ktoré majú záznamy podľa potreby obsahovať. Nariadenie sa však podľa článku 1 vzťahuje na vymedzené skupiny: poskytovateľov DNS, registre domén najvyššej úrovne, poskytovateľov cloudových služieb a dátových centier, siete na doručovanie obsahu, poskytovateľov riadených a riadených bezpečnostných služieb, online trhoviská, vyhľadávače, platformy sociálnych sietí a poskytovateľov dôveryhodných služieb.

Tento zoznam neobsahuje každú nemocnicu, výrobcu, energetickú spoločnosť alebo organizáciu verejného sektora, na ktorú sa vzťahuje NIS2. Iné subjekty môžu čeliť podrobným vnútroštátnym alebo sektorovým pravidlám a dobrá detekcia incidentov zvyčajne vyžaduje vhodné protokoly. Presné vyhlásenie je: smernica určuje požadovaný výsledok. Vykonávacie nariadenie z roku 2024 dopĺňa záväzné technické podrobnosti pre vymedzené digitálne subjekty. Ďalšie požiadavky vyplývajú z vnútroštátnych predpisov a analýzy rizík.

„NIS2 nariaďuje platformu IGA“

Nenariaďuje. Článok 21 ods. 2 písm. i) výslovne uvádza bezpečnosť ľudských zdrojov, pravidlá riadenia prístupov a správu aktív. Písmeno j) zahŕňa podľa potreby viacfaktorové alebo nepretržité overovanie a zabezpečenú komunikáciu. Žiadne z týchto ustanovení nepredpisuje konkrétny produkt IGA.

Platforma IGA môže pomôcť zaviesť riadenie prístupov vo viacerých systémoch a doložiť výsledky. Jej samotná prítomnosť však súlad nezaručuje. Organizácia stále potrebuje správne zdrojové údaje, zodpovedných vlastníkov, primerané pravidlá, funkčné konektory, overené odoberanie prístupov a riešenie výnimiek.

„MFA všade splní všetky požiadavky NIS2 na identity“

NIS2 uvádza viacfaktorové overovanie s podmienkou primeranosti. Má význam najmä pri privilegovaných, vzdialených a citlivých prístupoch. Neurčuje však, kto má mať účet, aké práva potrebuje, kto ich schválil a či sa po zmene zaradenia odobrali. Autentifikácia overuje totožnosť pri prihlasovaní; riadenie prístupov posudzuje opodstatnenosť účtu a jeho oprávnení.

„Certifikácia automaticky potvrdzuje súlad s NIS2“

NIS2 odkazuje na súčasný stav techniky a príslušné európske a medzinárodné normy. Článok 24 tiež umožňuje členským štátom, aby za určitých okolností vyžadovali používanie certifikovaných produktov, služieb alebo procesov IKT. Smernica nevytvára jeden univerzálny certifikát, ktorý nahrádza analýzu rizík, hlásenie incidentov, dohľad manažmentu alebo vnútroštátne povinnosti. Normy môžu poskytnúť silnú štruktúru kontroly; organizácia ešte musí preukázať rozsah, implementáciu a efektívnosť.

„Maximálna pokuta sa ukladá bežne“

Článok 34 vyžaduje, aby vnútroštátne režimy umožňovali za porušenie článkov 21 alebo 23 maximálne správne pokuty najmenej 10 miliónov EUR alebo 2 % celkového celosvetového ročného obratu pri kľúčových subjektoch, podľa vyššej hodnoty. Pri dôležitých subjektoch ide o 7 miliónov EUR alebo 1,4 %. Sú to minimálne úrovne zákonných horných hraníc, nie automatické pokuty za každý incident. Orgány posudzujú okolnosti konkrétneho prípadu a postup určuje vnútroštátne právo.

Pripravte sa na termíny na hlásenie incidentov

Článok 23 sa uplatní pri incidente s významným vplyvom na poskytovanie služieb. Ide o incident, ktorý spôsobil alebo môže spôsobiť vážne narušenie prevádzky či finančnú stratu subjektu alebo značnú hmotnú či nehmotnú škodu iným osobám alebo organizáciám.

