Dôvodová správa k zákonu č. 287/2021 Z. z., ktorým sa mení a dopĺňa zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a ktorým sa menia a dopĺňajú niektoré zákony

1. Základné údaje

Názov materiálu

Návrh zákona, ktorým sa mení a dopĺňa zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov a ktorým sa menia a dopĺňajú niektoré zákony.

Predkladateľ (a spolupredkladateľ)

Národný bezpečnostný úrad

Charakter predkladaného materiálu

* Materiál nelegislatívnej povahy

x Materiál legislatívnej povahy

* Transpozícia práva EÚ

Termín začiatku a ukončenia PPK

Začiatok: september 2020

Koniec: september 2020

Predpokladaný termín predloženia na MPK*

september 2020

Predpokladaný termín predloženia na Rokovanie vlády
SR*

október 2020

2. Definícia problému

Návrh zákona vychádza z potreby úpravy ustanovení spôsobujúcich aplikačné problémy v praxi, ktoré vyvstali pri aplikácii zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti. Ide najmä o úpravu definície niektorých pojmov (sieť a informačný systém, kybernetická bezpečnosť), postavenia audítora kybernetickej bezpečnosti, blokovania, úpravu v niektorých sektoroch podľa prílohy č. 1, ako aj v dôsledku úpravy procesného postupu pri certifikácii kybernetickej bezpečnosti vyplývajúcej z nariadenia Európskeho parlamentu a Rady (EÚ) 2019/881 zo 17. apríla 2019 o agentúre ENISA (Agentúra Európskej únie pre kybernetickú bezpečnosť) a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií a o zrušení nariadenia (EÚ) č. 526/2013 (akt o kybernetickej bezpečnosti) (ďalej len „nariadenie (EÚ) č. 2019/881“).

3. Ciele a výsledný stav

Cieľom predkladaného návrhu zákona je posilniť legislatívnu úpravu v oblasti kybernetickej bezpečnosti, ktorá sa zameriava na posilnenie právomocí príslušných vnútroštátnych orgánov. Predmetom návrhu zákona je precizovanie niektorých definícií, úprava procesného postupu pri certifikácii kybernetickej bezpečnosti, ktorá vyplýva z nariadenia (EÚ) č. 2019/881.

V návrhu zákona sa ďalej zavádza inštitút blokovania, jeho hmotnoprávna a procesnoprávna úprava a upravuje sa postavenie audítora kybernetickej bezpečnosti. V prílohe č. 1 sa precizuje prevádzkovateľ služieb v podsektore Letecká doprava, upravuje sa sektor Digitálna infraštruktúra a zo sektora Verejná správa sa vypúšťa podsektor spravodajské služby v rozsahu Slovenská informačná služba a Vojenské spravodajstvo.

4. Dotknuté subjekty

Národný bezpečnostný úrad, ministerstvá a ostatné ústredné orgány štátnej správy a iné štátne orgány v rozsahu pôsobnosti tohto zákona, fyzické osoby, právnické osoby.

5. Alternatívne riešenia

Základným rozdielom oproti aktuálne platnej a účinnej zákonnej úprave spočíva v zmene poradia krokov pri využívaní akreditovanej jednotky CSIRT. Kým doposiaľ si ústredný orgán zriaďoval prioritne vlastnú jednotku CSIRT, čo je finančne podstatne nákladná činnosť, podľa návrhu zákona bude primárne využívať na základe zmluvy jednotky CSIRT už zriadené, a to Národnú jednotku CSIRT v gescii Národného centra kybernetickej bezpečnosti (NBÚ) alebo Vládnu jednotku CSIRT (MIRRI) a až následne ak po porovnaní a analizovaní oboch alternatív pristúpi k rozhodnutia resp. možnosti-nie povinnosti akreditovať vlastnú jednotku CSIRT.

90% subjektov využíva Národnú jednotku CSIRT, zvyšné Vládnu jednotku CSIRT.

6. Vykonávacie predpisy

Predpokladá sa prijatie/zmena vykonávacích predpisov? S Áno  Nie

Vyhláška Národného bezpečnostného úradu č. ..../2021 o blokovaní;

Vyhláška Národného bezpečnostného úradu č. ..../2021 o certifikácii kybernetickej bezpečnosti,

- automatizovaného hlásenia.

