184/2026 Z. z.

Vyhlásené znenie

icon-warning

Obsah zobrazeného právneho predpisu má informatívny charakter, právne záväzný obsah sa nachádza v pdf verzii právneho predpisu.

Číslo predpisu:184/2026 Z. z.
Názov:Vyhláška Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky, ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy
Typ:Vyhláška
Dátum schválenia:01.07.2026
Dátum vyhlásenia:09.07.2026
Autor:Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky
Právna oblasť:
  • Informácie a informačný systém
Legislatívny proces:LP/2025/610

95/2019 Z. z. Zákon o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov

179/2020 Z. z. Vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu, ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy
184
VYHLÁŠKA
Ministerstva investícií, regionálneho rozvoja a informatizácie Slovenskej republiky
z 1. júla 2026,
ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy
Ministerstvo investícií, regionálneho rozvoja a informatizácie Slovenskej republiky podľa § 31 písm. i) zákona č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon“) ustanovuje:
§ 1
(1)
Vzor zoznamu aktív informačných technológií verejnej správy je uvedený v prílohe č. 1.
(2)
Bezpečnostné opatrenia informačných technológií verejnej správy pozostávajú najmä z minimálnych bezpečnostných opatrení podľa prílohy č. 2. Minimálne bezpečnostné opatrenia sú rozdelené do Kategórie I, Kategórie II a Kategórie III v rámci jednotlivých oblastí kybernetickej bezpečnosti a informačnej bezpečnosti. Vo vzťahu k informačným technológiám verejnej správy sa realizujú bezpečnostné opatrenia aspoň na úrovni minimálnych bezpečnostných opatrení tej kategórie, ktorá sa na orgán riadenia vzťahuje, ak § 2 ods. 3 neustanovuje inak.
(3)
Pri duplicite alebo nekompatibilite minimálnych bezpečnostných opatrení rôznych kategórií, ktoré sa vzťahujú na konkrétnu informačnú technológiu verejnej správy, majú prednosť ustanovenia upravujúce minimálne bezpečnostné opatrenia vyššej kategórie.
(4)
Minimálne bezpečnostné opatrenia Kategórie I v rámci jednotlivých oblastí kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahu k informačným technológiám verejnej správy sa vzťahujú na
a)
obec do 6 000 obyvateľov,
b)
právnickú osobu podľa § 5 ods. 2 písm. e) zákona okrem právnickej osoby, ktorá je kritickým subjektom,1)
c)
osobu podľa § 5 ods. 2 písm. g) zákona.
(5)
Minimálne bezpečnostné opatrenia Kategórie I a Kategórie II v rámci jednotlivých oblastí kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahu k informačným technológiám verejnej správy sa vzťahujú na
a)
obec nad 6 000 obyvateľov okrem mesta, ktoré je sídlom kraja,
b)
mestskú časť,
c)
Kanceláriu verejného ochrancu práv,
d)
Úrad komisára pre deti,
e)
Úrad komisára pre osoby so zdravotným postihnutím,
f)
Radu pre mediálne služby,
g)
iný štátny orgán podľa § 5 ods. 2 písm. b) zákona.
(6)
Minimálne bezpečnostné opatrenia Kategórie I, Kategórie II a Kategórie III v rámci jednotlivých oblastí kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahu k informačným technológiám verejnej správy sa vzťahujú na
a)
mesto, ktoré je sídlom kraja,
b)
vyšší územný celok,
c)
ministerstvo a ostatný ústredný orgán štátnej správy,
d)
Úrad pre reguláciu elektronických komunikácií a poštových služieb,
e)
Najvyšší kontrolný úrad Slovenskej republiky,
f)
Úrad pre dohľad nad zdravotnou starostlivosťou,
g)
Úrad na ochranu osobných údajov Slovenskej republiky,
h)
Generálnu prokuratúru Slovenskej republiky,
i)
Dopravný úrad,
j)
Ústav pamäti národa,
k)
Tlačovú agentúru Slovenskej republiky,
l)
Slovenskú televíziu a rozhlas,
m)
Kanceláriu Súdnej rady Slovenskej republiky,
n)
Kanceláriu Najvyššieho súdu Slovenskej republiky,
o)
Kanceláriu Ústavného súdu Slovenskej republiky,
p)
Kanceláriu prezidenta Slovenskej republiky,
q)
Kanceláriu Národnej rady Slovenskej republiky,
r)
Kanceláriu Najvyššieho správneho súdu Slovenskej republiky,
s)
Sociálnu poisťovňu,
t)
zdravotnú poisťovňu,
u)
Národné centrum zdravotníckych informácií,
v)
Finančné riaditeľstvo Slovenskej republiky,
w)
Národnú agentúru pre sieťové a elektronické služby,
x)
Zbor väzenskej a justičnej stráže,
y)
právnickú osobu podľa § 5 ods. 2 písm. e) zákona, ktorá je kritickým subjektom,
z)
komoru regulovanej profesie a komoru, na ktorú je prenesený výkon verejnej moci s povinným členstvom,
aa)
záujmové združenie právnických osôb DataCentrum elektronizácie územnej samosprávy Slovenska.