Lehoty na hlásenie plynú od chvíle, keď sa subjekt dozvie o významnom incidente:

Poskytovatelia dôveryhodných služieb majú špecifické 24-hodinové pravidlo pre oznámenie incidentu uvedené v článku 23 ods. 4 písm. b). Národné procesy môžu pridať praktické požiadavky, portály a kontakty. Ak je to vhodné, organizácie musia tiež informovať príjemcov služieb o významných incidentoch, ktoré môžu mať vplyv na službu, a informovať o opatreniach, ktoré môžu príjemcovia prijať proti významnej kybernetickej hrozbe.

Postup hlásenia pripravte ešte pred incidentom. Potrebujete kritériá významnosti, rozhodovacie právomoci, zdroje podkladov, kontakty na príslušné orgány, právne posúdenie aj zastupovanie mimo pracovného času. Nacvičte prvých 24 hodín. Písomné pravidlá nepomôžu, ak sa tím nedovolá osobe oprávnenej podať hlásenie.

Kde riadenie identít poskytuje podklady pre NIS2

Riadenie identít je jednou súčasťou programu podľa článku 21. Sústreďuje sa na prístupy a súvisí aj s personálnou bezpečnosťou, správou aktív, riešením incidentov, bezpečnosťou dodávateľského reťazca a overovaním účinnosti opatrení. Prepája udalosť v organizácii s overeným stavom prístupov a záznamami, ktoré zmenu vysvetľujú.

Pri každom dôležitom systéme má organizácia vedieť odpovedať:

• Ktoré identity majú prístup vrátane zamestnancov, externistov, dodávateľov, servisných účtov a ďalších strojových identít?
• Aké oprávnenia má každá identita a na akú prácu ich potrebuje?
• Kto požiadal a schválil prístup, podľa akých pravidiel a na ako dlho?
• Čo sa zmenilo pri nástupe, zmene zaradenia alebo zmluvy a pri odchode?
• Kto zodpovedá za aplikáciu a za definície jej rolí a oprávnení?
• Ktoré prístupy sú privilegované, dočasne povolené, nepoužívané, bez vlastníka alebo v konflikte s pravidlami?
• Kedy bol prístup naposledy skontrolovaný, ako posudzovateľ rozhodol a bola zmena vykonaná?
• Dokáže organizácia zosúladiť zamýšľaný stav so skutočným stavom cieľového systému?

V malom a stabilnom prostredí môže na časť otázok odpovedať tabuľka. S rastúcim počtom aplikácií, identít, oprávnení a zmien sa však stáva menej spoľahlivou. Automatizácia pomáha vtedy, keď obmedzuje nekontrolované oneskorenia a zachováva súvislé záznamy. Aj automatizované opatrenia potrebujú zodpovedných ľudí a testovanie.

Podklady, ktorými doložíte riadenie prístupov

Pripravte auditné podklady vopred. Zahrňte aspoň:

1. Zásady a rozsah: politika riadenia prístupu, skupiny identít, kritické aplikácie, hranice privilegovaného prístupu a pravidlá výnimiek.
2. Zodpovednosť: vlastníkov aplikácií, vlastníkov rolí, schvaľovateľov, posudzovateľov a cesty eskalácie.
3. Podklady o životnom cykle: vzorky a metriky pre nastupujúcich zamestnancov, zamestnancov meniacich rolu, odchádzajúcich, dodávateľov a neaktívne identity, vrátane dokončeného odstránenia v cieľových systémoch.
4. Podklady o rozhodnutiach: žiadosti o prístup, kontext schválenia, uplynutie platnosti, kontroly pravidiel a zamietnuté žiadosti.
5. Podklady o kontrolách: rozsah kontroly, požadovanú nezávislosť posudzovateľa, rozhodnutia, výsledky ich vykonania a omeškané úlohy.
6. Technické podklady: stav konektora, výsledky zosúladenia, neúspešné operácie, opakovanie alebo manuálna korekcia a monitorovanie.
7. Privilegovaný prístup a strojové identity: inventarizácia, zodpovednosť, opatrenia na overovanie totožnosti, správa prihlasovacích údajov, používanie a pravidelná kontrola.
8. Výnimky a účinnosť: akceptovanie rizika, kompenzačné kontroly, výsledky testov, incidenty, zistenia a náprava.

