NIS2 · Riadenie prístupu
Riadenie prístupov podľa NIS2.
Od pravidiel k auditným podkladom.
NIS2 zahŕňa riadenie prístupov do širšieho programu kybernetickej bezpečnosti. Určte, ktoré povinnosti sa na vás vzťahujú, prideľte zodpovednosť a preukážte, že opatrenia fungujú aj v praxi.
Prečítajte si podrobného sprievodcu NIS2 Ako vznikajú auditné záznamy
Čo vyžaduje smernica
Smernica (EÚ) 2022/2555, konkrétne jej článok 21, vyžaduje vhodné a primerané technické, prevádzkové a organizačné opatrenia. Článok 21 ods. 2 písm. i) zahŕňa bezpečnosť ľudských zdrojov, pravidlá riadenia prístupov a správu aktív. Písmeno j) sa podľa potreby vzťahuje na viacfaktorové alebo nepretržité overovanie totožnosti, zabezpečenú komunikáciu a núdzovú komunikáciu.
Tieto ustanovenia smernice nepredpisujú konkrétny produkt IGA, jednotnú frekvenciu kontrol prístupov ani rovnaký termín implementácie pre každú organizáciu. Podrobné povinnosti určujú vnútroštátne predpisy a príslušné odvetvové pravidlá. Na Slovensku je to zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení neskorších predpisov a vyhláška Národného bezpečnostného úradu č. 227/2025 Z. z. o bezpečnostných opatreniach, účinná od 1. septembra 2025. V oblasti správy identít a prístupov vyžaduje od prevádzkovateľov základnej služby okrem iného technológie na riadenie prístupových oprávnení a najmenej raz ročne kontrolu prístupových účtov a prístupových oprávnení vrátane zneplatnenia nepoužívaných účtov. O kontrole sa vyhotovuje záznam. Článok 20 smernice ukladá riadiacim orgánom aj povinnosti pri schvaľovaní opatrení, dohľade a odbornej príprave.
Najprv zistite, ktoré povinnosti sa vás týkajú
Začnite druhmi subjektov a činnosťami uvedenými v prílohách I a II a v článku 2. Všeobecné pravidlo veľkosti vychádza z definície stredných podnikov v EÚ a zahŕňa aj väčšie subjekty. Samotný počet zamestnancov ani jednoduchá hranica obratu 10 miliónov eur nestačia. Rozhodujúce môžu byť aj finančné kritériá a partnerské či prepojené podniky. Na niektoré druhy subjektov a subjekty určené členským štátom sa pravidlá vzťahujú bez ohľadu na veľkosť.
Zmluvné bezpečnostné požiadavky zákazníka sa môžu týkať dodávateľa, aj keď priamo nepodlieha NIS2. Priame zákonné povinnosti odlišujte od zmluvných. Lehota na transpozíciu smernice bola 17. októbra 2024. V každom dotknutom členskom štáte si overte príslušný zákon a zodpovedný orgán.
Ako zaviesť opatrenia do praxe
Ku každému rozhodnutiu pripojte podklady.
| Účel opatrenia | Čo robiť | Podklady, ktoré treba uchovať |
|---|---|---|
| Prístup podľa potreby | Určte prístupy, o ktoré možno požiadať, ich vlastníkov, pravidlá schvaľovania a dobu platnosti. | Schválené pravidlá, žiadosť, rozhodnutie a výsledok v cieľovom systéme. |
| Prístup zostáva primeraný | Kontrolujte prístupy v rozsahu určenom podľa rizík a dotiahnite rozhodnutia o odobratí až do vykonania. | Rozsah kontrolovaných prístupov, posudzovateľ, odôvodnenie, výnimky a potvrdené výsledky. |
| Odchádzajúci pracovníci stratia prístup | Prepojte záznam o odchode z rozhodujúceho zdroja s odobratím prístupov a overením výsledku. | Čas udalosti, výsledok vykonania, systémy s nedokončenou zmenou a zodpovedný vlastník. |
| Ochrana autentifikácie | V poskytovateľovi identity a aplikáciách nastavte primerané opatrenia na overovanie totožnosti. | Nastavenie, rozsah pokrytia, výnimky a výsledky testov. Schválenie v IGA nedokladá použitie viacfaktorového overovania. |
| Opatrenia sú účinné | Otestujte vzorky a preskúmajte chýbajúce alebo neaktuálne údaje. | Testovacia metóda, zlyhania, nápravné opatrenia a dohľad manažmentu. |
Kde môže easyIGA pomôcť
easyIGA je nadstavba nad midPointom pre bežných používateľov. Zahŕňa žiadosti, schvaľovanie, kontroly prístupov a súvisiace auditné podklady. Tieto postupy overujte na vlastných systémoch a údajoch: úspešné schválenie nedokladá úspešné vykonanie zmeny a chýbajúci údaj o poslednom použití musí zostať označený ako neznámy.
V pilotnom nasadení vyberte jednu aplikáciu a konkrétnu skupinu používateľov. Vyskúšajte schválenú aj zamietnutú žiadosť, odchod zamestnanca, neúspešnú operáciu konektora a rozhodnutie z kontroly vykonané v cieľovom systéme. Export porovnajte so záznamami cieľovej aplikácie. Pred rozšírením dohodnite rozsah konektorov a akceptačné kritériá.
IGA podporuje iba časť programu. Nenahrádza reakciu na incidenty, kontinuitu činností, riadenie rizík dodávateľského reťazca, školenia ani dohľad vedenia. Obrazovka či export z easyIGA samy osebe nezaručujú súlad s NIS2.
Ďalšie užitočné informácie
Podrobný sprievodca NIS2 vysvetľuje rozsah povinností, hlásenie incidentov a hranice toho, čo možno od produktu očakávať. Požiadavkám finančného sektora sa venuje riadenie prístupov podľa DORA. Pri praktickej implementácii porovnajte aj kontroly prístupov, Auditné podklady a možnosti nasadenia.
Primárne zdroje
- EUR-Lex: NIS2, články 2, 20, 21 a 41; Prílohy I a II
- Odporúčanie Európskej komisie 2003/361/ES: Veľkosť podniku a prepojené podniky
Zdroje overené 12. septembra 2026. Informácie sa týkajú rámca EÚ; povinnosti vašej organizácie posúďte podľa príslušných vnútroštátnych predpisov.