Čo vyžaduje vyhláška NBÚ č. 227/2025 pri správe identít a prístupov

Slovenskí prevádzkovatelia základnej služby majú nové pravidlá pre bezpečnostné opatrenia od 1. septembra 2025. Vyhláška Národného bezpečnostného úradu (NBÚ) č. 227/2025 Z. z. nahradila vyhlášku 362/2018 a bezpečnostné opatrenia usporiadala do tabuľky so 151 číslovanými položkami. Dvanásť z nich, položky 76 až 87, tvorí oblasť správy identít a prístupov (vo vyhláške označenú ako správa identít a prístupov).

Najviac prevádzkových podrobností obsahuje položka 80. Prevádzkovateľ musí najmenej raz ročne skontrolovať prístupové účty a prístupové oprávnenia, overiť, či schválené oprávnenia zodpovedajú skutočnému stavu ich vykonávania, nájsť a zneplatniť nepoužívané účty a uchovať záznam o kontrole najmenej od ukončenia posledného auditu do ukončenia nasledujúceho auditu alebo samohodnotenia.

Stručná odpoveď: Vyhláška 227/2025 od vás očakáva, že každý používateľský aj systémový účet budete spravovať počas celého jeho životného cyklu pomocou technológie na riadenie prístupov, že účty a oprávnenia skontrolujete najmenej raz ročne, nepoužívané účty zneplatníte a o tejto kontrole uchováte záznam, ktorý môže audítor preskúmať. Ktoré z dvanástich položiek sa na vás vzťahujú, závisí od toho, či ste kritickým prevádzkovateľom a či ide o systém IT alebo o operačné technológie.

Tento sprievodca vysvetľuje každú z položiek 76 až 87, ako vykonať a zdokumentovať ročnú kontrolu, čo sa zmenilo oproti predchádzajúcej vyhláške a ako s tým súvisí vyhláška 184/2026 pre verejnú správu. Vychádza z úradných znení na Slov-Lexe overených 21. októbra 2026. Ide o praktické usmernenie, nie o právne poradenstvo. Rozsah vašich právnych povinností, analýza rizík a plán auditu zostávajú rozhodnutiami vašej organizácie.

Ako vyhláška zapadá do slovenskej právnej úpravy kybernetickej bezpečnosti

Povinnosť vychádza zo zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti. Jeho § 20 ods. 2 vymenúva oblasti, v ktorých sa musia prijať bezpečnostné opatrenia, a písmeno j) znie správu identít a prístupov. Podľa § 32 ods. 1 písm. b) je NBÚ splnomocnený ustanoviť obsah opatrení vyhláškou a touto vyhláškou je práve vyhláška 227/2025. Jej príloha č. 3 uvádza, že preberá smernicu NIS 2, teda smernicu (EÚ) 2022/2555.

Smernicu NIS 2 do zákona premietol zákon č. 366/2024 Z. z., účinný od 1. januára 2025. Nasledovali dve ďalšie novely, naposledy zákonom č. 67/2026 Z. z. K 21. októbru 2026 je najnovším konsolidovaným znením na Slov-Lexe znenie účinné od 30. apríla 2026 a ustanovenia citované nižšie pochádzajú z tohto znenia.

Pre plánovanie sú dôležité dve lehoty zo zákona. Podľa § 19 ods. 1 musí prevádzkovateľ prijať opatrenia do 12 mesiacov od zápisu do registra prevádzkovateľov základnej služby. Podľa § 29 ods. 1 musí ich účinnosť preveriť auditom kybernetickej bezpečnosti do dvoch rokov od zápisu do registra; prevádzkovateľ, ktorý nie je prevádzkovateľom kritickej základnej služby, môže túto prvú lehotu splniť samohodnotením prostredníctvom jednotného informačného systému kybernetickej bezpečnosti spôsobom podľa § 29 ods. 8.

Kto je prevádzkovateľom základnej služby a kto prevádzkovateľom kritickej základnej služby

Adresátom vyhlášky je prevádzkovateľ základnej služby (PZS), ktorého NBÚ zapisuje do registra podľa § 17 zákona. Do registra sa okrem iných zapisujú ústredné orgány štátnej správy, kritické subjekty, stredné a väčšie organizácie pôsobiace v sektoroch podľa príloh č. 1 a 2 zákona, mestá, ktorých narušenie by mohlo mať významný vplyv na verejný poriadok, bezpečnosť alebo zdravie, a od 30. apríla 2026 aj správcovia informačných technológií verejnej správy, na ktorých sa vzťahujú opatrenia Kategórie II alebo III.

