Novela zákona o kybernetickej bezpečnosti

Národný bezpečnostný úrad (ďalej len „NBÚ“) ako ústredný organ štátnej správy pre kybernetickú bezpečnosť predložil v roku 2020 do pripomienkového konania návrh zákona, ktorým sa mení a dopĺňa zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a ktorým sa menia a dopĺňajú niektoré zákony (ďalej len „novela zákona“). Novela zákona bola pripravená na základe schváleného Programového vyhlásenia vlády Slovenskej republiky na roky 2020 – 2024 a na základe úlohy vyplývajúcej z Plánu legislatívnych úloh vlády Slovenskej republiky. Novela zákona vyvolala v rámci pripomienkového konania silné vášne a nečakane sa stretla s intenzívnym odporom odbornej verejnosti, a to najmä z dôvodov zásadného rozšírenia právomocí NBÚ (najmä v súvislosti s blokovaním škodlivých aktivít – toto bolo z dôvodu neprimeranosti výkonu kompetencií NBÚ vypustené až poslaneckým návrhom). K novele zákona prišlo v rámci medzirezortného pripomienkového konania až 219 zásadných pripomienok, no napriek tomu bez vážnejšej zmeny bol zákon postúpený ďalej do legislatívneho procesu, kde zase narazil na odpor odbornej verejnosti, záujmových združení a neziskových organizácií.

Primárnym a pôvodným cieľom novely zákona bolo posilniť legislatívnu úpravu v oblasti kybernetickej bezpečnosti, pričom dôraz novela zákona kládla na posilnenie právomocí príslušných vnútroštátnych orgánov. Za najzásadnejšie okruhy alebo oblasti, ktoré priniesla novela zákona, považujeme najmä:

• precizovanie niektorých definícií,
• úpravu procesného postupu pri certifikácii kybernetickej bezpečnosti, ktorá vyplýva z nariadenia Európskeho parlamentu a Rady (EÚ) 2019/881 zo 17. apríla 2019 o agentúre ENISA (Agentúra Európskej únie pre kybernetickú bezpečnosť) a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií a o zrušení nariadenia (EÚ) č. 526/2013 (akt o kybernetickej bezpečnosti),
• upravenie postavenia audítora kybernetickej bezpečnosti,
• v prílohe č. 1 sa udiali nasledovné zmeny:
  • precizuje sa prevádzkovateľ služieb v podsektore Letecká doprava,
  • upravuje sa sektor Digitálna infraštruktúra,
  • zo sektora Verejná správa sa vypúšťa podsektor spravodajské služby v rozsahu Slovenská informačná služba a Vojenské spravodajstvo.

Novela zákona zároveň vo svojich samostatných článkoch novelizuje viaceré právne predpisy, ako napríklad:

• v článku II. zákon Národnej rady Slovenskej republiky č. 145/1995 Z. z. o správnych poplatkoch v znení neskorších predpisov,
• v článku III. novelizuje zákon č. 351/2011 Z. z. o elektronických komunikáciách v znení neskorších predpisov a
• v článku IV. novelizuje zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov.

Čo sa týka vplyvov prijatej novely zákona (na rozpočet verejnej správy, na podnikateľské prostredie, na informatizáciu spoločnosti, sociálne vplyvy, vplyvy na životné prostredie, na služby verejnej správy pre občana, na manželstvo, rodičovstvo a rodinu), ako sa už stalo takmer tradíciou pri legislatívnych procesoch pri prijatí zákona o kybernetickej bezpečnosti, ako aj pri jeho novelách, napriek evidentným nárokom a pri zavedení mnohých nových povinností, ktoré zjavne pre dotknuté subjekty znamenajú značné finančné výdavky za ich zavedenie a zaistenie, doložka vplyvov konštatovala, že návrh zákona nemá žiaden vplyv na rozpočet verejnej správy a jednotlivým povinným subjektom nepriznala do ich rozpočtových kapitol žiadne dodatočné finančné prostriedky. Uvedený jav spôsobuje dlhodobo problémy najmä ústredným orgánom podľa § 4 zákona, ako aj prevádzkovateľom základných služieb pri implementácii bezpečnostných opatrení, pri ich účinnom zavádzaní a momentálne je to markantné najmä pri hľadaní dostatočných finančných prostriedkov na vykonanie auditov kybernetickej bezpečnosti. V rámci predbežného pripomienkového konania dokonca i stála pracovná komisia na posudzovanie vybraných vplyvov vyjadrila nesúhlasné stanovisko s doložkou vplyvov, no i napriek tomu možno konštatovať, že takto nastavený proces posudzovania vplyvov je len formalistický a návrh zákona bol napriek tomu v podstate v takmer nezmenenej podobe postúpený do ďalšieho legislatívneho procesu.

