Čo vyžaduje vyhláška MIRRI č. 184/2026 pri správe identít a prístupov

Od 1. januára 2027 sa správcovia ITVS, teda informačných technológií verejnej správy, na Slovensku riadia novou vyhláškou o bezpečnostných opatreniach. Podľa § 2 zákona 95/2019 je informačný systém jednou z podôb informačnej technológie, takže ITVS zahŕňajú aj ISVS, teda informačné systémy verejnej správy; príloha č. 2 vyhlášky používa obe skratky. Vyhláška č. 184/2026 Z. z. Ministerstva investícií, regionálneho rozvoja a informatizácie (MIRRI) od tohto dátumu nahrádza vyhlášku 179/2020. Jej príloha č. 2 obsahuje 181 minimálnych bezpečnostných opatrení a trinásť z nich, položky 99 až 111, tvorí oblasť nazvanú „správa identít a prístupov“.

Tri z týchto položiek platia pre každého správcu, od najmenšej obce po ministerstvo. Vyžadujú definovaný systém riadenia identít a prístupov, zoznam všetkých používateľov s ich identifikátormi a autorizáciami a mechanizmy a nástroje na riadenie identít a prístupov pre každý systém. Zvyšných desať platí pre Kategóriu II a III a patrí medzi ne aj ročná kontrola prístupových účtov a prístupových oprávnení so záznamom, ktorý sa musí uchovať do ukončenia nasledujúceho auditu alebo samohodnotenia.

Stručná odpoveď: Vyhláška 184/2026 vyžaduje, aby každý správca ITVS vedel, aké má systémy, identity, technické účty a administrátorov, viedol zoznam používateľov a ich autorizácií a pre všetky svoje systémy používal mechanizmy a nástroje na riadenie identít a prístupov. Správcovia v Kategórii II a III musia navyše riadiť celý životný cyklus identít, uplatňovať riadenie prístupov na základe rolí a zásadu najnižších oprávnení a najmenej raz ročne skontrolovať účty a oprávnenia so záznamom, ktorý uchovajú. Do 30. júna 2027 sa nové minimálne bezpečnostné opatrenia považujú za prijaté, ak ste prijali opatrenia svojej kategórie podľa prílohy č. 2 k vyhláške 179/2020.

Tento sprievodca vysvetľuje, pre koho platí ktorá kategória, čo požaduje každá z položiek 99 až 111 a aké podklady uchovať, v čom sa vyhláška líši od vyhlášky NBÚ pre prevádzkovateľov základnej služby a čo sa zmenilo oproti vyhláške 179/2020. Vychádza z úradných znení na Slov-Lexe overených 21. októbra 2026, pričom znenie položiek a stĺpce kategórií sme overili v právne záväznom PDF. Ide o praktický návod, nie o právne poradenstvo. O kategórii, analýze rizík a dokumentácii rozhoduje vaša organizácia.

Dôležité dátumy

Vyhláška bola schválená 1. júla 2026 a v Zbierke zákonov vyhlásená 9. júla 2026. Je vydaná podľa § 31 písm. i) zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe, podľa ktorého za prijatie a realizáciu bezpečnostných opatrení k informačným technológiám verejnej správy v jeho správe zodpovedá správca (§ 18 ods. 1 zákona).

Podľa § 5 ods. 1 sa za prijatú považuje celá príloha č. 2, takže prechodné obdobie pokrýva aj nové položky, končí však 30. júna 2027. Obe časti § 5 ods. 1 hovoria o kategórii, ktorá platí podľa § 1 novej vyhlášky. Podľa nášho výkladu preto organizácia, ktorej sa kategória mení (napríklad komora, ktorá je podľa § 3 ods. 2 písm. e) vyhlášky 179/2020 v Kategórii I, ale podľa § 1 ods. 6 písm. z) vyhlášky 184/2026 v Kategórii III), potrebuje na uplatnenie tohto pravidla opatrenia svojej novej kategórie podľa vyhlášky 179/2020. Odporúčame, aby položky, ktoré sú pre vašu kategóriu nové, fungovali do 30. júna 2027. Ktoré to sú, ukazuje porovnanie s vyhláškou 179/2020 ďalej v tomto sprievodcovi.

Ktorá kategória sa vzťahuje na vašu organizáciu

Kategória závisí od druhu organizácie. Vyhláška ju v § 1 ods. 4 až 6 priraďuje verejným orgánom (orgán riadenia), ktoré vymedzuje § 5 ods. 2 zákona 95/2019. Organizácia v Kategórii II uplatňuje opatrenia označené pre Kategóriu I a II, organizácia v Kategórii III všetky tri.