Na niektorých prevádzkovateľov sa vzťahuje aj označenie prevádzkovateľ kritickej základnej služby (PKZS). Kritické základné služby vymenúva § 18 a podľa § 18 ods. 2 je prevádzkovateľ, ktorý vykonáva aspoň jednu z nich, prevádzkovateľom kritickej základnej služby. Prevádzkovatelia zapísaní podľa pravidiel platných pred rokom 2025 sa podľa prechodného § 34b ods. 1 považujú za prevádzkovateľov kritickej základnej služby, ak NBÚ do 31. decembra 2026 nerozhodne inak podľa § 34b ods. 2.

To isté prechodné ustanovenie obsahuje dve možnosti, ktoré platia do 31. decembra 2026. Podľa § 34b ods. 5 môže prevádzkovateľ považovaný za kritického podľa § 34b ods. 1 do tohto dňa prijímať a realizovať bezpečnostné opatrenia požadované predpismi účinnými od 1. januára 2025 aj prijímaním a realizovaním bezpečnostných opatrení podľa predpisov účinných do 31. decembra 2024; § 8 vyhlášky 227/2025 výslovne uvádza, že § 34b ods. 5 zákona ním nie je dotknutý. Podľa § 34b ods. 7 môže takýto prevádzkovateľ do rovnakého dňa vykonať audit podľa predpisov účinných do 31. decembra 2024. Naše odporúčanie: ak sa vaša organizácia o niektorú z týchto možností opiera, zapíšte toto rozhodnutie do bezpečnostnej dokumentácie, pretože obe možnosti sa končia rokom 2026.

Pri správe identít a prístupov toto rozlíšenie mení, ktoré položky sa uplatňujú. Príloha č. 1 vyhlášky označuje každú položku v štyroch stĺpcoch: pre PZS a PKZS, zvlášť pre informačné a komunikačné technológie (IKT) a pre operačné technológie (OT). Viaceré položky správy identít platia len v niektorých z týchto stĺpcov.

Zákon dopĺňa dve poznámky k rozsahu. Poskytovatelia služieb uvedených v § 2 ods. 2, napríklad cloud computingu, dátových centier a riadených služieb, uplatňujú bezpečnostné opatrenia podľa vykonávacieho nariadenia Komisie (EÚ) 2024/2690 na základe poslednej vety § 19 ods. 1. Prevádzkovatelia v pôsobnosti nariadenia (EÚ) 2022/2554 (DORA) preverujú účinnosť svojich opatrení podľa tohto nariadenia, a to certifikovaným audítorom (§ 29 ods. 9). Ak sa vás týka niektorá z týchto situácií, overte si so svojím právnym poradcom, ktorými opatreniami sa riadite.

O rozsahu rozhoduje analýza rizík a neprijaté opatrenie treba zdôvodniť

Príloha č. 1 sa uplatňuje cez analýzu rizík. Podľa § 3 ods. 2 vyhlášky sa rozsah všeobecných bezpečnostných opatrení uvedených v prílohe č. 1 „určuje na základe analýzy rizík“. Podľa § 4 ods. 1 písm. f) má bezpečnostná dokumentácia zaznamenať spôsob prijatia a vykonávania opatrení, vrátane odôvodnenia neprijatia bezpečnostného opatrenia, a podľa § 5 ods. 1 písm. e) má riadenie rizík uvádzať, ktoré opatrenia sú prijaté a ktoré nie sú, spolu s odôvodnením. Podľa nášho výkladu sa teda audítor môže pýtať buď na doklad, že relevantná položka je zavedená, alebo na zdokumentovaný dôvod, prečo zavedená nie je.

Položky 76 až 87 s priradenými opatreniami a podkladmi

Tabuľka zhŕňa každú položku zrozumiteľným jazykom, ukazuje, pre koho ju vyhláška označuje ako relevantnú, a navrhuje praktické opatrenie a podklady, ktoré treba uchovať. Stĺpce s opatrením a podkladmi sú naše odporúčania. Vyhláška predpisuje výsledky a výber nástrojov necháva na vás.

Stĺpec „Pre koho platí“ čítajte pozorne. Položka 81 nie je v IT označená pre prevádzkovateľov, ktorí nie sú kritickí, a položky 77, 86 a 87 sa obmedzujú na OT alebo na kritických prevádzkovateľov. Analýza rizík vás napriek tomu môže viesť k ich prijatiu, pretože § 7 ods. 1 vyhlášky vyžaduje, aby opatrenia ošetrili všetky riziká identifikované v analýze rizík.