(7)
Bezpečnostné projekty informačných systémov verejnej správy sa vypracujú a implementujú podľa prílohy č. 3.
(8)
Správca predkladá bezpečnostný projekt podľa § 23 ods. 1 a 2 zákona na schválenie podľa § 23 ods. 3 písm. g) zákona orgánu vedenia prostredníctvom vládneho informačného systému kybernetickej bezpečnosti.
(9)
Systémové informácie z informačných technológií verejnej správy podľa § 23 ods. 3 písm. i) a § 23a ods. 2 písm. d) zákona v oblasti bezpečnosti informačných technológií verejnej správy zasiela správca orgánu vedenia prostredníctvom vládneho informačného systému kybernetickej bezpečnosti a ich rozsah upravuje príloha č. 4.
(10)
Klasifikácia informácií sa vykonáva podľa pravidiel klasifikačnej schémy, ktorú prijal orgán riadenia v rozsahu podľa prílohy č. 5.
§ 2
(1)
Riadenie rizík zahŕňa
a)
identifikáciu aktív,
b)
identifikáciu rizík vrátane popisu prijatých bezpečnostných opatrení,
c)
analýzu rizík vykonanú podľa metodiky vydanej orgánom vedenia alebo metodiky vydanej podľa osobitného predpisu2) Národným bezpečnostným úradom,
d)
hodnotenie rizík,
e)
prijatie bezpečnostných opatrení podľa identifikovaných rizík vrátane odôvodnenia prípadných odchýlok od minimálnych bezpečnostných opatrení kategórie, ktorá sa na orgán riadenia vzťahuje,
f)
preskúmanie rizík minimálne raz ročne a podľa potreby aj ich aktualizáciu a revíziu bezpečnostných opatrení,
g)
analýzu vplyvov, ktorá hodnotí následky krízových scenárov na činnosť správcu, určuje cieľovú dobu obnovy a cieľový bod obnovy.
(2)
Identifikácia rizík sa vykonáva na princípe najhoršieho scenára. Úroveň rizika sa určuje podľa metodiky vydanej orgánom vedenia alebo metodiky vydanej podľa osobitného predpisu2) Národným bezpečnostným úradom.
(3)
Minimálne bezpečnostné opatrenie kategórie, ktorá sa na orgán riadenia vzťahuje, sa na základe dokumentov podľa odseku 4 nemusí realizovať, ak
a)
konkrétne minimálne bezpečnostné opatrenie nie je relevantné pre dané riziko,
b)
riziku sa možno vyhnúť ukončením alebo nezačatím činnosti, ktorá ho spôsobuje, alebo
c)
riziku sa možno vyhnúť iným spôsobom ako prijatím minimálneho bezpečnostného opatrenia.
(4)
Výsledok analýzy rizík a návrh bezpečnostných opatrení vrátane odôvodnenia podľa odseku 1 písm. e) musia byť písomne schválené štatutárnym orgánom správcu alebo ním povereným riadiacim pracovníkom.
§ 3
(1)
Aktívum sa identifikuje a vedie v evidencii aktív.
(2)
Evidencia aktív je centralizovane riadená a zodpovedá aktuálnemu stavu.
