Záverečná správa z auditu kybernetickej bezpečnosti spája rozsah a metódu auditu, zistenia, dôkazy, výsledný stav a odporúčané nápravné opatrenia. Pri nesúlade aj čiastočnom súlade tvorí jej prílohu správa o zistených nedostatkoch s termínmi nápravy. Čítať ju preto treba ako mapu medzi požiadavkou, overeným stavom, dôkazom a konkrétnou prácou po audite.
Právny stav k 8. septembru 2026. Článok opisuje audit podľa vyhlášky č. 493/2022 Z. z. v znení účinnom od 1. septembra 2026. Pri auditoch začatých najneskôr 31. decembra 2026 môže byť podľa prechodného ustanovenia použitý aj predchádzajúci režim; konkrétna správa sa preto môže v detailoch líšiť.
Rýchle zhrnutie
- Čo zo záverečnej správy zistíte
- Čo obsahuje záverečná správa podľa § 2
- Rozsah auditu určuje hranicu výsledku
- Zistenie musí mať väzbu na dôkaz
- Čiastočný súlad tiež vedie k náprave
- Správa o nedostatkoch sa mení na pracovný zoznam
- Odovzdanie správy končí audit, predloženie úradu nasleduje
- Technické meranie nie je povinným vstupom každého auditu
- Časté otázky
Čo zo záverečnej správy zistíte
Správu si môžete rozdeliť na štyri otázky:
- Čo presne audítor posudzoval a akými metódami?
- Čo zistil a ktorý dôkaz podporuje jeho záver?
- Je výsledkom súlad, čiastočný súlad alebo nesúlad?
- Ktoré nedostatky treba odstrániť a v akom termíne?
Ak tieto väzby v správe nájdete, nedržíte v ruke iba výsledný stav. Vďaka tomu máte podklad, podľa ktorého viete prideliť nápravu, sledovať termíny a neskôr doložiť zmenu stavu.
Čo obsahuje záverečná správa podľa § 2
Vyhláška č. 493/2022 Z. z. v § 2 ods. 2 uvádza, že záverečná správa obsahuje najmä:
- meno a priezvisko audítora, číslo jeho certifikátu, dátum vyhotovenia správy, certifikačnú značku a vlastnoručný alebo kvalifikovaný elektronický podpis,
- vymedzenie rozsahu vykonaného auditu,
- cieľ auditu,
- použité metódy auditu,
- zhrnutie zistení a konštatovanie súladu, čiastočného súladu alebo nesúladu pri bezpečnosti sietí, informačných systémov a operačných technológií,
- odporúčané nápravné opatrenia pri zistených nedostatkoch,
- dokumenty, ktoré zachytávajú priebeh auditu a podklady jeho záverov.
V prílohách navyše nájdete najmä:
- kópiu certifikátu audítora,
- žiadosť o vykonanie auditu,
- výpočet rozsahu a zdôvodnenie jeho skrátenia alebo predĺženia,
- kontrolný záznam,
- vyjadrenie prevádzkovateľa k zisteniam,
- harmonogram,
- zoznam evidovaných dôkazov,
- odchýlky od harmonogramu,
- celkové zhodnotenie plnenia povinností a stavu opatrení s konkrétnymi nedostatkami.
Pre vás je podstatné slovo „najmä“. Tento zoznam nemôžete čítať ako oprávnenie správu zúžiť iba na sedem bodov. Zároveň z neho netreba domýšľať ďalšie povinné polia alebo presné poradie formulára.
Rozsah auditu určuje hranicu výsledku
Keď vedenie dostane správu na stôl, prirodzene sa pozrie na výsledný stav. Pri prvej praktickej kontrole si však otvorte rozsah. V ňom uvidíte, ktoré siete, informačné systémy, operačné technológie, procesy a lokality vstúpili do posúdenia.
Rozsah potrebujete čítať spolu s metódami. Pri veľkej populácii prvkov môže audítor použiť vzorkovanie. § 1 ods. 3 vyhlášky viaže rozsah vzorky na klasifikáciu informácií, analýzu rizík a vypovedaciu schopnosť auditu. Záver o posudzovanom rozsahu preto automaticky nehovorí, že audítor preskúmal každý jeden prvok podniku.
Ak si potrebujete ujasniť rozdiel medzi zákonným posúdením a technickým pohľadom na sieť, rozoberá ho článok Technický audit siete verzus certifikovaný audit.
Zistenie musí mať väzbu na dôkaz
Pri jednom zistení si položte štyri body do krátkeho reťazca: požiadavka, zistený stav, dôkaz a výsledné hodnotenie. § 2 ods. 1 vyhlášky vyžaduje, aby správa uvádzala dôkazy viazané na jednotlivé zistenia. Zo správy musí byť dohľadateľné, o čo audítor svoj záver oprel. Pri každom zistení pritom nemusíte dostať práve jeden samostatný súbor.
Prílohy túto stopu dopĺňajú. Vyhláška v § 1 ods. 4 medzi pracovnými dokumentmi menuje najmä zápisy zo stretnutí, evidenciu predložených dôkazov, evidenciu účastníkov auditu a evidenciu navštívených lokalít. Vďaka tomu si viete oddeliť stručné zhrnutie zistení od záznamu, ako audit prebehol a z akých podkladov vznikol výsledok.
Čiastočný súlad tiež vedie k náprave
V správe uvidíte tri výsledné stavy: súlad, čiastočný súlad a nesúlad. Bez ďalšej opory nemožno čiastočný súlad premenovať na nesúlad. Nie je to však ani stav, pri ktorom môžete nápravu odložiť bokom.