7. Transpozícia práva EÚ

Nie.

Návrh zákona o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov do národného právneho poriadku implementuje nariadenie (EÚ) č. 2019/881 spôsobom, ktorým vytvára súlad medzi nariadením, ktoré je priamo záväzné, a vnútroštátnou právnou úpravou. Zákon reflektuje aj na povinnosti určené v nariadení (EÚ) č. 2019/881 (napr. určenie jedeného alebo viacerých vnútroštátnych orgánov pre certifikáciu kybernetickej bezpečnosti). Zákon priamo nie je reakciou na transpozíciu smernice Európskeho parlamentu a rady (EÚ) 2016/1148 zo 6. júla 2016 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii, avšak v minimálnej miere sa jej dotýka.

8. Preskúmanie účelnosti**

Preskúmanie účelnosti navrhovaného materiálu bude vykonávané priebežne po nadobudnutí účinnosti a jeho aplikácii.

9. Vplyvy navrhovaného materiálu

Vplyvy na rozpočet verejnej správy
z toho rozpočtovo zabezpečené vplyvy

x Pozitívne

* Žiadne

* Negatívne

x Áno

* Nie

* Čiastočne

Vplyvy na podnikateľské prostredie
z toho vplyvy na MSP

x Pozitívne

* Žiadne

x Negatívne

* Pozitívne

x Žiadne

* Negatívne

Sociálne vplyvy

* Pozitívne

x Žiadne

* Negatívne

Vplyvy na životné prostredie

* Pozitívne

x Žiadne

* Negatívne

Vplyvy na informatizáciu

* Pozitívne

x Žiadne

* Negatívne

Vplyvy na služby pre občana z toho
vplyvy služieb verejnej správy na občana
vplyvy na procesy služieb vo verejnej
správe

* Pozitívne

x Žiadne

* Negatívne

* Pozitívne

x Žiadne

* Negatívne

10. Poznámky

Realizácia úloh vyplývajúcich z návrhu novely zákona o kybernetickej bezpečnosti bude zabezpečená v rámci schválených limitov výdavkov dotknutých subjektov rozpočtu verejnej správy a zároveň si nevyžiada dodatočné zdroje zo štátneho rozpočtu na osobné výdavky a počet zamestnancov v dotknutých kapitolách ŠR a teda aj v kapitole NBÚ.

11. Kontakt na spracovateľa

pplk. JUDr. Janka Fabriciová

sekcia regulácie a metodiky

sekcia regulácie a dohľadu

Národný bezpečnostný úrad

02/ 6869 2428

E-mail: janka.fabriciova@nbu.gov.sk

12. Zdroje

Vlastná činnosť Národného bezpečnostného úradu

13. Stanovisko Komisie pre posudzovanie vybraných vplyvov z PPK

Pripomienky a návrhy zmien: Komisia uplatňuje k materiálu zásadné pripomienky a odporúčania:

K doložke vybraných vplyvov a k analýze vplyvov na podnikateľské prostredie

V stanovisku Komisie sa uvádza, že predkladateľ materiálu má najmä prehodnotiť negatívne vplyvy na podnikateľské prostredie, z toho vplyvy na MSP a popísať, či kvantifikovať najmä administratívne náklady. Nič z uvedeného v Doložke vybraných vplyvov, ani Analýze vplyvov na podnikateľské prostredie predkladateľ materiálu nezohľadnil. Z uvedeného dôvodu žiadame v zmysle stanoviska Komisie dopracovať Doložku vybraných vplyvov a Analýzu vplyvov na podnikateľské prostredie.

Komisia sa oboznámila s predkladateľom priloženými podkladmi a dospela k záveru, že posudzovaný materiál zakladá pozitívno-negatívny vplyv na podnikateľské prostredie, vrátane MSP, ktorý však predkladateľ nevyznačil v Doložke vybraných vplyvov. Komisia žiada predkladateľa o vyznačenie nielen pozitívneho, ale aj negatívneho vplyvu (napr. zvýšenie správnych poplatkov pri podávaní žiadosti o akreditáciu jednotky CSIRT, resp. žiadostí o certifikáciu) na podnikateľské prostredie, vrátane MSP, v Doložke vybraných vplyvov, a tiež o podrobný popis týchto vplyvov v Analýze vplyvov na podnikateľské prostredie.