(3)
Súčasťou evidencie aktív je aj označenie bezpečnostných funkcií podporných aktív alebo odkazy na príslušnú časť bezpečnostnej dokumentácie týchto funkcií.
(4)
Evidencia aktív obsahuje najmä identifikáciu a evidenciu
a)
primárnych aktív,
b)
podporných aktív,
c)
vlastníkov aktív,
d)
osôb zodpovedných za identifikáciu a evidenciu aktív.
§ 4
(1)
Ak je na účel bezpečnosti informačnej technológie verejnej správy vhodné prijať súbor bezpečnostných opatrení nad rámec minimálnych bezpečnostných opatrení uvedených v tejto vyhláške, zmeny v rozsahu bezpečnostných opatrení orgán riadenia zadokumentuje a odôvodní.
(2)
Ak sa v tejto vyhláške ustanovuje použitie postupu podľa technickej normy, slovenskej technickej normy, európskeho normalizačného produktu alebo európskej normy, je možné postupovať aj podľa ich ekvivalentu, ak sa takýmto postupom dosiahne rovnaký výsledok a dodržia sa požiadavky podľa tejto vyhlášky. Pri pochybnostiach o vhodnosti použitia ekvivalentnej normy alebo špecifikácie podľa prvej vety je rozhodujúce vyjadrenie orgánu vedenia k možnosti ich použitia.
§ 5
(1)
Do 30. júna 2027 sa minimálne bezpečnostné opatrenia kategórie, ktorá sa na orgán riadenia vzťahuje podľa § 1, v rozsahu podľa prílohy č. 2 považujú za prijaté, aj ak sú prijaté minimálne bezpečnostné opatrenia kategórie, ktorá sa na orgán riadenia vzťahuje podľa § 1, v rozsahu podľa prílohy č. 2 k vyhláške Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy, v znení účinnom do 31. decembra 2026.
(2)
V organizácii správcu, ktorý je zriadený alebo založený od 1. januára 2026, sa táto vyhláška vykoná do 12 mesiacov odo dňa zriadenia alebo založenia organizácie.
§ 6
Zrušuje sa vyhláška Úradu podpredsedu vlády Slovenskej republiky pre investície a informatizáciu č. 179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy.
§ 7
Táto vyhláška nadobúda účinnosť 1. januára 2027.
Samuel Migaľ v. r.
Príloha č.1
k vyhláške č. 184/2026 Z. z.
Prevziať prílohu - VZOR ZOZNAMU AKTÍV INFORMAČNÝCH TECHNOLÓGIÍ VEREJNEJ SPRÁVY
Príloha č. 2
k vyhláške č. 184/2026 Z. z.
Prevziať prílohu - MINIMÁLNE BEZPEČNOSTNÉ OPATRENIA
Príloha č. 3
k vyhláške č. 184/2026 Z. z.
OBSAH A ŠTRUKTÚRA BEZPEČNOSTNÉHO PROJEKTU INFORMAČNÉHO SYSTÉMU VEREJNEJ SPRÁVY


(1)
Pri spracovaní bezpečnostného projektu informačného systému verejnej správy sa prihliada najmä na zložitosť informačného systému verejnej správy, komplexnosť agendy pokrytej informačným systémom verejnej správy a určené bezpečnostné požiadavky na informačný systém verejnej správy. Zohľadňujú sa taktiež bezpečnostné požiadavky na informačný systém verejnej správy vyplývajúce z tejto vyhlášky.
(2)
Bezpečnostný projekt informačného systému verejnej správy pozostáva z dvoch hlavných výstupov, ktorými sú bezpečnostný zámer a analýza bezpečnosti. Výstupy sa vypracúvajú v určenom poradí a priebežne sa spracúvajú počas celého projektu informačného systému verejnej správy realizovaného v súlade so zákonom.