Tabuľka zoznamy skracuje. Len odsek 6 má 27 písmen, preto si overte úplné znenie v § 1 vyhlášky, ak vaša organizácia nie je uvedená vyššie.

Dva detaily sa ľahko prehliadnu. Organizácia, ktorú zriadilo alebo založilo ministerstvo, vyšší územný celok alebo iný orgán uvedený v § 5 ods. 2 písm. a) až d) zákona 95/2019, patrí do Kategórie I, ak nie je kritickým subjektom podľa zákona 367/2024 o kritickej infraštruktúre; v takom prípade ju § 1 ods. 6 písm. y) zaraďuje do Kategórie III. A podľa § 1 ods. 3 majú pri duplicite alebo nekompatibilite minimálnych bezpečnostných opatrení rôznych kategórií, ktoré sa vzťahujú na tú istú ITVS, prednosť ustanovenia vyššej kategórie.

Čo znamená kategória pre položky 99 až 111

V oblasti identít je označenie stĺpcov jednoduché. Položky 99, 100 a 101 sú označené pre Kategóriu I, II aj III. Položky 102 až 111 sú označené len pre Kategóriu II a III. Obec so 4 000 obyvateľmi tak musí v oblasti identít splniť tri položky, mestská časť alebo vyšší územný celok trinásť.

Kategória I nie je bez povinností týkajúcich sa prístupov ani inde v prílohe č. 2. Položka 3 (určená osoba zodpovedná za prístup používateľov), položka 10 (zásada najnižších privilégií), položka 11 (oddeľovanie zodpovedností) a položky 85 a 86 (zoznam zamestnancov pracujúcich na ISVS a ITVS a formalizované procesy pri nástupe, zmene pozície a odchode) platia pre všetky tri kategórie. Venujeme sa im nižšie v časti o súvisiacich položkách.

Odchýlka potrebuje zdokumentované a schválené zdôvodnenie

Od minima sa dá odchýliť len na základe zdokumentovanej analýzy rizík. Podľa § 2 ods. 3 sa minimálne bezpečnostné opatrenie vašej kategórie nemusí realizovať, ak nie je relevantné pre dané riziko, ak sa riziku dá vyhnúť ukončením alebo nezačatím činnosti, ktorá ho spôsobuje, alebo ak sa mu dá vyhnúť iným spôsobom. Podľa § 2 ods. 1 písm. e) musí byť odôvodnenie každej odchýlky súčasťou riadenia rizík a podľa § 2 ods. 4 musí výsledok analýzy rizík a navrhované opatrenia vrátane tohto odôvodnenia písomne schváliť štatutárny orgán alebo ním poverený riadiaci pracovník.

Pri správe identít a prístupov to znamená, že položka, ktorú sa rozhodnete nerealizovať, potrebuje písomný a schválený dôvod. Chýbajúci vhodný nástroj nepatrí medzi dôvody uvedené v § 2 ods. 3.

Vyhláška 184/2026 a vyhláška 227/2025 v porovnaní

Od 1. januára 2027 budú na Slovensku účinné dve vyhlášky s veľmi podobnými položkami o správe identít a prístupov, vydané rôznymi orgánmi pre rôznych adresátov. Náš článok Čo vyžaduje vyhláška NBÚ č. 227/2025 pri správe identít a prístupov sa vyhláške NBÚ venuje podrobne.

Väčšina položiek o identitách sa zhoduje takmer doslovne. Položka 102 zodpovedá položke 76 vyhlášky 227/2025, položky 103 a 104 položkám 78 a 79, položka 105 položke 80 a položky 106 až 110 položkám 81 až 85. Položka 111 zodpovedá položke 86, ktorú vyhláška 227/2025 obmedzuje na operačné technológie, kým vyhláška 184/2026 ju uplatňuje na všetky ITVS a ISVS. Vo vyhláške 227/2025 v oblasti identít chýbajú tri položky pre všetky kategórie, teda 99, 100 a 101. Vo vyhláške 184/2026 chýbajú položky 77 a 87 vyhlášky 227/2025: položka 77 (samostatná technológia riadenia prístupov pre operačné technológie) je označená len v stĺpci OT pre prevádzkovateľov kritickej základnej služby a položka 87 (identifikácia neoprávnených rádiofrekvenčných zariadení) je označená len pre prevádzkovateľov kritickej základnej služby, a to v stĺpci IKT aj OT.

