Vyhláška 212/2026: čo sa mení v audite kybernetickej bezpečnosti od 1. septembra

Od 1. septembra 2026 platia nové pravidlá pre audit kybernetickej bezpečnosti. Zmien je päť a každá z nich mení niečo, s čím ste doteraz počítali: intervaly sa predlžujú, pribúda samohodnotenie ako alternatíva k plnému auditu, ten istý audítor u vás nemôže pôsobiť donekonečna — a predmetom auditu sa stávajú aj operačné technológie.

Ak ste prevádzkovateľ základnej služby a plánovali ste rozpočet na audit podľa doterajších pravidiel, tento článok si prečítajte celý. Niektoré zmeny vám prácu uľahčia, jedna ju výrazne rozšíri.

Rýchly prehľad

1. Intervaly sa predlžujú — ale nie rovnako pre všetkých

Doterajší dvojročný cyklus sa rozdeľuje — ale nie podľa kategórie, ako sa najčastejšie píše.

Ďalší audit sa musí ukončiť do konca tretieho kalendárneho roka nasledujúceho po roku, v ktorom bol ukončený ten predchádzajúci. To je základné pravidlo a platí pre každého prevádzkovateľa základnej služby, aj pre toho, ktorý nie je kritický. Lehota sa predlžuje na do konca piateho kalendárneho roka len tomu, kto nie je prevádzkovateľom kritickej základnej služby a zároveň vykonáva samohodnotenie raz za 2 roky. Päť rokov teda nie je nárok podľa kategórie — je to dôsledok samohodnotenia a trvá len dovtedy, kým sa samohodnotenie naozaj robí.

Znie to ako úľava a väčšinou ňou aj je. Má to však druhú stranu, ktorú si treba uvedomiť: čím dlhší je interval, tým väčší je odstup medzi kontrolami a tým viac sa toho medzi nimi zmení. Pri päťročnom cykle sa reálne mení celá infraštruktúra, personál aj dodávatelia. Audit po piatich rokoch preto nebýva potvrdením stavu, ale odhalením nazbieraného dlhu.

Zároveň pozor na to, od čoho lehota beží — sú to dve rôzne kotvy. Prvá previerka sa počíta od zápisu do registra NBÚ: audit do 24 mesiacov, a kto ju vykoná samohodnotením, musí sa auditu podrobiť do piatich rokov odo dňa zaradenia do registra. Každý ďalší audit sa počíta od konca kalendárneho roka, v ktorom bol ukončený ten predchádzajúci — nie kĺzavo od jeho dátumu. Ak neviete presne, kedy vám lehota uplynie, je to prvá vec, ktorú si treba overiť.

2. Samohodnotenie: nová možnosť, o ktorej sa zatiaľ nepíše

Prevádzkovatelia základnej služby, ktorí nie sú prevádzkovateľmi kritickej základnej služby, môžu prvú previerku vykonať samohodnotením namiesto auditu a potom ho opakovať raz za 2 roky. Vykonáva ho manažér kybernetickej bezpečnosti.

Nie je to alternatíva k auditu, ale predĺženie jeho intervalu. Audit nezaniká — kto ide touto cestou, podrobí sa mu do piatich rokov odo dňa zaradenia do registra a ďalej do konca piateho kalendárneho roka po roku posledného auditu. A samotné samohodnotenie nezaviedla vyhláška: je v zákone od 1. januára 2025 (§ 29 ods. 8). Vyhláška 212/2026 k nemu od 1. septembra 2026 doplnila postup, obsah správy a periodicitu.

Kto ho môže vykonať

Samohodnotenie vykonáva manažér kybernetickej bezpečnosti — teda rola, ktorú zákon aj tak vyžaduje. Rolu môžete obsadiť interne, alebo ju prevziať ako externú službu. Pri menších organizáciách je druhá možnosť bežnejšia, pretože ide o odbornú spôsobilosť, ktorú sa neoplatí budovať pre jedného človeka.

Kedy sa oplatí a kedy nie

Tu sa väčšina článkov končí konštatovaním, že samohodnotenie je lacnejšie. To je pravda a zároveň to nie je celý obraz.

Samohodnotenie dáva zmysel, ak:

• máte zavedený a fungujúci systém riadenia informačnej bezpečnosti a potrebujete ho pravidelne prevažovať, nie objavovať;
• vaša infraštruktúra je prehľadná a stabilná;
• rolu manažéra kybernetickej bezpečnosti máte reálne obsadenú, nie len formálne pridelenú.