Päť súvisiacich položiek mimo oblasti správy identít

Niektoré požiadavky, za ktoré zodpovedajú tímy pre identity a prístupy, sú v iných oblastiach prílohy č. 1. Všetkých päť položiek nižšie je označených pre každý stĺpec.

• Položka 2 (oblasť organizácie) vyžaduje určenú osobu zodpovednú za riadenie prístupu používateľov do siete a k informačným systémom, za prideľovanie a odoberanie prístupových práv, ich evidenciu a vedenie prevádzkových záznamov o každom prístupe.
• Položka 6 vyžaduje zásadu najnižších privilégií.
• Položka 7 vyžaduje zásadu oddelenia povinností (vo vyhláškezásada oddeľovania zodpovedností). Vyhláška ju vymedzuje úzko: žiaden používateľ nemá oprávnenie upravovať alebo používať aktíva prevádzkovateľa bez autorizácie alebo overenia identity. Nevymenúva nezlučiteľné kombinácie oprávnení. Odporúčame takéto kombinácie definovať tam, kde ich vaše procesy potrebujú; vyhláška túto voľbu necháva na vás.
• Položka 9 vyžaduje sprístupňovanie informácií podľa zásady aktuálnej potreby poznať.
• Položka 19 vyžaduje, aby zamestnanci a zamestnanci tretích strán pri zmene alebo skončení pracovného pomeru či zmluvy preukázateľne vrátili všetky zverené aktíva.

S oblasťou identít priamo súvisia aj položka 64 (pravidlá zaradenia osôb do pracovných rolí) a položka 73 (viacfaktorové overovanie pri vzdialenom prístupe).

Ako vykonať ročnú kontrolu, ktorú vyžaduje položka 80

Položka 80 je jedna veta. Podľa nášho výkladu spája štyri samostatné úlohy a audítor môže preveriť každú z nich zvlášť, preto odporúčame plánovať ich oddelene.

Najprv určte rozsah, až potom zbierajte údaje

Vyhláška používa pojmy prístupové účty a prístupové oprávnenia, pričom položka platí pre IT aj OT u každého prevádzkovateľa. Nevymenúva, ktoré systémy musia byť zahrnuté. Podľa nášho výkladu to určujú vaša analýza rizík a evidencia aktív, pretože § 6 vyhlášky vyžaduje centralizovane riadenú evidenciu aktív, v ktorej sú zaznamenaní vlastníci aktív.

Odporúčame zahrnúť pri každom systéme v rozsahu:

• osobné používateľské účty zamestnancov a externých spolupracovníkov;
• administrátorské a ďalšie privilegované účty;
• systémové a servisné účty, pretože položky 78 a 79 výslovne uvádzajú systémové účty;
• účty pracovníkov tretích strán a dodávateľov.

Rozsah zapíšte spolu s dátumom kontroly a dôvodom, prečo bol niektorý systém vynechaný. Kontrola, ktorá niektorý systém potichu preskočí, sa obhajuje ťažko.

Porovnajte schválený stav so skutočným

Vyhláška žiada kontrolu „na overenie súladu schválených oprávnení so skutočným stavom vykonávania oprávnení“. Na to treba dva súbory údajov: schválený stav a skutočný stav. Skutočný stav pochádza z cieľových systémov. Schválený stav pochádza zo žiadostí, schválení a definícií rolí. Ak schválenia žijú v e-mailoch alebo v tiketovacom systéme bez väzby na oprávnenie, tento krok si vyžaduje najviac prípravy.

Pri každom účte by mal posudzovateľ vidieť, kto ho má, aké oprávnenia nesie, odkiaľ každé oprávnenie pochádza a kedy sa naposledy použilo. Ak niektorý z týchto údajov chýba, záznam o kontrole to má uviesť a medzeru nevypĺňať. Oprávnenie, ktoré nikto nevie dohľadať k schváleniu, je samo osebe zistením.

Nájdite a zneplatnite nepoužívané účty

Položka 80 vyžaduje kontrolu „vrátane detekcie a následného zneplatnenia nepoužívaných prístupových účtov“. Vyhláška nedefinuje, kedy sa účet považuje za nepoužívaný. Hranicu si stanovte sami v politike riadenia prístupov, napríklad ako počet dní bez úspešného prihlásenia pre každý typ účtu, a uplatňujte ju jednotne.