Kedy platia obe vyhlášky

Niektorí správcovia sú zároveň prevádzkovateľmi základnej služby. Od 30. apríla 2026 uvádza § 17 ods. 1 písm. g) zákona 69/2018, v znení čl. III zákona 67/2026, medzi osobami, ktoré sa zapisujú do registra prevádzkovateľov základnej služby, aj správcu ITVS, „na ktorého sa vo vzťahu k informačným technológiám verejnej správy vzťahujú minimálne bezpečnostné opatrenia Kategórie II alebo Kategórie III podľa osobitného predpisu“. Zákon 95/2019 potom v § 18 ods. 2 ustanovuje, že správca, ktorý je prevádzkovateľom základnej služby, prijíma a realizuje bezpečnostné opatrenia k ITVS podľa tohto zákona „a aj v rozsahu a za podmienok podľa osobitného predpisu“; poznámka pod čiarou k tejto vete (odkaz 20) uvádza § 20 ods. 4 zákona 69/2018, ktorý vymedzuje, čo musia bezpečnostné opatrenia zahŕňať najmenej. Podľa § 1 ods. 3 zákona 95/2019 nie sú povinnosti a oprávnenia takéhoto správcu podľa zákona 69/2018 týmto zákonom dotknuté.

K tomu tri poznámky. Poznámka pod čiarou k § 17 ods. 1 písm. g) stále odkazuje na § 3 ods. 3 a 4 vyhlášky 179/2020, ktorá sa od 1. januára 2027 zrušuje; k 21. októbru 2026 Slov-Lex neuvádzal žiadne neskoršie znenie zákona 69/2018, takže tento odkaz zatiaľ žiadna vyhlásená novela neaktualizuje. Podľa § 20 ods. 3 zákona 69/2018 sa bezpečnostné opatrenia prijímajú a realizujú v rozsahu a spôsobom podľa § 32 ods. 1 písm. b) tohto zákona, na ktorom stojí vyhláška 227/2025, alebo podľa osobitného predpisu, ak je vydaný, pričom poznámka pod čiarou uvádza medzi príkladmi aj zákon 95/2019. Ani jeden zo zákonov výslovne neuvádza, ako správca, ktorý je zároveň prevádzkovateľom základnej služby, zdokumentuje obe sady opatrení spolu; podľa nášho výkladu ide o otázku, ktorú si treba overiť na NBÚ a MIRRI spolu so stavom vášho zápisu do registra. Keďže ročná kontrola je v položke 80 aj 105 formulovaná takmer rovnako, odporúčame vykonávať jednu kontrolu, ktorej rozsah a záznam vyhovejú obom.

Čo vyžadujú položky 99 až 111 a čím ich doložiť

Tabuľka každú položku zhŕňa, uvádza jej kategórie a navrhuje opatrenie a podklady, ktoré treba uchovať. Stĺpce s opatrením a podkladmi sú naše odporúčania; vyhláška predpisuje výsledky a výber nástrojov necháva na vás. Presné znenie kľúčových položiek citujeme v nasledujúcich častiach.

Tri položky, ktoré musí splniť každá kategória

V položkách 99 až 101 sa vyhláška 184/2026 najviac odlišuje od vyhlášky 179/2020 aj od vyhlášky 227/2025. Sú krátke, no spolu vyžadujú súpis, register a rozhodnutie o nástrojoch pre každý informačný systém verejnej správy, ktorý spravujete.

Položka 99 vyžaduje definovaný a kontrolovaný systém

Položka 99 znie: „pre všetky ISVS a ITVS v súlade s bezpečnostnými cieľmi organizácie správcu je definovaný, zavedený a kontrolovaný systém riadenia identít a prístupov organizácie správcu, ktorý obsahuje a) zoznam systémov a spôsob riadenia lokálnych identít a centrálne riadených identít používateľov a tretích strán, b) zoznam a jednotlivé typy identít a používateľov, technických účtov a administrátorov naprieč systémami, c) spôsoby identifikácie a autentifikácie používateľov v jednotlivých systémoch“.

Podľa nášho výkladu slovo systém tu označuje celé usporiadanie: pravidlá, zodpovednosti a záznamy, ktoré sú definované, zavedené a následne kontrolované. Odporúčame dokument, ktorý pri každom systéme odpovie na tri otázky:

• Odkiaľ pochádzajú jeho identity? Niektoré systémy používajú centrálnu adresárovú službu, iné majú lokálne účty. Uviesť treba aj zamestnancov tretích strán, napríklad administrátorov dodávateľov.
• Aké druhy identít v ňom existujú? Vyhláška menuje používateľov, „technické účty“ a administrátorov. Patria sem aj servisné účty, ktoré používajú integrácie a plánované úlohy.
• Ako sa ľudia identifikujú a autentifikujú? Napríklad prihlásením cez adresárovú službu s viacfaktorovým overovaním, lokálnym heslom alebo certifikátom.