(3)
Ako prvý výstup bezpečnostného projektu informačného systému verejnej správy sa vypracuje bezpečnostný zámer. Bezpečnostný zámer určuje najmä kontext a zameranie bezpečnostného projektu, preto obsahuje najmenej
a)
formuláciu základných bezpečnostných cieľov vyplývajúcich z relevantných právnych východísk vrátane interných riadiacich aktov správcu, technických noriem a štandardov dobrej praxe,
b)
zoznam všeobecne záväzných právnych predpisov a interných riadiacich aktov správcu aplikovaných v bezpečnostnom projekte,
c)
rámcový opis metodického prístupu k analýze rizík, ktorá sa v bezpečnostnom projekte vykonáva,
d)
rámcovú špecifikáciu technických opatrení, organizačných opatrení a personálnych opatrení na zabezpečenie ochrany informačného systému verejnej správy, jeho služieb a údajov v ňom spracúvaných s ohľadom na kategóriu správcu,
e)
vymedzenie okolia informačného systému verejnej správy a jeho vzťah k možnému narušeniu bezpečnosti informačného systému verejnej správy vrátane zoznamu integrácií informačného systému verejnej správy,
f)
vymedzenie kritérií na akceptáciu rizika a identifikovaných prijateľných úrovní rizika,
g)
ohraničenie bezpečnostného projektu (explicitné vysvetlenie oblastí, ktoré bezpečnostný projekt nezahŕňa alebo kladie požiadavky na ich riešenie mimo bezpečnostného projektu informačného systému verejnej správy),
h)
postupy revízie alebo aktualizácie bezpečnostného zámeru.
(4)
Ako druhý výstup bezpečnostného projektu informačného systému verejnej správy sa vypracuje analýza bezpečnosti, ktorej súčasťou je analýza rizík. Rizikom sa v bezpečnostnom projekte rozumie miera kybernetického ohrozenia vyjadrená pravdepodobnosťou vzniku nežiaduceho javu a jeho dôsledkami. Analýza rizík je zameraná na získanie aktuálnych a vierohodných poznatkov o pravdepodobných rizikách týkajúcich sa aktív informačného systému verejnej správy a jeho okolia. Analýza rizík sa vykonáva pre informačný systém verejnej správy priebežne počas celej doby realizácie projektu v súlade so zákonom a priamo nadväzuje na bezpečnostný zámer. Analýza rizík pozostáva z výkonu týchto činností:
a)
vytvorenie podkladových katalógov určených na identifikáciu aktív, identifikáciu hrozieb a zraniteľností a identifikáciu následkov,
b)
identifikácia realizovaných existujúcich bezpečnostných opatrení v štruktúre podľa oblastí bezpečnosti ustanovených osobitným predpisom,8)
c)
identifikácia rizík a opis analyzovaných scenárov rizík v štruktúre podľa oblastí bezpečnosti ustanovených osobitným predpisom,8)
d)
priradenie aktív, hrozieb, zraniteľností a následkov ku každému z identifikovaných scenárov rizík,
e)
vyhodnotenie rizík kombináciou pravdepodobnosti realizácie scenára rizika a závažnosti následkov,
f)
opis navrhovaných bezpečnostných opatrení pre každé identifikované riziko, ktoré nie je akceptovateľné.
(5)
Pri každom scenári rizika sa zohľadňuje pravdepodobnosť situácie, pri ktorej hrozby využijú existujúce zraniteľnosti a spôsobia negatívny následok na aktíva informačného systému verejnej správy a správcu. Odhad pravdepodobnosti realizácie scenára rizika je pri analýze rizík vypracovanej s použitím kvalitatívnej metódy vykonaný kvalitatívnou formou. Pri hodnotení závažnosti výsledného následku sa zohľadňuje celková závažnosť následkov, ktoré môžu byť spôsobené realizáciou rizika. Vyhodnotenie závažnosti následkov pri realizácii scenára rizika je pri analýze rizík vypracovanej s použitím kvalitatívnej metódy vyjadrené kvalitatívnou formou tak, aby bolo možné následne určiť výslednú hodnotu rizika. Úroveň následkov sa určuje osobitne pre každé analyzované riziko a zahŕňa všetky aktíva dotknuté príslušným scenárom rizika. Analyzované riziko môže mať na aktíva správcu viaceré následky, ktoré je potrebné sumárne vyhodnotiť. Výsledná hodnota rizika musí zohľadňovať aj všetky realizované bezpečnostné opatrenia.