Plný audit sa oplatí aj tam, kde ho zákon nevyžaduje, ak:

• uchádzate sa o verejné zákazky. Obstarávatelia sa čoraz častejšie pýtajú na doklad o overení tretou stranou a samohodnotenie im nemusí stačiť;
• dostávate bezpečnostné dotazníky od odberateľov. Nezávislá správa uzavrie diskusiu, ktorá by inak trvala týždne;
• plánujete certifikáciu podľa ISO/IEC 27001. Rozsah sa výrazne prekrýva a spojením oboch ušetríte viac, než koľko stojí rozdiel medzi auditom a samohodnotením;
• za posledné dva roky ste prešli väčšou zmenou — akvizíciou, migráciou do cloudu, výmenou kľúčového dodávateľa. Vlastné oko takéto zmeny podceňuje.

Kedy si organizácie volia samohodnotenie

V praxi rozhodujú tri veci: náklady, čas a fáza, v ktorej organizácia je. Kto systém kybernetickej bezpečnosti buduje, volí samohodnotenie takmer vždy — je lacnejšie, rýchlejšie a nevyžaduje koordináciu s externým audítorom. Predpis to pripúšťa a nie je to únik.

Nie sú to ani dve alternatívy, medzi ktorými sa raz a navždy vyberá. Sú to dva body jedného cyklu: samohodnotenie je to, čo beží medzitým — a čím poctivejšie beží, tým menej prekvapení prinesie previerka, ktorá príde po ňom.

Hodnotu má vtedy, keď sa robí proti tým istým kritériám ako audit a s rovnakou dokumentačnou disciplínou. Rozdiel medzi samohodnotením a auditom je v nezávislosti a v hĺbke, nie v prísnosti kritérií.

Líši sa aj výstup. Obe majú predpísaný minimálny obsah; rozdiel je v tom, čo ide nad rámec minima. Správa z auditu býva rozsiahlejšia — detailnejšie zistenia, posúdenie účinnosti opatrení, analýza príčin, odporúčania a nezávislý pohľad na skutočný stav. Ani jedno nenahrádza druhé.

Kde sme u klienta manažérom kybernetickej bezpečnosti, samohodnotenie vykonávame my — a audit u toho istého klienta nie. Nezávislosť sa pri samohodnotení nevyžaduje, pri audite áno, a nikto nemá auditovať vlastnú prácu.

Na čo si dať pozor

Samohodnotenie nie je „audit svojpomocne“. Je to formálny postup s výstupom, ktorý musí obstáť pred NBÚ. Zároveň platí, že v roku, keď prebieha audit, sa samohodnotenie nevykonáva — cykly sa striedajú, nie sčítavajú.

3. Rotácia audítora

Ten istý certifikovaný audítor u vás môže vykonať audit najviac dvakrát po sebe. Potom musí nastúpiť iný.

Zmyslom je nezávislosť: audítor, ktorý u klienta pôsobí desať rokov, prestáva vidieť to, čo si zvykol prehliadať. Z pohľadu auditovanej organizácie to však znamená dve praktické veci. Po prvé, novému audítorovi treba prostredie vysvetliť odznova — počítajte s vyššou časovou náročnosťou v prvom cykle po výmene. Po druhé, ak spolupracujete s jedným dodávateľom dlhodobo, overte si, či disponuje viacerými certifikovanými audítormi. Inak vás rotácia donúti meniť dodávateľa, nie len osobu.

4. Audit sa rozširuje na operačné technológie

Toto je z obchodného aj technického hľadiska najväčšia zmena — a zároveň tá, na ktorú je trh najmenej pripravený.

Predmetom auditu už nie sú len siete a informačné systémy, ale aj operačné technológie: riadiace systémy výroby, PLC, SCADA, systémy technológie budov, prevádzkové siete. Pre výrobné podniky, energetiku, vodárne a dopravu to znamená, že audit siaha do prostredia, ktoré doteraz zostávalo mimo.

Prečo sa OT nedá auditovať ako IT

Kto by chcel na operačné technológie použiť bežné IT postupy, narazí hneď v prvý deň:

• Aktívne skenovanie môže zhodiť riadiaci systém. Prvky, ktoré v IT považujeme za neškodné, dokážu v OT spôsobiť výpadok linky. Pracuje sa preto s pasívnym zberom prevádzky.
• Mnohé zariadenia sa nedajú aktualizovať. PLC, ktoré beží pätnásť rokov, nemá výrobcom podporovanú aktualizáciu a vymeniť ho znamená odstávku. Namiesto záplat sa dokumentujú kompenzačné opatrenia a segmentácia.
• Odstávka je drahšia než riziko. V IT sa systém reštartuje, v OT sa zastaví výroba. Každý krok auditu musí byť dohodnutý s prevádzkou, nie s IT oddelením.
• Iný jazyk, iní ľudia. Rozhoduje technológ alebo údržbár, nie správca siete. Audit, ktorý s prevádzkou nekomunikuje, sa nedostane za bránu.