Praktickým formátom je jedna tabuľka za organizáciu s riadkom pre každý ISVS alebo ITVS. Začnite evidenciou aktív, ktorú § 3 vyhlášky vyžaduje v každom prípade a ktorá musí byť centralizovane riadená, musí zodpovedať aktuálnemu stavu a musí evidovať vlastníkov aktív. Stĺpce o identitách potom rozšíria zoznam, ktorý musíte viesť tak či tak.

Položka 100 vyžaduje jeden zoznam používateľov a ich autorizácií

Položka 100 znie: „organizácia správcu vedie zoznam všetkých používateľov, ich identifikátorov a autorizácií v rámci správy ISVS a ITVS“.

Ide o register, ktorý sa vedie priebežne a zachytáva, kto má aký účet a aké oprávnenia. Ak sú oprávnenia rozptýlené v databázach aplikácií, tabuľkách a histórii tiketov, jeho zostavenie znamená pozbierať ich z každého zdroja. Zo znenia podľa nášho výkladu vyplývajú dve praktické veci. Zoznam pokrýva všetkých používateľov, takže doň patria aj externí pracovníci a zamestnanci dodávateľov. A pokrýva autorizácie, nielen účty, takže zoznam prihlasovacích mien bez oprávnení položku nespĺňa.

Organizáciám v Kategórii I s niekoľkými systémami môže ako register stačiť udržiavaná tabuľka s exportmi z jednotlivých aplikácií. Pri organizáciách s desiatkami systémov sa problémom stáva jeho ručná aktualizácia. Nástroj na riadenie prístupov pripojený k týmto systémom dokáže register udržiavať aktuálny pre systémy, ktoré pokrýva.

Položka 101 vyžaduje mechanizmy a nástroje pre každý systém

Položka 101 znie: „organizácia správcu určí, zavedie a používa mechanizmy a nástroje na riadenie identít a prístupov pre všetky ISVS a ITVS“.

Položka má tri slovesá: určí, zavedie a používa. Kúpený, no nepoužívaný nástroj spĺňa nanajvýš prvé z nich. Položka nemenuje druh produktu a nevyžaduje jeden centrálny nástroj na všetko. Podľa nášho výkladu je prijateľná kombinácia, napríklad centrálna adresárová služba na overovanie, nástroj na riadenie a správu identít pre žiadosti, schvaľovanie a kontroly a vlastné kontroly aplikácie tam, kde integrácia neexistuje, pokiaľ viete ukázať, ktorý mechanizmus riadi ktorý systém.

Toto priradenie si zapíšte. Jednostranový záznam o rozhodnutí, ktorý uvádza každý ISVS a mechanizmus, ktorý riadi jeho identity a prístupy, je najjednoduchším dokladom pre položku 101 a využíva súpis z položky 99.

Položka 105, ročná kontrola pre Kategóriu II a III

Položka 105 znie: „v pravidelných intervaloch, najmenej raz ročne je vykonávaná kontrola prístupových účtov a prístupových oprávnení na overenie súladu schválených oprávnení so skutočným stavom vykonávania oprávnení vrátane detekcie a následného zneplatnenia nepoužívaných prístupových účtov; vyhotovuje sa o tom záznam, ktorý sa uchováva najmenej počas obdobia od ukončenia posledného auditu do ukončenia nasledujúceho auditu alebo samohodnotenia“.

Znenie je takmer zhodné s položkou 80 vyhlášky 227/2025 a náš sprievodca vyhláškou 227/2025 prechádza krok za krokom určenie rozsahu, porovnanie, nepoužívané účty a uchovávanie záznamu. Tri body sú špecifické pre vyhlášku o verejnej správe:

• Kategória I nie je označená. Organizácii v Kategórii I položka 105 kontrolu neukladá, hoci jej analýza rizík ju k nej môže viesť.
• Vyhláška neuvádza, ktorý audit má na mysli. Vyhláška 184/2026 audit ani samohodnotenie nevymedzuje; položka 76 (Kategória II a III) vyžaduje iba definované pravidlá pre výkon auditných a kontrolných činností. Pri správcovi zapísanom ako prevádzkovateľ základnej služby je prirodzeným odkazom audit kybernetickej bezpečnosti a samohodnotenie podľa § 29 zákona 69/2018; to je náš výklad, nie znenie vyhlášky. Odporúčame uchovať každý záznam o kontrole aspoň do ukončenia nasledujúceho auditu kybernetickej bezpečnosti a odkaz si overiť na MIRRI, ak nie ste zapísaní ako prevádzkovateľ základnej služby.
• Pojmy nepoužívaný účet a zneplatnenie nie sú vymedzené. V politike prístupov určte merateľnú hranicu pre každý typ účtu, zriedka používané, no legitímne účty (núdzové administrátorské účty, ročné úlohy) veďte ako zdokumentované výnimky a pred deaktiváciou technického účtu overte, čo od neho závisí.

Užitočný záznam obsahuje aspoň dátum a zodpovednú osobu (položka 3), rozsah so zdokumentovanými vylúčeniami, posudzovateľov, každé rozhodnutie o ponechaní alebo odobratí s dátumom, hranicu pre nepoužívané účty a nájdené účty, výsledok každého odobratia v cieľovom systéme vrátane neúspešných a čakajúcich a otvorené body s ich vlastníkmi.

Súvisiace položky v iných oblastiach prílohy č. 2

Viaceré opatrenia, ktoré sa týkajú identít a prístupov, sú mimo oblasti identít. Kategórie uvedené nižšie sme overili v záväznom PDF.

• Položka 3 (všetky kategórie): určená osoba zodpovedná za riadenie prístupu používateľov do siete a k ITVS, prideľovanie a odoberanie prístupových práv, ich evidenciu a vedenie prevádzkových záznamov o každom prístupe.
• Položky 10, 11 a 13 (všetky kategórie): zásada najnižších privilégií, oddelenie povinností (zásada oddeľovania zodpovedností) a zásada aktuálnej potreby poznať. Položka 11 formuluje oddeľovanie zodpovedností takto: „žiaden používateľ nemá oprávnenie upravovať alebo používať aktíva správcu bez autorizácie alebo overenia identity“.
• Položky 85 a 86 (všetky kategórie): zoznam všetkých zamestnancov, ktorí vykonávajú činnosti v rámci správy ISVS a ITVS, a formalizované procesy pre zaradenie do pozície, zmenu pozície a odobratie pozície pre používateľov, administrátorov a zamestnancov tretích strán.
• Položka 87 (Kategória II a III): pravidlá pre zaradenie osôb do rolí.
• Položka 97 (Kategória II a III): viacfaktorové overovanie pre vzdialený prístup.
• Položka 58 (Kategória II a III): pre každý projekt ISVS osoba, ktorá dohliada na bezpečnostné povinnosti dodávateľa, najmä na zoznamy oprávnených osôb a pridelenie vzdialených prístupov.
• Položka 73 (všetky kategórie): vnútorný systém kontrol so zoznamom kontrol, zodpovednými osobami, periodicitou a evidenciou vykonaných kontrol. Podľa nášho výkladu patrí do tohto zoznamu aj ročná kontrola.
• Položky 137 až 141: systém zberu logov a monitorovania (137 až 139, všetky kategórie), relevantné logy uchovávané najmenej 12 mesiacov s ochranou integrity (140, Kategória II a III) a záznamy o činnostiach, z ktorých je zrejmé, kto činnosť vykonal (141, Kategória II a III).

Čo sa zmenilo oproti vyhláške 179/2020

Vyhláška 179/2020 mala pravidlá prístupov usporiadané v oblasti D, Riadenie prístupov, ako samostatné zoznamy podľa kategórií. Vyhláška 184/2026 používa jednu tabuľku so stĺpcami kategórií. Znenie je nové, preto je porovnanie nižšie podľa tém, nie položka po položke.

Podľa nášho výkladu oboch textov sú pre obec v Kategórii I hlavnou novou prácou položky 99 až 101 a pre Kategóriu II a III sú hlavnými zmenami položky o životnom cykle a systémových účtoch, detekcia a zneplatnenie nepoužívaných účtov, uchovanie záznamu o kontrole a dlhšie uchovávanie logov. Organizácie, ktoré dodržiavali šesťmesačnú kontrolu privilegovaných prístupov podľa vyhlášky 179/2020, v nej môžu pokračovať: § 1 ods. 2 novej vyhlášky vyžaduje opatrenia aspoň na úrovni minimálnych bezpečnostných opatrení a § 4 ods. 1 pripúšťa zdokumentované opatrenia nad rámec minima.