(6)
Postup pri výkone analýzy rizík musí byť v súlade s technickou normou9) a metodikou vydanou orgánom vedenia. Analýza rizík sa vypracuje s použitím kvalitatívnej metódy. Vypracovanie analýzy rizík s použitím semikvantitatívnej metódy alebo kvantitatívnej metódy je prípustné, ak je analýza rizík vypracovaná v štruktúre, v rozsahu a s obsahom podľa tejto prílohy a metodiky vydanej orgánom vedenia vrátane popisu scenárov rizík a existujúcich bezpečnostných opatrení a súčasťou výstupu bezpečnostného projektu je aj konverzná tabuľka, ktorá umožní výsledné vyhodnotenie analyzovaných rizík podľa použitej metódy premietnuť do stupnice podľa metodiky vydanej orgánom vedenia.
(7)
Cieľom návrhu bezpečnostných opatrení je vytvorenie takého okruhu bezpečnostných opatrení, že po ich implementácii a následnom prehodnotení rizík sú všetky zvyškové riziká akceptovateľné. Opis navrhovaných bezpečnostných opatrení zohľadňuje
a)
opatrenia a požiadavky ustanovené touto vyhláškou alebo osobitným predpisom,8)
b)
spôsob uplatňovania bezpečnostných opatrení v konkrétnych podmienkach správcu a analyzovaného informačného systému verejnej správy,
c)
dostupné možnosti prístupu k riadeniu rizika.
(8)
Výstupný dokument analýzy bezpečnosti s výsledkami analýzy rizík obsahuje najmä
a)
ciele a priority analýzy rizík,
b)
stručný opis použitej metodiky analýzy rizík,

c)
opis scenárov rizík založený na identifikácii aktív, identifikácii hrozieb pre tieto aktíva, identifikácii zraniteľností a na identifikácii následkov zohľadňujúcich stratu dôvernosti, integrity a dostupnosti aktív správcu,
d)
vyhodnotenie rizík podľa použitej metódy,
e)
opis navrhovaných bezpečnostných opatrení pre identifikované riziká v závislosti od ich závažnosti,
f)
celkové zhrnutie výsledkov analýzy rizík usporiadaných podľa závažnosti,
g)
postupy revízie alebo aktualizácie analýzy bezpečnosti.
(9)
Štruktúra výstupu analýzy bezpečnosti musí pokryť minimálne oblasti bezpečnosti ustanovené osobitným predpisom.8) Finalizácia dokumentácie bezpečnostného projektu informačného systému verejnej správy je realizovaná v etape IMPLEMENTÁCIA A TESTOVANIE v súlade so zákonom.
Príloha č. 4
k vyhláške č. 184/2026 Z. z.
SYSTÉMOVÉ INFORMÁCIE Z INFORMAČNÝCH TECHNOLÓGIÍ VEREJNEJ SPRÁVY ZASIELANÉ ORGÁNU VEDENIA NA ÚČELY RIADENIA KYBERNETICKEJ BEZPEČNOSTI A INFORMAČNEJ BEZPEČNOSTI


Informácie zasielané orgánmi riadenia podľa § 1 ods. 4 až 6
(1)
Základné údaje o správcovi údajov organizácie:
a)
názov organizácie,
b)
adresa správcu údajov organizácie,
c)
meno a priezvisko správcu údajov organizácie,
d)
kontaktné údaje správcu údajov organizácie v rozsahu e-mailová adresa a telefónne číslo,
e)
typ správcu údajov organizácie.
(2)
Kontaktné údaje pre roly:
a)
meno a priezvisko kontaktnej osoby,
b)
e-mailová adresa,
c)
telefónne číslo,
d)
priradenie roly osoby (manažér kybernetickej bezpečnosti, príjemca hlásení z CSIRT-u, vedúci IT, pracovník IT, štatutár organizácie, iné),
e)
dostupnosť kontaktu.
(3)
Verejné IPv4 adresy:
a)
IPv4 adresa alebo rozsah IPv4 adries (adresa siete alebo dĺžka masky),
b)
účel použitia adresy.
(4)
Verejné IPv6 adresy:
a)
IPv6 adresa alebo rozsah IPv6 adries (prefix alebo dĺžka),
b)
účel použitia adresy.