Nevyberajte iba bezchybné príklady. Použite opakovateľný výber vzorky a uchovajte zlyhania aj záznam o náprave. Fungujúce odhalenie a oprava chyby sú presvedčivejšie než tvrdenie, že chyby nikdy nenastávajú.

Praktický 90-dňový plán pre oblasť identít

NIS2 zahŕňa oveľa viac než správu identít. Riadenie prístupov je však konkrétna oblasť, v ktorej môžete začať overovať fungovanie opatrení.

Dni 1 až 30: zistite východiskový stav

Pôsobnosť právnych predpisov potvrďte s právnikom alebo osobou zodpovednou za súlad. Určte garanta z vedenia a prevádzkových vlastníkov. Zmapujte kritické služby, podporné systémy, rozhodujúce zdroje identít, skupiny používateľov, aplikácie, privilegované účty a strojové identity. Opíšte nástup, zmenu zaradenia a odchod od zdrojovej udalosti po výsledok.

Zmerajte účty bez vlastníka, aktívne účty po odchode, nepoužívané privilegované účty, oneskorené kontroly, neúspešné zmeny prístupov, manuálne čakajúce úlohy a aplikácie bez zodpovedného vlastníka. Kde existujú systémové údaje, nenahrádzajte ich odhadom.

Dni 31 až 60: určte priority podľa rizík služieb

Vyberte systémy, kde môže nevhodný prístup spôsobiť vážny výpadok, ohrozenie bezpečnosti, významné straty alebo škody. Určte schvaľovanie, platnosť, oddelenie povinností, privilegované prístupy a kontroly. Lehoty vykonania aj odobratia prístupu prispôsobte prevádzkovému riziku. Výnimky musia mať vlastníka rizika a dobu platnosti.

Prepojte udalosti súvisiace s prístupmi s riešením incidentov. Bezpečnostný tím musí vedieť získať históriu identity, schválenia a stav v aplikáciách. Tím správy identít má vedieť, kedy podozrivý účet, neúspešné hromadné odobratie alebo kompromitovaná privilegovaná identita vyžadujú incidentný postup.

Dni 61 až 90: overte fungovanie v praxi

Vykonajte úplnú kontrolu prístupov v prioritnej oblasti. Otestujte aspoň jeden nástup, zmenu zaradenia a odchod od začiatku po výsledok. Porovnajte požadované zmeny so stavom cieľových systémov. Overte aj riešenie zlyhaní a vlastníkov privilegovaných či servisných účtov. Vedeniu predložte výsledky, výnimky a zvyškové riziká ako podklad na schválenie alebo nápravu.

Výsledkom 90 dní nie je dokončený súlad s NIS2. Je ním overená časť opatrení a postup, ktorý možno rozšíriť. To je užitočnejšie než množstvo pravidiel bez doloženého fungovania.

Kde easyIGA pomáha a kde sú jej hranice

easyIGA pomáha organizáciám riadiť prístupy v pripojených systémoch prostredníctvom žiadostí, schvaľovania, zmien životného cyklu, kontrol a uchovávaných záznamov o rozhodnutiach. Podporuje tým praktické uplatňovanie pravidiel riadenia prístupov aj dokladovanie účinnosti opatrení.