Kde IGA tieto položky podporuje

Riadenie a správa identít (IGA, identity governance and administration) je softvér, ktorý spravuje, kto má prístup ku ktorým aplikáciám, kto ho schválil a či je ešte potrebný. Podľa nášho posúdenia pri systémoch, ku ktorým je pripojený, najpriamejšie podporuje položky 100, 101, 103 a 105 a prispieva k položkám 99, 102, 106 a 107. Vyhláška nemenuje druh produktu, takže nástroj IGA je jednou z ciest, ako zabezpečiť „mechanizmy a nástroje“ podľa položky 101, nie zákonnou požiadavkou sám osebe.

easyIGA je používateľská nadstavba IGA postavená na open source platforme midPoint. Pri položkách uvedených vyššie dnes robí toto:

• Životný cyklus cez midPoint: midPoint prepája autoritatívne údaje o identitách s nastavenými pravidlami a cieľovými systémami, takže nástupy, zmeny pozícií a odchody prebiehajú cez nastavené integrácie (položka 103). easyIGA pridáva zrozumiteľné žiadosti, rozhodnutia a kontroly.
• Žiadosti a schvaľovanie: zamestnanci si vyberajú prístup zo zrozumiteľného katalógu a vaša organizácia určuje, kto môže o ktoré oprávnenie žiadať a kto ho schvaľuje. Zachytené schvaľovacie kroky zostávajú v poradí so zaznamenanou osobou, ktorá rozhodla, a časom, čím položka 105 získava schválený stav, s ktorým možno porovnávať. Pozrite si žiadosti o prístup.
• Kontroly prístupov: posudzovateľ vidí osobu a kontrolovaný prístup spolu s posledným použitím a údajmi o tom, kto prístup pridelil a kto ho schválil, ak ich pripojené systémy a zachytená história schvaľovania poskytujú. Ponechanie aj odobratie prístupu sú zaznamenané rozhodnutia. Pozrite si kontroly prístupov.
• Odobratia sledované až po výsledok: easyIGA rozlišuje overené, čakajúce, neúspešné a neznáme výsledky, takže odobratie rozhodnuté pri kontrole sa nepovažuje za hotové, kým ho pripojený systém nepotvrdí.
• Chýbajúca história zostáva viditeľná: priame pridelenie bez zodpovedajúcej žiadosti v easyIGA je označené ako pridelené mimo easyIGA, s účtom, kanálom a časom vytvorenia, ktoré zaznamenal midPoint. easyIGA nerekonštruuje rozhodnutia, ktoré nikto nezachytil.
• Účty bez vlastníka: porovnanie účtov v pripojených systémoch so záznamami o identitách pomáha odhaliť medzery vo vlastníctve, aj pri servisných účtoch, čo podporuje časť položiek 99 a 105 týkajúcu sa technických účtov. Dostupný prehľad závisí od typu účtu, pripojeného zdroja a podporovaného postupu, čo s vami náš tím overí. Pozrite si účty bez vlastníka a strojové identity.
• Nezlučiteľné prístupy: easyIGA zobrazuje na schvaľovacej karte výsledok pravidiel nezlučiteľnosti rolí nastavených v midPointe. Tvorba a simulácia týchto pravidiel priamo v easyIGA je plánovaná, dnes nie je dostupná. Pozrite si oddelenie povinností.
• Podklady: exporty podkladov z kontrol obsahujú dostupnú históriu žiadostí a schvaľovania, pričom lehoty uchovávania a prístup k týmto záznamom sa dohodnú pre vaše nasadenie. Pozrite si auditné podklady.

Nasadenie je štandardne na vašej infraštruktúre a vo vašej jurisdikcii. Organizáciám bez vhodnej infraštruktúry je na požiadanie k dispozícii nasadenie v EÚ prevádzkované naším tímom (možnosti nasadenia). Ako to funguje naprieč útvarmi, zdieľanými službami a dodávateľmi, nájdete na stránke správa prístupov vo verejnom sektore.

Čo IGA pri vyhláške 184/2026 nerieši

Nástroj IGA pokrýva časť oblasti identít. Zvyšok naplánujte výslovne.