Údaj o poslednom prihlásení neposkytuje každý systém a niektoré legitímne účty sa používajú zriedka, napríklad núdzové (break-glass) administrátorské účty a servisné účty pre ročné úlohy. Pristupujte k nim ako k výnimkám s vlastníkom a dôvodom, nie ako k účtom na automatické vymazanie. Pri servisných účtoch si pred vypnutím čohokoľvek overte závislosti, pretože od účtu môže závisieť pracovný proces.

Predchádzajúca vyhláška vyžadovala trvalé zablokovanie. Vyhláška 227/2025 používa pojem zneplatnenie. Neuvádza, či zneplatnenie znamená vypnutie alebo vymazanie účtu. Odporúčame účet najprv vypnúť, zaznamenať dátum a vymazať ho podľa vašich pravidiel uchovávania, aby história účtu zostala dostupná na vyšetrovanie.

Vyhotovte záznam a uchovajte ho dostatočne dlho

O kontrole sa podľa vyhlášky vyhotovujezáznam, ktorý sa uchováva „najmenej na obdobie od ukončenia posledného auditu do ukončenia nasledujúceho auditu alebo samohodnotenia“. Rovnaká formulácia uchovávania sa objavuje aj v ďalších položkách prílohy č. 1, napríklad v položke 28 o testovaní záloh.

Pravidlá auditu upravuje vyhláška č. 493/2022 Z. z.v znení vyhlášky č. 212/2026 Z. z., účinnej od 1. septembra 2026. Podľa novelizovaného znenia:

• audit je ukončený odovzdaním záverečnej správy prevádzkovateľovi a môže trvať najviac 12 po sebe nasledujúcich mesiacov (§ 2 ods. 5);
• audit sa musí vykonať a ukončiť do konca tretieho kalendárneho roka nasledujúceho po roku, v ktorom bol ukončený posledný audit (príloha č. 2 časť B bod 1 písm. a));
• prevádzkovateľ, ktorý nie je kritický a využíva samohodnotenie podľa § 29 ods. 8 zákona, ho vykonáva každé dva roky a lehota na jeho audit sa posúva na koniec piateho kalendárneho roka nasledujúceho po roku, v ktorom bol ukončený posledný audit (príloha č. 2 časť B bod 1 písm. b) a bod 3);
• audit sa vykonáva aj po každej významnej zmene, do šiestich mesiacov odvtedy, čo zmena významne ovplyvnila realizované opatrenia (príloha č. 2 časť B bod 2);
• správa o samohodnotení musí okrem iného obsahovať zoznam evidovaných dôkazov (§ 2 ods. 6);
• audit začatý a neukončený do 31. augusta 2026 sa dokončí podľa doterajších predpisov a audit začatý do 31. decembra 2026 sa ešte môže riadiť doterajšími predpismi (nový § 3a).

Príklad podľa nášho vlastného výkladu týchto pravidiel: ak sa váš posledný audit skončil v roku 2025 a žiadna významná zmena nevyvolá skorší audit, nasledujúci audit sa podľa bodu 1 písm. a) musí skončiť do 31. decembra 2028; prevádzkovateľ, ktorý nie je kritický a vykonáva samohodnotenie každé dva roky, má podľa bodu 1 písm. b) čas do 31. decembra 2030. Záznam z kontroly vyhotovený v roku 2026 potom musí vydržať aspoň dovtedy, kým sa tento nasledujúci audit neskončí. Keďže vyhláška hovorí o „audite alebo samohodnotení“, pri prevádzkovateľovi, ktorý nie je kritický, by sa toto obdobie dalo vyložiť aj tak, že sa končí skôr, už nasledujúcim samohodnotením. Odporúčame uchovávať každý ročný záznam aspoň do ukončenia nasledujúceho auditu, nielen do nasledujúceho samohodnotenia, pretože pri tomto výklade nevzniká medzera. Prechodné možnosti podľa § 34b zákona a § 3a vyhlášky 493/2022 môžu tieto dátumy u konkrétneho prevádzkovateľa posunúť, preto si ich overte podľa vlastnej histórie auditov.