(5)
Verejne dostupné doménové mená:
a)
doménové meno,
b)
priradená IPv4 adresa,
c)
priradená IPv6 adresa,
d)
účel použitia doménového mena.

Informácie zasielané orgánmi riadenia podľa § 1 ods. 5 a 6
(6)
Sieťové služby:
a)
názov sieťovej služby,
b)
doménové meno sieťovej služby,
c)
IPv4 a IPv6 (ak sa používa) adresa sieťovej služby,
d)
URL sieťovej služby [pre služby na báze HTTP(S)],
e)
čísla portov a transportné protokoly,
f)
siete, z ktorých je sieťová služba prístupná (napríklad internet, GOVNET),
g)
popis sieťovej služby,
h)
ID sieťovej služby alebo príslušného informačného systému v MetaIS,
i)
klasifikácia sieťovej služby podľa dôvernosti, integrity, dostupnosti (číselníkové položky),
(7)
Informácie o softvérovom vybavení organizácie:
a)
typ softvéru [operačný systém, aplikačný softvér, firmvér hardvéru, systém AI, model AI na všeobecné účely,10) iné – číselníková položka],
b)
názov softvéru vrátane systému AI, modelu AI na všeobecné účely,
c)
verzia softvéru vrátane systému AI, modelu AI na všeobecné účely (vrátane posledného trénovania alebo verzie, ak je dostupná),
d)
ID softvéru (podľa číselníka softvéru),
e)
počet inštancií softvéru vrátane systému AI, modelu AI na všeobecné účely,
f)
informácia, či je daný softvér vrátane systému AI, modelu AI na všeobecné účely použitý aj na systémoch prístupných z externých sietí,
g)
účel a rozsah použitia systému AI a modelu AI na všeobecné účely (napríklad spracovanie údajov, rozhodovacia podpora, kybernetická bezpečnosť, automatizácia procesov).
(8)
Evidencia kybernetických bezpečnostných incidentov:
a)
dátum zistenia, aspoň predpokladaný dátum vzniku, časové údaje priebehu, dĺžka trvania,
b)
geografické rozšírenie,
c)
počet zasiahnutých používateľov,
d)
detailný opis priebehu vrátane popisu vplyvu kybernetického bezpečnostného incidentu na fungovanie orgánu riadenia,
e)
rozsah vzniknutých škôd (aspoň odhad),
f)
zasiahnuté služby, informačné systémy a informačné technológie verejnej správy,
g)
konkrétny popis všetkých zasiahnutých aktív,
h)
stav riešenia,
i)
vykonané nápravné opatrenia,
j)
opis následkov,
k)
správa o riešení kybernetického bezpečnostného incidentu,
l)
prijaté bezpečnostné opatrenia kybernetického bezpečnostného incidentu.
Príloha č. 5
k vyhláške č. 184/2026 Z. z.
KLASIFIKAČNÁ SCHÉMA
Kritériá klasifikácie informácií
Klasifikačné stupne
1.
Klasifikačné stupne opisujú citlivosť informácií, údajov alebo ďalších s nimi spojených informačných aktív (ďalej len „informačné aktívum“) z pohľadu narušenia ich dôvernosti, integrity a dostupnosti a vyjadrujú dôležitosť alebo hodnotu týchto aktív pre výkon činností správcu.
2.
Základné pravidlá klasifikácie informácií:
a)
každá klasifikovaná informácia má pridelený jeden klasifikačný stupeň dôvernosti, jeden klasifikačný stupeň integrity a jeden klasifikačný stupeň dostupnosti,
b)
bezpečnostné informácie, nastavenia, postupy, interné riadiace akty a ostatné úkony ohľadom riadenia informačných aktív sa klasifikujú rovnakým alebo vyšším klasifikačným stupňom, akým sú označené informačné aktíva, ktorých riadenie opisujú,
c)
správca môže v rozsahu svojej pôsobnosti jednotlivé informačné aktíva zaradiť do vyššieho stupňa podľa definícií stupňov.
3.