• Overovanie totožnosti. Položka 99 písm. c), položky 109 a 110 a viacfaktorové overovanie pre vzdialený prístup podľa položky 97 patria vášmu poskytovateľovi identity, vašim aplikáciám a vašim pravidlám pre používateľov. Schválenie v easyIGA nedokazuje, že sa použilo viacfaktorové overovanie.
• Zaznamenávanie každého použitia oprávnenia. Položka 102 požaduje technológie, ktoré zaznamenávajú použitie prístupových oprávnení, položka 3 požaduje prevádzkové záznamy o každom prístupe a položky 137 až 141 požadujú zber a uchovávanie logov. To zabezpečujú logy aplikácií, overovania a siete. easyIGA zobrazuje posledné použitie iba vtedy, keď ho pripojený systém poskytne, a záznam o prístupe neukazuje každú činnosť vykonanú v aplikácii.
• Monitorovanie nedôveryhodného prístupu. Položka 111 vyžaduje opatrenia pre vzdialený prístup a sieť s monitorovaním.
• Privilegované relácie. Pri položke 107 môže IGA riadiť, kto dostane privilegovanú rolu. Riadenie alebo zaznamenávanie privilegovaných relácií vyžaduje samostatné nástroje.
• Systémy, ktoré nie sú pripojené. Položky 99 až 101 pokrývajú všetky ISVS a ITVS. Konektor podporuje rôzne operácie podľa aplikácie a jej konfigurácie a operácie, ktoré potrebujete, s vami náš tím potvrdí pri návrhu integrácie. Systém bez integrácie potrebuje vlastný záznam v súpise a vlastný spôsob, ako napĺňať register.
• Vaše rozhodnutia. Hranica pre nepoužívané účty, rozsah kontroly, lehota uchovávania a každá odchýlka podľa § 2 ods. 3 sú rozhodnutia pre vašu dokumentáciu, schválené podľa § 2 ods. 4.
• Samotný súlad. Produkt súlad nezakladá. Kvalita každej kontroly závisí aj od zdrojových údajov: nesprávny nadriadený alebo chýbajúci dátum ukončenia v personálnych záznamoch sa lepšou obrazovkou kontroly neopraví.

Kontrolný zoznam na prechodné obdobie do 30. júna 2027

1. Overte svoju kategóriu podľa § 1 ods. 4 až 6 vyhlášky a to, či ste zapísaní ako prevádzkovateľ základnej služby podľa § 17 ods. 1 písm. g) zákona 69/2018.
2. Porovnajte svoje súčasné opatrenia podľa vyhlášky 179/2020 s položkami 99 až 111 a spíšte, čo je pre vašu kategóriu nové.
3. Určte osobu zodpovednú za prístup používateľov podľa položky 3.
4. Zostavte súpis podľa položky 99 z evidencie aktív: pri každom ISVS a ITVS zdroj identít, typy identít, technické účty, administrátorov, tretie strany a spôsob overovania.
5. Vytvorte register používateľov, identifikátorov a autorizácií podľa položky 100 a rozhodnite, ako ho budete udržiavať aktuálny.
6. Zaznamenajte rozhodnutie podľa položky 101: ktorý mechanizmus alebo nástroj riadi identity a prístupy pre každý systém.
7. Každému technickému a systémovému účtu priraďte vlastníka a účel.
8. V Kategórii II a III definujte roly a pravidlá zaradenia osôb do nich (položky 106 a 87).
9. V Kategórii II a III definujte hranicu pre nepoužívané účty pre každý typ účtu a postup pre výnimky.
10. V Kategórii II a III vykonajte kontrolu podľa položky 105 najmenej raz ročne a každé odobratie sledujte až po potvrdený výsledok.
11. Každý záznam o kontrole uchovajte aspoň do ukončenia nasledujúceho auditu alebo samohodnotenia.
12. Každú odchýlku podľa § 2 ods. 3 a 4 zdokumentujte a nechajte písomne schváliť.
13. Určte vlastníkov pre overovanie, logovanie, vzdialený prístup a ďalšie opatrenia mimo IGA.

Často kladené otázky

Vzťahuje sa vyhláška 184/2026 aj na malé obce?

Áno. Obec do 6 000 obyvateľov patrí podľa § 1 ods. 4 písm. a) do Kategórie I. V oblasti identít musí splniť položky 99, 100 a 101, kým položky 102 až 111 nie sú súčasťou jej minima.

Je ročná kontrola prístupov povinná pre Kategóriu I?

Podľa položky 105 nie, tá je označená len pre Kategóriu II a III. Organizácia v Kategórii I sa môže ku kontrole prístupov rozhodnúť na základe svojej analýzy rizík a položky 99 a 100 vyžadujú, aby súpis a zoznam používateľov boli definované, kontrolované a vedené.