Podľa nášho odporúčania obsahuje použiteľný záznam najmenej:

1. dátum kontroly a zodpovednú osobu (položka 2 prílohy č. 1);
2. rozsah: systémy, typy účtov a okruh kontrolovaných účtov, so zdokumentovanými vynechaniami;
3. posudzovateľov a to, čo každý z nich kontroloval;
4. každé rozhodnutie o ponechaní alebo odobratí s dátumom;
5. použitú hranicu pre nepoužívané účty a nájdené účty;
6. výsledok každého odobratia v cieľovom systéme vrátane odobratí, ktoré zlyhali alebo ešte čakajú na spracovanie;
7. otvorené body, ich vlastníkov a termíny.

Čo sa zmenilo oproti vyhláške 362/2018

Pravidlá riadenia prístupov v zrušenej vyhláške 362/2018 boli v § 8 ods. 4. Porovnanie nižšie cituje znenie účinné od 1. septembra 2023 a prílohu č. 1 vyhlášky 227/2025.

Ročná frekvencia aj porovnanie schválených oprávnení so skutočným stavom boli už v starej vyhláške. Organizácii, ktorá ročnú kontrolu už vykonáva, tabuľka ukazuje hlavné zmeny: rozšíriť ju na systémové účty, skontrolovať stĺpce pre OT a kritických prevádzkovateľov a určiť lehotu uchovávania záznamu. Prechodná možnosť podľa § 34b ods. 5 zákona, opísaná vyššie, dovoľuje prevádzkovateľovi považovanému za kritického podľa § 34b ods. 1 opierať sa o staré opatrenia len do 31. decembra 2026.

Verejná správa a vyhláška MIRRI č. 184/2026

Správcovia ITVS (informačné technológie verejnej správy) majú ešte druhý súbor pravidiel. Vyhláška č. 184/2026 Z. z. Ministerstva investícií, regionálneho rozvoja a informatizácie SR (MIRRI) bola schválená 1. júla 2026 a účinnosť nadobúda 1. januára 2027. Ruší vyhlášku 179/2020 (§ 6) a minimálne bezpečnostné opatrenia rozdeľuje do Kategórie I, II a III (§ 1 ods. 2). Kategórie sa sčítavajú: § 1 ods. 4 vymenúva orgány, na ktoré sa vzťahuje Kategória I, § 1 ods. 5 orgány, na ktoré sa vzťahujú Kategórie I a II, a § 1 ods. 6 orgány, na ktoré sa vzťahujú všetky tri.

Vysvetlivky k jej prílohe č. 2 vymedzujú dve skratky: ITVS (informačná technológia verejnej správy) a ISVS (informačný systém verejnej správy). Jej oblasť správy identít a prístupov tvoria položky 99 až 111 prílohy č. 2. Položky 99 až 101 sú označené pre všetky tri kategórie a položky 102 až 111 pre Kategórie II a III. Tri položky stoja za pozornosť:

• Položka 99 vyžaduje definovaný, zavedený a kontrolovaný systém riadenia identít a prístupov pre všetky ISVS a ITVS vrátane zoznamu systémov, typov identít, technických účtov a administrátorov a spôsobov autentifikácie.
• Položka 101 vyžaduje, aby správca určil, zaviedol a používal mechanizmy a nástroje na riadenie identít a prístupov pre všetky ISVS a ITVS.
• Položka 105 opakuje obsah položky 80 vyhlášky 227/2025: kontrolu najmenej raz ročne, detekciu a zneplatnenie nepoužívaných účtov a záznam uchovávaný najmenej od ukončenia posledného auditu do ukončenia nasledujúceho auditu alebo samohodnotenia. Obe položky sa líšia len v drobnostiach formulácie.

Podľa § 5 ods. 1 platí prechodné obdobie: do 30. júna 2027sa minimálne opatrenia kategórie, ktorá sa na orgán vzťahuje, považujú za prijaté, ak sú prijaté minimálne opatrenia tejto kategórie podľa prílohy č. 2 vyhlášky 179/2020 v znení účinnom do 31. decembra 2026.

Pre niektoré orgány verejnej správy sa oba režimy prekrývajú. Od 30. apríla 2026 zaraďuje § 17 ods. 1 písm. g) zákona 69/2018 medzi osoby zapisované ako prevádzkovatelia základnej služby aj správcov ITVS, na ktorých sa vzťahujú opatrenia Kategórie II alebo III; poznámka pod čiarou k tomuto ustanoveniu v súčasnosti odkazuje na kategórie podľa § 3 ods. 3 a 4 vyhlášky 179/2020. Na takúto organizáciu sa môžu vzťahovať obe vyhlášky. Ani jedna vyhláška neuvádza, ako má organizácia, na ktorú sa vzťahujú obe, spojiť oba súbory opatrení do jednej dokumentácie, preto si postup potvrďte s NBÚ a MIRRI. Keďže ročná kontrola má v oboch rovnaký obsah, odporúčame navrhnúť jednu kontrolu, ktorej rozsah a záznam vyhovejú obom predpisom.