Poďme sa teda postupne pozrieť na to, čo nám schválená novela zákona priniesla a aké nové povinnosti nás čakajú.

Podstatná zmena sa dotkla tzv. negatívneho vymedzenia pôsobnosti zákona. Negatívne vymedzenie pôsobnosti zákona, t. j. určenie toho, na čo sa zákon nevzťahuje, v § 2 ods. 2 písm. d) zákona precizuje výnimky pre sektor bankovníctva, financií, finančných trhov, platobných systémov a systémov zúčtovania cenných papierov. Je tomu tak najmä z dôvodu, že tieto sektory sú harmonizované a striktne regulované právom EÚ. Súčasne nastavené pravidlá v oblasti kybernetickej bezpečnosti pre tieto sektory tak prevyšujú rámec stanovený smernicou Európskeho parlamentu a Rady (EÚ) 2016/1148 zo 6. júla 2016 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii (ďalej len „smernica NIS“), a bolo by teda neúčelné a zbytočné, aby sa právna úprava zákona, ktorá je transpozíciou smernice NIS, na tieto vzťahovala, keďže majú precíznejšiu a prísnejšiu úpravu.

Zmeny v § 3 sa týkajú vymedzenia pojmov. Zmeny, ktoré priniesla novela zákona, vychádzajú a vyplývajú z požiadaviek aplikačnej praxe a dôvodom je najmä ich jasnejšie a zrozumiteľnejšie vymedzenie. Kým pri mnohých išlo viac-menej len o kozmetické úpravy pojmov, v § 3 písm. l) zákona došlo k zásadnej zmene chápania pojmu základná služba, a to vypustením základnej služby, ktorá je informačným systémom verejnej správy. Táto už nie je viac automaticky a zo zákona základnou službou. Je tu však potrebné podotknúť, že sa na ňu aj naďalej vzťahujú identifikačné kritéria podľa vyhlášky Národného bezpečnostného úradu č. 164/2018 Z. z., ktorou sa určujú identifikačné kritériá prevádzkovanej služby (kritériá základnej služby) a až po ich dosiahnutí je považovaná za základnú službu. Nie však ex lege (zo zákona).

Novela zákona priniesla aj zmenu týkajúcu sa kompetenčného rozdelenia a došlo k zúženiu subjektov, ktoré zákon pomenúva ako „ústredný orgán“. Z § 5 boli vypustené, a teda už viac nezastávajú pozíciu ústredného orgánu Slovenská informačná služba a Vojenské spravodajstvo. Toto vyplýva z ustanovenia článku 1 ods. 6 smernice NIS a súčasne z aplikačnej praxe. Tak ako Slovenská informačná služba, ani Vojenské spravodajstvo nedisponuje v rámci svojej regulácie inými subjektmi a spravujú len vlastné systémy, ich pozícia ústredného orgánu sa tak v aplikačnej praxi javila ako nadbytočná. Zároveň došlo k úprave v prílohe č. 1, kde bol zo sektora Verejná správa vypustený podsektor spravodajské služby v rozsahu Slovenská informačná služba a Vojenské spravodajstvo. V tejto súvislosti boli uvedené subjekty vypustené aj z okruhu ústredných orgánov, keďže týmito sú výlučné tie, ktoré majú v gescii aspoň jeden sektor alebo podsektor uvedený v prílohe č. 1, čo uvedené dva subjekty vypustením ich podsektora viac nenapĺňajú.

Zmenami v § 5 ods. 1 došlo k úprave a k výraznému rozšíreniu právomocí NBÚ ako ústredného orgánu štátnej správy pre kybernetickú bezpečnosť