Patria do rozsahu aj technické a servisné účty?

Áno. Položka 99 písm. b) menuje „technické účty“ a administrátorov a položky 103 a 104 menujú „systémové účty“. Každému z nich priraďte vlastníka, ktorý vie potvrdiť jeho účel.

Čo platí od 1. januára do 30. júna 2027?

Vyhláška 184/2026 je v tomto období už účinná, ale podľa § 5 ods. 1 sa minimálne bezpečnostné opatrenia vašej kategórie považujú za prijaté, ak ste prijali opatrenia svojej kategórie podľa prílohy č. 2 k vyhláške 179/2020 v znení účinnom do 31. decembra 2026. Od 1. júla 2027 toto pravidlo už neplatí, takže nové položky musia byť splnené.

Vyžaduje vyhláška produkt IGA alebo IDM?

Žiadny produkt sa nemenuje. Položka 101 vyžaduje mechanizmy a nástroje na riadenie identít a prístupov pre všetky ISVS a ITVS. Nástroj IGA je jednou z ciest, ako ich zabezpečiť; vyhláška 179/2020 vyžadovala centrálnu správu identít len v Kategórii III.

Sme aj prevádzkovateľom základnej služby. Ktorá vyhláška sa na nás vzťahuje?

Môžu sa vzťahovať obe. Zákon 95/2019 v § 18 ods. 2 vyžaduje, aby správca, ktorý je prevádzkovateľom základnej služby, prijímal a realizoval bezpečnostné opatrenia k ITVS podľa tohto zákona a aj v rozsahu a za podmienok podľa osobitného predpisu, na ktorý odkazuje jeho poznámka pod čiarou, teda § 20 ods. 4 zákona 69/2018; obsah bezpečnostných opatrení podľa zákona 69/2018 ustanovuje vyhláška NBÚ 227/2025. Kombináciu si overte na NBÚ a MIRRI a zvážte jednu ročnú kontrolu navrhnutú pre položku 80 aj 105 spoločne.

Kde je záväzné znenie?

Slov-Lex uvádza, že jeho text v HTML je informatívny a právne záväzné je PDF. PDF vyhlášky 184/2026 vrátane prílohy č. 2 so stĺpcami kategórií je uvedené v zdrojoch nižšie.

Širší kontext nájdete v našom prehľade riadenia prístupov podľa NIS2.

Zdroje a overovací záznam

Všetky zdroje sme overili 21. októbra 2026. Znenie položiek a stĺpce kategórií sme porovnali so záväzným PDF.

• Ministerstvo investícií, regionálneho rozvoja a informatizácie SR: Vyhláška č. 184/2026 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy, schválená 1. júla 2026, vyhlásená 9. júla 2026, účinná od 1. januára 2027. Záväzné PDF s prílohami; PDF prílohy č. 2. Použité: § 1, 2, 3, 5, 6, 7; príloha č. 2, položky 3, 10, 11, 13, 58, 73, 85, 86, 87, 97, 99 až 111, 137 až 141.
• Národná rada Slovenskej republiky: Zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe, konsolidované znenie účinné od 30. apríla 2026 do 31. decembra 2026. Ďalšie znenie účinné od 1. januára 2027 (tiež zo zákona 67/2026) mení § 3 a § 11, nie ustanovenia použité v tomto článku. Použité: § 1, 2, 5, 18, 31.
• Národná rada Slovenskej republiky: Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, konsolidované znenie účinné od 30. apríla 2026; k 21. októbru 2026 Slov-Lex neuvádzal žiadne neskoršie znenie. Použité: § 17, 20, 29, 32.
• Národná rada Slovenskej republiky: Zákon č. 67/2026 Z. z., schválený 16. apríla 2026, vyhlásený 30. apríla 2026. Použité: čl. III (nové znenie § 17 ods. 1 písm. g) zákona 69/2018) a čl. IV.
• Úrad podpredsedu vlády SR pre investície a informatizáciu: Vyhláška č. 179/2020 Z. z., schválená 22. júna 2020, účinná od 30. júna 2020 do 31. decembra 2026. Záväzné PDF. Použité: § 3; príloha č. 2, oblasti D a K.
• Národný bezpečnostný úrad: Vyhláška č. 227/2025 Z. z. o bezpečnostných opatreniach, účinná od 1. septembra 2025. PDF prílohy č. 1. Použité: odkaz na § 32 ods. 1 písm. b) v úvodnej vete; príloha č. 1, položky 76 až 87 a ich stĺpce na porovnanie.