Kde tieto opatrenia podporuje IGA

Riadenie a správa identít (IGA, identity governance and administration) je softvér, ktorý spravuje, kto má prístup ku ktorým aplikáciám, kto ho schválil a či je ešte potrebný. Najpriamejšie podporuje položky 78 a 80 a prispieva k položkám 76, 81 a 82. Vyhláška nepomenúva kategóriu produktu, takže nástroj IGA je jednou z ciest, ako tieto položky splniť, nie právnou požiadavkou sám osebe.

easyIGA je používateľská nadstavba IGA nad open source platformou midPoint. Pre opatrenia uvedené vyššie dnes robí toto:

• Žiadosti a schvaľovanie: zamestnanci žiadajú o prístup podľa jeho zrozumiteľného názvu a zodpovedná osoba ho schvaľuje s výsledkami nastavených pravidiel priamo pri žiadosti. easyIGA zaznamenáva žiadateľa a zachytené kroky schvaľovania, čím získate schválený stav, s ktorým sa podľa položky 80 porovnáva.
• Životný cyklus cez midPoint: midPoint prepája autoritatívne údaje o identitách s nastavenými pravidlami a cieľovými systémami, takže nástupy, zmeny zaradenia a odchody sa riešia cez nastavené integrácie (položka 78). easyIGA k tomu pridáva zrozumiteľné žiadosti, rozhodnutia a kontroly.
• Kontroly prístupov: posudzovateľ vidí osobu a kontrolovaný prístup spolu s posledným použitím a údajmi o tom, kto prístup udelil a kto ho schválil, ak ich pripojené systémy a zachytená história schvaľovania poskytujú. Ponechanie aj odobratie sú zaznamenané rozhodnutia. Pozrite si kontroly prístupov.
• Odobratia sledované až po výsledok: easyIGA rozlišuje overené, čakajúce, neúspešné a neznáme výsledky, takže odobratie rozhodnuté pri kontrole sa nepočíta ako hotové, kým ho cieľový systém nepotvrdí.
• Chýbajúca história zostáva viditeľná: priame pridelenie bez zodpovedajúcej žiadosti v easyIGA je označené ako pridelené mimo easyIGA, s účtom, kanálom a časom vytvorenia, ktoré zaznamenal midPoint. Chýbajúce kroky schvaľovania zostávajú označené ako chýbajúce a spätne sa nerekonštruujú.
• Účty bez vlastníka: porovnanie účtov v pripojených systémoch so záznamami o identitách ukazuje medzery vo vlastníctve, aj pri servisných účtoch. Podľa nášho výkladu to podporuje kontrolu podľa položky 80, v ktorej je účet bez zodpovedného vlastníka zistením, ktoré treba vyriešiť. Dostupný prehľad závisí od typu účtu, pripojeného zdroja a podporovaného postupu, čo s vami náš tím potvrdí. Pozrite si účty bez vlastníka a strojové identity.
• Nezlučiteľné prístupy: easyIGA zobrazuje na schvaľovacej karte výsledok pravidiel nezlučiteľnosti rolí nastavených v midPointe, takže schvaľovateľ vidí známy konflikt ešte pred rozhodnutím. Tvorba a simulácia týchto pravidiel priamo v easyIGA je plánovaná, dnes nie je dostupná. Pozrite si oddelenie povinností.
• Podklady: exporty podkladov z kontrol obsahujú dostupnú históriu žiadostí a schvaľovania. Pozrite si auditné podklady.

Nasadenie je štandardne na vašej vlastnej infraštruktúre a vo vašej jurisdikcii; na požiadanie je dostupné aj hosťovanie v EÚ, ktoré prevádzkuje náš tím (možnosti nasadenia).

Čo IGA pri vyhláške 227/2025 nerieši

Nástroj IGA pokrýva časť oblasti identít. Zvyšok naplánujte výslovne.