Referenčným rámcom v tejto oblasti je IEC 62443 a členenie prostredia podľa Purdue modelu na zóny a kanály.

Čo sa v priemyselnom prostredí nachádza typicky

Prvé, čo z inventára vypadne, je vzdialený prístup dodávateľa stroja. Vzniká pri uvedení do prevádzky, býva podmienkou záruky a vedie doň vlastná cesta — mobilný router, VPN brána alebo modem v rozvádzači. IT oddelenie ho neobstaralo, neplatí zaň a nevie o ňom; v evidencii aktív preto nie je a v adresárovej službe tiež nie.

Druhá je inžinierska stanica. Obyčajný počítač s programovacím prostredím, ktorý má k riadiacim prvkom plný prístup, často zdieľané konto a operačný systém po konci podpory — nie z nedbalosti, ale preto, že novšia verzia už nevie hovoriť so staršou riadiacou jednotkou.

Tretia je samotná komunikácia. Priemyselné protokoly boli navrhnuté pre uzavretú sieť a autentizáciu nemajú: kto sa dostane do segmentu, môže posielať príkazy. Nie je to chyba konfigurácie, ktorá by sa dala opraviť nastavením — je to vlastnosť protokolu a rieši sa segmentáciou.

Prečo to bežný IT audit minie: vychádza z evidencie aktív a z adresárovej služby a ani jedno z týchto troch v nich nie je. Nástroje, ktoré by to našli samy, sa v OT vypínajú — aktívne skenovanie môže zhodiť riadiaci systém, ako je uvedené vyššie. A rozhovory vedie s IT, teda s oddelením, ktoré tú časť prostredia nespravuje. Chýbajúce zistenie potom nie je dôsledkom nedôslednosti, ale toho, že audit hľadal tam, kde to nie je.

Čo rozsah zväčšuje a o koľko

Pracnosť neurčuje veľkosť firmy, ale to, čo do rozsahu patrí. Zvyšuje ju najmä ďalšia lokalita · ďalší informačný systém v rozsahu · dodávateľ, ktorého treba posúdiť · druhá jurisdikcia.

Podľa našej skúsenosti sa každé takéto rozšírenie prejaví na pracnosti rádovo o tretinu až polovicu, pri kombinácii viacerých aj výraznejšie. Preto sa rozsah dohaduje pred cenou, nie po nej.

5. Audit nesmie trvať donekonečna

Nové pravidlá zavádzajú maximálnu dĺžku výkonu auditu dvanásť po sebe idúcich mesiacov. Zároveň sa predlžuje lehota na vykonanie auditu po významnej zmene na šesť mesiacov.

Prvá zmena chráni auditovanú organizáciu pred donekonečna naťahovaným procesom. Druhá dáva realistickejší priestor po väčších zmenách v infraštruktúre.

Čo z toho vyplýva pre vás

Tri otázky, ktoré si viete zodpovedať dnes:

1. Kedy vám uplynie lehota na najbližší audit? Počíta sa od zápisu do registra a od predchádzajúceho auditu, nie od účinnosti vyhlášky.
2. Ste PKZS alebo PZS? Od toho závisí, či máte trojročný alebo päťročný cyklus a či pre vás samohodnotenie vôbec prichádza do úvahy.
3. Máte v rozsahu operačné technológie? Ak áno, rozsah auditu sa vám rozšíril a rozpočet z minulého cyklu už neplatí.

Ak si na ktorúkoľvek z nich neviete odpovedať s istotou, je to samo osebe zistenie — a je lepšie ho spraviť teraz než mesiac pred uplynutím lehoty.

Zdroje

• Vyhláška č. 212/2026 Z. z. — Zbierka zákonov
• Zákon č. 366/2024 Z. z. o kybernetickej bezpečnosti — Slov-Lex
• Vyhlášky č. 226 a 227/2025 Z. z. o bezpečnostných opatreniach
• Kompetenčné a certifikačné centrum kybernetickej bezpečnosti
• Metodika auditu kybernetickej bezpečnosti, NBÚ

---

Článok má informatívny charakter a nenahrádza právne poradenstvo.

---

Neviete, či sa vás zmeny týkajú?

Za tridsať minút vám povieme, do ktorej kategórie patríte, kedy vám uplynie lehota a či pre vás prichádza do úvahy samohodnotenie. Bez záväzku.

Dohodnúť nezáväznú konzultáciu →

Právny stav overený k 4. 9. 2026. Pri právnom obsahu je zastaraný článok horší než žiadny — ak nájdete nezrovnalosť, napíšte nám na sk@iosec.eu.

Zdroje

• https://www.epi.sk/zz/2026-212
• https://cybercompetence.sk/wp-content/uploads/2026/03/KCCKB_Prehlad_zmien_v_navrhu_vyhlasky_o_audite_KB.pdf