Pri nesúlade aj čiastočnom súlade je podľa § 2 ods. 3 prílohou záverečnej správy správa o zistených nedostatkoch. Pri nedostatkoch uvádza termín vykonania nápravných opatrení. Pre človeka, ktorý bude nápravu riadiť, je preto dôležitejšia väzba medzi konkrétnym nedostatkom, opatrením a termínom než samotný počet položiek v jednotlivých stavoch.
Jeden nedostatok môžete uzavrieť ešte pred dokončením správy. Ak ho odstránite do termínu vyjadrenia prevádzkovateľa k zisteniam a zároveň pred spracovaním záverečnej správy, § 2 ods. 4 umožňuje pri danej požiadavke konštatovať súlad. Obe podmienky musia platiť naraz.
Správa o nedostatkoch sa mení na pracovný zoznam
Po odovzdaní správy priraďte každému nedostatku vlastníka, opatrenie, termín a dôkaz o vykonanej náprave. Toto je redakčné odporúčanie pre riadenie práce, nie ďalšia povinná časť formulára záverečnej správy.
Praktický zoznam môže mať pri každom bode päť položiek:
- požiadavku a zistený nedostatok,
- dotknutý systém, proces alebo lokalitu,
- opatrenie na nápravu,
- zodpovednú osobu a termín,
- podklad na overenie odstráneného nedostatku.
Taký zoznam vám chráni význam pôvodného zistenia. Úloha pri odovzdaní medzi ľuďmi nestratí význam a nezmení sa na všeobecné „opraviť bezpečnosť“. Vedenie vidí, čo je hotové, čo mešká a čo ešte treba overiť. Vďaka tomu môžete stav nápravy riadiť bez toho, aby ste pri každej porade znovu vysvetľovali pôvodný nález.
Odovzdanie správy končí audit, predloženie úradu nasleduje
Vyhláška v § 2 ods. 5 určuje, že audit je ukončený odovzdaním záverečnej správy prevádzkovateľovi základnej služby. Preto si od tohto okamihu odlíšte následnú povinnosť prevádzkovateľa.
Ak ste prevádzkovateľ základnej služby, podľa § 29 ods. 5 zákona č. 69/2018 Z. z. predložíte záverečnú správu úradu spolu s opatreniami na nápravu a lehotami na ich odstránenie do 30 dní od ukončenia auditu. Správu úradu nepredkladá audítor. Túto povinnosť máte vy ako prevádzkovateľ základnej služby.
Rovnako treba držať hranicu medzi KFB Control a výkonom certifikovaného auditu. Certifikovaný audit vykonáva certifikovaný audítor kybernetickej bezpečnosti. KFB Control ho zabezpečuje cez externého certifikovaného audítora a netvrdí, že ho sama vykonáva alebo že sa podieľa na jeho výkone.
Technické meranie nie je povinným vstupom každého auditu
Záznamy z monitoringu môžu byť jedným zo zdrojov auditných dôkazov, ak sú relevantné pre konkrétne zistenie. Ich prvý význam je však prevádzkový: pomáhajú vám vidieť udalosť, analyzovať ju, rozhodnúť o reakcii a doložiť uzavretie. Audit môže takto vzniknuté záznamy použiť; vyhláška však neurčuje technické meranie siete ako povinný vstup každého auditu. Preto ho neobjednávajte iba ako položku pre audítora.
Ak riešite, ako také záznamy vznikajú v bežnej prevádzke, pozrite si článok Ako prebieha monitoring OT siete. O použiteľnosti konkrétneho výstupu ako auditného dôkazu rozhoduje certifikovaný audítor v rozsahu daného auditu.
Časté otázky
Je záverečná správa iba zoznam nedostatkov?
Záverečná správa obsahuje najmä rozsah, cieľ a metódy auditu, zhrnutie zistení, výsledný stav, dôkazy, odporúčané nápravné opatrenia a dokumenty zachytávajúce priebeh auditu.
Čo znamená čiastočný súlad v záverečnej správe?
Čiastočný súlad je samostatný výsledný stav. Pri čiastočnom súlade aj nesúlade tvorí prílohu záverečnej správy správa o zistených nedostatkoch s termínom vykonania nápravných opatrení.
Musí byť pri každom zistení uvedený dôkaz?
Správa musí uviesť dôkazy viazané na jednotlivé zistenia. Väzba medzi zistením a dôkazom musí byť dohľadateľná, hoci vyhláška neurčuje, že ku každému zisteniu musí existovať práve jeden samostatný súbor.
Môže správa uviesť súlad, ak prevádzkovateľ odstráni nedostatok počas auditu?
Áno, ak prevádzkovateľ odstráni nedostatok do termínu svojho vyjadrenia k zisteniam a pred spracovaním záverečnej správy. Vtedy možno pri danej požiadavke konštatovať súlad.
Prečo môže správa z auditu začatého v roku 2026 vyzerať inak?
Audit začatý a neukončený do 31. augusta 2026 audítor dokončí podľa dovtedajších predpisov. Pri audite začatom najneskôr 31. decembra 2026 možno postupovať aj podľa dovtedajších predpisov, preto sa konkrétna správa môže v detailoch líšiť od režimu opísaného v tomto článku.
Ďalší krok
Pomôže vám pomenovať pozorovaný stav pre prevádzkové rozhodnutia; použiteľnosť konkrétneho výstupu ako auditného dôkazu posúdi certifikovaný audítor v rozsahu daného auditu. Ak potrebujete najprv získať overiteľný obraz o komunikácii v OT sieti, dohodnite si s KFB Control technický bezpečnostný audit siete.