• Autentizácia. Položky 84 a 85 a viacfaktorové overovanie pri vzdialenom prístupe podľa položky 73 patria vášmu poskytovateľovi identity, vašim aplikáciám a vašim pravidlám pre používateľov. Schválenie v easyIGA nedokazuje, že sa použilo viacfaktorové overovanie.
• Zaznamenávanie každého použitia oprávnenia. Položka 76 žiada technológie, ktoré zaznamenávajú použitie prístupových oprávnení, a položka 2 žiada prevádzkové záznamy o každom prístupe. Tie poskytujú logy aplikácií, autentizácie a siete. easyIGA zobrazuje posledné použitie len vtedy, keď ho pripojený systém poskytne, a záznam o prístupe neukazuje každú činnosť vykonanú v aplikácii.
• Opatrenia špecifické pre OT. Položky 77, 86 a 87 potrebujú technológiu riadenia prístupov do OT, monitorovanie a detekciu bezdrôtových zariadení.
• Kontrola privilegovaných relácií. Položku 82 možno riadiť na úrovni toho, kto dostane privilegované roly. Kontrola alebo zaznamenávanie privilegovaných relácií potrebuje samostatné nástroje.
• Vaše hranice a rozhodnutia. Nástroj uplatňuje politiku, ktorú definujete vy. Hranica pre nepoužívané účty, rozsah kontroly a lehota uchovávania sú rozhodnutia pre vašu dokumentáciu.
• Samotný súlad. Produkt súlad nezakladá. O tom, či sú opatrenia účinné, rozhoduje certifikovaný audítor kybernetickej bezpečnosti alebo pri samohodnotení váš manažér kybernetickej bezpečnosti. Kvalita každej kontroly závisí aj od zdrojových údajov: nesprávny nadriadený alebo chýbajúci dátum ukončenia v zdrojových záznamoch sa lepšou obrazovkou kontroly neopraví.

Kontrolný zoznam pred ďalším auditom alebo samohodnotením

1. Potvrďte si svoje postavenie v registri: PZS, PKZS alebo aj správca ITVS podľa vyhlášky 184/2026.
2. Pri každej z položiek 76 až 87 zaznamenajte, či sa uplatňuje (IKT alebo OT, PZS alebo PKZS), či je prijatá, a ak nie je, zdokumentované odôvodnenie.
3. Určte osobu zodpovednú za prístup používateľov podľa položky 2.
4. Z evidencie aktív zostavte zoznam systémov v rozsahu aj s vlastníkmi.
5. Zahrňte systémové a servisné účty, každý s menovite určeným vlastníkom a účelom.
6. Definujte hranicu pre nepoužívané účty podľa typu účtu a postup pri výnimkách.
7. Zabezpečte dohľadateľnosť schváleného stavu: žiadosti, schválenia a definície rolí prepojené s oprávneniami.
8. Kontrolu vykonajte najmenej raz za 12 mesiacov a každé odobratie dotiahnite až po potvrdený výsledok v cieľovom systéme.
9. Vyhotovte záznam so siedmimi náležitosťami uvedenými vyššie.
10. Nastavte uchovávanie tak, aby každý záznam vydržal aspoň do ukončenia nasledujúceho auditu.
11. Porovnajte formu záznamu s tým, čo musí správa o samohodnotení uvádzať ako dôkazy.
12. Určte vlastníkov pre opatrenia autentizácie, logovania a OT, ktoré sú mimo IGA.

Časté otázky

Vzťahuje sa položka 80 aj na prevádzkovateľov, ktorí nie sú kritickí?

Áno. Príloha č. 1 označuje položku 80 ako relevantnú pre prevádzkovateľa základnej služby aj pre prevádzkovateľa kritickej základnej služby, pre IT aj pre OT.

Stačí kontrola raz ročne?

Vyhláška určuje minimum raz ročne. Častejší cyklus pri privilegovaných alebo vysokorizikových prístupoch je rozhodnutím vašej analýzy rizík a vyhláška ho nepredpisuje.

Musia sa kontrolovať aj servisné a systémové účty?

Položka 80 hovorí o prístupových účtoch bez vymenovania typov, zatiaľ čo položky 78 a 79 výslovne zahŕňajú systémové účty do správy životného cyklu a jednoznačnej identifikácie. Odporúčame ich zahrnúť, každý s vlastníkom, ktorý vie potvrdiť jeho účel.

Čo presne je nepoužívaný účet?

Vyhláška to nedefinuje. Stanovte merateľnú hranicu v politike riadenia prístupov, uplatňujte ju jednotne a zdokumentujte výnimky, napríklad núdzové účty.

Ako dlho treba záznam o kontrole uchovávať?