Vyjadrenie predkladateľa: Pozitívno-negatívny vplyv bol doplnení. Návrh však nereguluje MSP a v žiadnom smere teda na ne nemôže mať vplyv. Vo vzťahu k certifikácii ide o implementáciu platného nariadenia EU.

Komisia odporúča predkladateľovi dopracovať časť 5. Alternatívne riešenia doložky vybraných vplyvov v súlade s Jednotnou metodikou na posudzovanie vybraných vplyvov. Predkladateľ má na základe súčasného stavu a stanovených cieľov navrhnúť alternatívy právneho a vecného riešenia uvedeného problému. V rámci alternatívnych riešení je potrebné uviesť minimálne nulový variant, t. j. analýzu súčasného stavu, v rámci ktorej sa uvedú dôsledky vyplývajúce z dôvodu absencie právnej úpravy alebo nelegislatívneho materiálu resp. z dôvodu ich neprijatia. V prípade, kedy nie je možné realizovať nulový variant, slúži tento nulový variant ako báza, ku ktorej sa môžu porovnávať ostatné alternatívy.

Vyjadrenie predkladateľa: Doplnené „Základným rozdielom oproti aktuálne platnej a účinnej zákonnej úprave spočíva v zmene poradia krokov pri využívaní akreditovanej jednotky CSIRT. Kým doposiaľ si ústredný orgán zriaďoval prioritne vlastnú jednotku CSIRT, čo je finančne podstatne nákladná činnosť, podľa návrhu zákona bude primárne využívať na základe zmluvy jednotky CSIRT už zriadené, a to Národnú jednotku CSIRT v gescii Národného centra kybernetickej bezpečnosti (NBÚ) alebo Vládnu jednotku CSIRT (MIRRI) a až následne ak po porovnaní a analizovaní oboch alternatív pristúpi k rozhodnutia resp. možnosti-nie povinnosti akreditovať vlastnú jednotku CSIRT. 90% subjektov využíva Národnú jednotku CSIRT, zvyšné Vládnu jednotku CSIRT.„

III. Záver: Stála pracovná komisia na posudzovanie vybraných vplyvov vyjadruje

nesúhlasné stanovisko

s materiálom predloženým na predbežné pripomienkové konanie.

Vplyvy na rozpočet verejnej správy

Vplyv na rozpočet verejnej správy (v eurách)

2020

2021

2022

2023

Príjmy verejnej správy celkom

n/a

n/a

n/a

n/a

v tom:

0

0

0

0

z toho:

- vplyv na ŠR

n/a

n/a

n/a

n/a

Rozpočtové prostriedky

n/a

n/a

n/a

n/a

EÚ zdroje

0

0

0

0

- vplyv na obce

0

0

0

0

- vplyv na vyššie územné celky

0

0

0

0

- vplyv na ostatné subjekty verejnej správy

0

0

0

0

Výdavky verejnej správy celkom

0

0

0

0

v tom:

0

0

0

0

z toho:

- vplyv na ŠR

0

0

0

0

Rozpočtové prostriedky

0

0

0

0

EÚ zdroje

0

0

0

0

spolufinancovanie

0

0

0

0

- vplyv na obce

0

0

0

0

- vplyv na vyššie územné celky

0

0

0

0

- vplyv na ostatné subjekty verejnej správy

0

0

0

0

Vplyv na počet zamestnancov

0

0

0

0

- vplyv na ŠR

0

0

0

0

- vplyv na obce

0

0

0

0

- vplyv na vyššie územné celky

0

0

0

0

- vplyv na ostatné subjekty verejnej správy

0

0

0

0

Vplyv na mzdové výdavky

0

0

0

0

- vplyv na ŠR

0

0

0

0

- vplyv na obce

0

0

0

0

- vplyv na vyššie územné celky

0

0

0

0

- vplyv na ostatné subjekty verejnej správy

0

0

0

0

Financovanie zabezpečené v rozpočte

n/a

n/a

n/a

n/a

v tom:

0

0

0

0

Iné ako rozpočtové zdroje

0

0

0

0

Rozpočtovo nekrytý vplyv / úspora

n/a

n/a

n/a

n/a