Riešenie posudzujte podľa skutočných aplikácií organizácie a požadovaných opatrení. Dôveryhodné hodnotenie overí vytváranie, zmeny, deaktiváciu a odstraňovanie účtov, zosúlaďovanie, riešenie výnimiek, zodpovednosti, dokončenie kontrol aj export podkladov. Zahŕňa tiež náročnejšie systémy, napríklad staršie aplikácie a prostredia mimo Microsoftu. Nestačí predviesť iba najjednoduchší účet v adresári.

easyIGA neurčuje právnu pôsobnosť predpisov, nenahrádza vnútroštátne právne poradenstvo ani celý program kybernetickej bezpečnosti a nezaručuje súlad. Pomáha s vymedzenou časťou riadenia a auditných podkladov. Za riziká, bezpečnosť systémov, hlásenie incidentov, kontinuitu, dodávateľský reťazec a dohľad vedenia naďalej zodpovedá organizácia.

Ak sa vaša politika riadenia prístupu ešte nedá preukázať v systémoch, ktoré podporujú kritické služby, preberte s nami, čo vám chýba. Môžeme začať hodnotením konkrétneho rozsahu: zdrojov identít, prioritných aplikácií, personálnych zmien, schvaľovania, kontrol a overovania výsledkov. Výstupom má byť testovateľné prepojenie opatrení bez ohľadu na konečný výber produktu.

Otázky, ktoré by si mal manažment položiť pred schválením programu

Na schvaľovacom stretnutí použite tieto otázky:

• Zaznamenali sme, prečo každá právnická osoba patrí do rozsahu pôsobnosti príslušného vnútroštátneho práva alebo mimo neho?
• Ktoré kritické služby a závislosti riadia naše hodnotenie rizík?
• Pokrývajú naše opatrenia všetkých desať oblastí v článku 21 ods. 2 s vlastníkmi a testami účinnosti?
• Ktoré podrobné vykonávacie pravidlá sa vzťahujú na náš typ subjektu a ktoré nie?
• Dokážeme do 24 hodín rozhodnúť o významnom incidente a podložiť rozhodnutie?
• Vieme doložiť, že sa prístupy odchádzajúcich zamestnancov a externistov aj privilegované prístupy odoberajú alebo kontrolujú priamo v cieľových systémoch?
• Majú výnimky zodpovedných vlastníkov, kompenzačné opatrenia a dátumy platnosti?
• Dostalo vedenie dostatok dôkazov na schválenie opatrení a dohľad nad nápravou?

Úprimné „nie“ pomáha, ak vedie ku konkrétnej úlohe so zodpovednou osobou. Nepodložené „áno“ založené iba na dokumente, licencii alebo všeobecnom zozname je nebezpečné.

Pred výberom platformy potvrďte rozsah produktu

Pomocou prehľadu záznamov easyIGA porovnajte dostupné podklady s požiadavkami na riadenie prístupov. Vysvetľuje zachytené schvaľovacie kroky, prístupy pridelené mimo easyIGA aj chýbajúce historické informácie. Kontroly pravidiel sú dostupné pri rozhodovaní; tvorba pravidiel v easyIGA je plánovaná. Náš tím realizoval 14+ implementácií midPointu, z ktorých čerpá praktické skúsenosti pri návrhu a prevádzke riadenia prístupov.

Pokračujte v implementácii

Pomocou sprievodcu IGA pre prevádzkový model riadenia prístupov a postup pri odchode zamestnanca na overenie celého procesu odobratia prístupu. Finančné subjekty by mali posúdiť aj požiadavky DORA na riadenie prístupov.

Zdroje a overovací záznam

Rozsah produktu a redakčné znenie aktualizované dňa 24. septembra 2026. Pôvodné dátumy kontroly zdroja uvedené nižšie zostávajú dátumami týchto kontrol.

Všetky zdroje boli skontrolované 12. septembra 2026.

1. Smernica (EÚ) 2022/2555, oficiálny text, EUR-Lex
2. Vykonávacie nariadenie Komisie (EÚ) 2024/2690, oficiálny text, EUR-Lex
3. Európska komisia: Smernica NIS2, prehľad politík a stav transpozície
4. Európska komisia: návrh cielených zmien z roku 2026
5. ENISA: Technická implementačná príručka NIS2
6. ENISA: Podpora implementácie NIS2 prostredníctvom usmernení
7. ENISA: Kybernetická bezpečnosť kritických sektorov