Najmenej od ukončenia posledného auditu do ukončenia nasledujúceho auditu alebo samohodnotenia. Podľa vyhlášky 493/2022 v znení vyhlášky 212/2026 sa nasledujúci audit musí ukončiť do konca tretieho kalendárneho roka nasledujúceho po roku, v ktorom bol ukončený posledný audit, alebo do konca piateho kalendárneho roka pri prevádzkovateľovi, ktorý nie je kritický a vykonáva samohodnotenie každé dva roky, a do šiestich mesiacov po významnej zmene.

Vyžaduje vyhláška produkt IGA?

Žiadny produkt sa neuvádza. Položka 76 vyžaduje technológie na riadenie prístupových oprávnení a položka 101 vyhlášky 184/2026 vyžaduje mechanizmy a nástroje na riadenie identít a prístupov. Nástroj IGA je jednou z možností, ako ich zabezpečiť.

Sme orgán verejnej správy. Ktorá vyhláška sa na nás vzťahuje?

Závisí to od vášho zápisu v registri a od kategórie. Vyhláška 184/2026 upravuje bezpečnostné opatrenia ITVS od 1. januára 2027 s prechodným obdobím do 30. júna 2027. Ak ste zároveň zapísaní ako prevádzkovateľ základnej služby, vzťahuje sa na vás aj vyhláška 227/2025. Kombináciu si potvrďte s NBÚ a MIRRI.

Širší pohľad na NIS 2 ponúka článok Čo NIS2 skutočne vyžaduje a čo nie a náš prehľad riadenia prístupov podľa NIS2. O odchodoch, ktoré sú časťou položky 78, si prečítajte článok Ako zamestnancovi odobrať všetky prístupy a doložiť výsledok.

Zdroje a overovací záznam

Všetky zdroje boli overené 21. októbra 2026. Slov-Lex uvádza, že jeho text v HTML je informatívny a právne záväzná je verzia v PDF. Znenie položiek a stĺpce relevancie v tomto článku boli porovnané s PDF. K 21. októbru 2026 história verzií na Slov-Lexe neuvádzala žiadnu novelu vyhlášky 227/2025 ani žiadne znenie zákona 69/2018 novšie ako znenie účinné od 30. apríla 2026.

• Národný bezpečnostný úrad: Vyhláška č. 227/2025 Z. z. o bezpečnostných opatreniach, schválená 26. augusta 2025, vyhlásená 28. augusta 2025, účinná od 1. septembra 2025. Úradné PDF; PDF prílohy č. 1. Použité: § 3, 4, 5, 6, 7, 8, 9, 10, 11; príloha č. 1, položky 2, 6, 7, 9, 19, 28, 64, 73 a 76 až 87; príloha č. 3.
• Národná rada Slovenskej republiky: Zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, konsolidované znenie účinné od 30. apríla 2026. Použité: § 2, 17, 18, 19, 20, 29, 32, 34b.
• Národná rada Slovenskej republiky: Zákon č. 366/2024 Z. z., vyhlásený 19. decembra 2024, účinný od 1. januára 2025.
• Národná rada Slovenskej republiky: Zákon č. 67/2026 Z. z., vyhlásený 30. apríla 2026. Použité: čl. III (zmena § 17 ods. 1 písm. g) zákona 69/2018) a čl. IV.
• Národný bezpečnostný úrad: Vyhláška č. 362/2018 Z. z., znenie účinné od 1. septembra 2023, zrušená k 1. septembru 2025. Použité: § 8 ods. 4; príloha č. 3.
• Národný bezpečnostný úrad: Vyhláška č. 493/2022 Z. z. o audite kybernetickej bezpečnosti, znenie účinné od 1. septembra 2026. Použité: § 2 ods. 5 a 6, § 3a, príloha č. 2 časť B.
• Národný bezpečnostný úrad: Vyhláška č. 212/2026 Z. z., schválená 21. augusta 2026, vyhlásená 27. augusta 2026, účinná od 1. septembra 2026. Použité: nový § 2 ods. 5 a 6, § 3a, príloha č. 2 časť B.
• Ministerstvo investícií, regionálneho rozvoja a informatizácie SR: Vyhláška č. 184/2026 Z. z., schválená 1. júla 2026, vyhlásená 9. júla 2026, účinná od 1. januára 2027. PDF prílohy č. 2. Použité: § 1, 5, 6, 7; príloha č. 2, položky 99 až 111.