Z hľadiska dôvernosti sú klasifikačné stupne informačných aktív definované ako:
a)
verejné informačné aktívum – určené pre verejnosť, ktoré je získateľné z verejných zdrojov alebo z informácií, ktoré sú pripravené na tento účel alebo sú preklasifikované z inej úrovne prostredníctvom vlastníka a zahŕňajú napríklad informácie z médií, povinne zverejnené informácie alebo všeobecne dostupné informácie,
b)
interné informačné aktívum – používané a prístupné pre všetkých používateľov v rámci organizácie správcu bez ohľadu na ich rolu, pričom na sprístupnenie týchto aktív tretím stranám alebo verejnosti je potrebné schválenie zo strany vlastníka informácie; ak nie je informačné aktívum explicitne klasifikované, je považované za interné,
c)
chránené informačné aktívum – používané a prístupné len určeným skupinám oprávnených osôb a ktorého neautorizované odhalenie, prezradenie alebo zničenie môže mať pre správcu negatívny vplyv na výkon činností; prístup k údajom klasifikovaným ako „Chránené“ sa riadi zásadou „potreby vedieť“ a zásadou „najnižších privilégií“ a je vymedzený výhradne vopred definovaným a schváleným útvarom alebo iným jasne vymedzeným skupinám osôb, pričom tretie strany majú k týmto údajom prístup len v odôvodnených prípadoch,
d)
prísne chránené informačné aktívum, ktoré je používané a prístupné len jednotlivým vybraným zamestnancom správcu a ktorého neautorizované odhalenie, prezradenie alebo zničenie môže mať s vysokou pravdepodobnosťou negatívny vplyv na aktíva a procesy správcu; prístup k údajom klasifikovaným ako „Prísne chránené“ sa riadi zásadou „potreby vedieť“ a zásadou „najnižších privilégií“ a je vymedzený výhradne konkrétnym, vopred definovaným a schváleným osobám, pričom tretie strany majú k týmto údajom prístup len v odôvodnených prípadoch.
4.
Z hľadiska integrity sú klasifikačné stupne informačných aktív definované ako:
a)
klasifikačné stupne s nízkou integritou – zahŕňajú informačné aktíva, ktorých chyba alebo nepresnosť výrazne neohrozí výkon činností správcu,
b)
klasifikačné stupne so strednou integritou – zahŕňajú informačné aktíva, ktoré sú dôležité pre výkon činností správcu a ktorých chyba alebo nepresnosť môže spôsobiť negatívny vplyv na kontinuitu činností správcu a oblasť jeho pôsobenia,
c)
klasifikačné stupne s vysokou integritou – zahŕňajú vybrané kľúčové informačné aktíva, ktoré sú kritické pre výkon činností správcu a ktorých chyba alebo nepresnosť bezprostredne ohrozuje výkon činností, s ňou spojené aktivity a dobrú povesť správcu.
5.
Z hľadiska dostupnosti sú klasifikačné stupne informačných aktív definované ako:
a)
klasifikačné stupne s nízkou dostupnosťou – zahŕňajú informačné aktíva správcu, ktorých výpadok výrazne neohrozí výkon činností správcu alebo pre ktoré existujú alternatívne postupy,
b)
klasifikačné stupne so strednou dostupnosťou – zahŕňajú informačné aktíva, ktoré sú dôležité pre výkon činností správcu a ktorých zlyhanie môže mať vplyv na kontinuitu činností správcu a jeho oblasť pôsobenia,
c)
klasifikačné stupne s vysokou dostupnosťou – zahŕňajú vybrané informačné aktíva, ktoré sú kritické pre výkon činností správcu a ktorých zlyhanie bezprostredne ohrozuje výkon činností správcu a jeho dobré meno.
1)
§ 2 písm. c) zákona č. 367/2024 Z. z. o kritickej infraštruktúre a o zmene a doplnení niektorých zákonov.
2)
§ 5 ods. 1 písm. b) zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov.
8)
§ 20 ods. 2 zákona č. 69/2018 Z. z. v znení zákona č. 366/2024 Z. z.
9)
STN EN ISO/IEC 27005 Informačná bezpečnosť, kybernetická bezpečnosť a ochrana súkromia. Usmernenie k riadeniu rizík informačnej bezpečnosti (ISO/IEC 27005) (97 4175).
10)
Čl. 3 ods. 63 nariadenia (EÚ) 2024/1689.