Keď výrobná firma rieši ochranu strojov a ich riadiacich systémov, teda OT bezpečnosť, rozhoduje aj o rozsahu práce, ktorú dokáže zvládnuť naraz. Opatrenia možno zavádzať po etapách, ak firma pozná svoje povinnosti a stav prevádzky a vie podľa nich zdôvodniť poradie. Zákonné lehoty a známe riziká pritom určujú, čo sa do neskoršej etapy môže zaradiť.
Pred vedením môžu stáť rôzne úlohy: preveriť prístupy servisných dodávateľov, pripraviť obnovu riadenia po výpadku alebo oddeliť vybrané časti siete. Každá potrebuje ľudí a čas, niektorá aj odstávku. Pri rozhodovaní o rozpočte preto vzniká otázka: musíme všetko objednať v jednom projekte, alebo môžeme začať menším zásahom?
Ak rozhodujete o investíciách do bezpečnosti výroby, tento článok vám pomôže vybrať prvú etapu, určiť jej dokončenie a rozlíšiť, čo treba riešiť v rámci zákonných termínov. Postupne vysvetľuje výber prvého kroku, jeho overenie a plán ďalšej práce. Presné právne lehoty nájdete v samostatnej časti.
Rýchle zhrnutie
- Čo znamená zavádzať OT bezpečnosť po etapách
- Podľa čoho vybrať prvú etapu
- Čo má zostať po dokončení prvej etapy
- Ako naplánovať ďalšie etapy
- Zákonné lehoty pri zavádzaní OT bezpečnosti
- Kedy pomôže technické meranie siete
- Časté otázky
Čo znamená zavádzať OT bezpečnosť po etapách
Predstavte si firmu, ktorá potrebuje upraviť vzdialené prístupy k strojom a neskôr obmedziť komunikáciu medzi časťami výrobnej siete. Servisný dodávateľ sa musí vedieť pripojiť k zariadeniu, ktoré udržiava. Vzdialene môžu k riadeniu pristupovať aj vlastní administrátori alebo technológovia. Firma preto potrebuje pri externých aj interných prístupoch poznať, kto ich používa a kto za ne zodpovedá.
Prvou etapou preto môže byť preverenie a úprava vzdialených prístupov. Firma zistí, ktoré sú potrebné, priradí im vlastníkov a po preverení ich účelu odstráni nepotrebné oprávnenia. Má konkrétnu úlohu, ktorú možno dokončiť a overiť.
Oddelenie častí siete si môže vyžiadať ďalšiu prípravu. Pred obmedzením komunikácie treba poznať spojenia, ktoré výroba potrebuje. Inak by zmena mohla obmedziť aj potrebné spojenie medzi zariadeniami. Zistený stav tak pomáha pripraviť ďalší zásah.
Etapa je ohraničená časť potrebnej práce. Potrebný rozsah ochrany zostáva cieľom aj vtedy, keď ho firma zavádza postupne. Po úprave prístupov zostávajú otvorené ďalšie otázky, napríklad obnova po výpadku. Firma ich ponechá v pláne s určenou zodpovednosťou a termínom ďalšieho rozhodnutia. Tak môže rozdeliť nároky na ľudí a odstávky a zároveň sledovať, čo ešte zostáva vyriešiť.
Podľa čoho vybrať prvú etapu
Začať vzdialenými prístupmi dáva zmysel v uvedenom príklade. Vo vašej prevádzke môže mať prednosť iná medzera. Pri výbere prvého projektu potrebujete spojiť zákonné povinnosti s tým, čo viete o technológii a následkoch jej výpadku.
Najprv si ujasnite povinnosti firmy
Ak je firma vedená ako prevádzkovateľ základnej služby podľa zákona o kybernetickej bezpečnosti, má konkrétne povinnosti a lehoty. Rozdelenie technických projektov musí umožniť ich splnenie. Podrobnosti sú v právnej časti nižšie.
Status si overte v oznámení NBÚ o zápise do registra, doručenom do elektronickej schránky. Ak neviete, či sa na firmu tento režim vzťahuje, najprv treba vyriešiť túto otázku. Samotný počet strojov vám právnu odpoveď nedá.
Potom pomenujte konkrétnu medzeru
Pri vzdialených prístupoch môže byť problémom účet, pri ktorom nikto nevie povedať, komu patrí a na čo slúži. Pri obnove môže chýbať overenie, že z dostupných záloh dokážete riadenie znovu spustiť. Každá z týchto neistôt vedie k inej práci.
Preto je užitočné opísať problém vetou, ktorú vie posúdiť aj vedenie: „Nevieme, kto používa tento servisný účet“ alebo „Nemáme overené, ako obnovíme riadenie tejto linky“. Z takého zadania je jasnejšie, čo má prvý projekt zmeniť.
Posúďte následok pre výrobu
Ak by konkrétny výpadok zastavil dôležitú časť výroby, zaujíma vás aj jej návrat do prevádzky. Čo sa stane s rozpracovaným materiálom? Čo potrebuje opätovné spustenie? Posunie sa dodávka zákazníkovi?
Tieto dôsledky pomáhajú zdôvodniť poradie opatrení. Pri neoverenej obnove dôležitej linky môže mať jej preverenie prednosť pred úpravou inej časti siete. Rozhodnutie však musí vychádzať z vašej prevádzky; rovnaké poradie nemožno preniesť na každú fabriku.
Ak vám chýbajú podklady na porovnanie, prvým krokom môže byť zistenie stavu. Pri už známom závažnom riziku treba zároveň riešiť potrebné opatrenie. Samotné zbieranie údajov jeho riešenie nenahrádza.
Čo má zostať po dokončení prvej etapy
Vráťme sa k príkladu vzdialených prístupov. Firma si objedná ich preverenie a úpravu. Pred začiatkom potrebuje vedieť, ktoré prístupy projekt zahŕňa, kto vykoná zmeny a podľa čoho sa práca prevezme.
Na konci tejto modelovej etapy má pri každom preverovanom prístupe vedieť, na čo slúži a kto zodpovedá za jeho ponechanie. Nepotrebné oprávnenia sú po preverení odstránené. Overenie potom porovná dohodnutý výsledok so skutočným nastavením: potrebný servisný prístup zostal použiteľný a zrušené oprávnenie už prístup neumožňuje.
Takto sa dá rozlíšiť zoznam zistení od dokončenej zmeny. Zoznam opisuje stav. Prevzatie etapy potvrdzuje, čo sa v dohodnutom rozsahu upravilo a ako sa výsledok preveril.
Prácu môže podľa kompetencie a kapacity vykonať váš interný tím alebo externý partner. Pri porovnávaní ponúk preto sledujte aj hranicu dodávky: dostanete iba podklad na rozhodnutie, alebo ponuka zahŕňa aj vykonanie a overenie opatrenia? Každá možnosť má iný nárok na ľudí vo vašej firme.
Ako naplánovať ďalšie etapy
Po dokončení prvej etapy potrebujete mať prehľad o zvyšnej práci. Pri úprave prístupov sa napríklad môže ukázať, že pred oddelením siete ešte chýba opis potrebnej komunikácie. Ďalšia etapa potom začne doplnením tohto podkladu a prípravou zásahu v dohodnutom čase.
Pri každej otvorenej úlohe má byť jasné, kto ju sleduje a kedy o nej firma znova rozhodne. Termín môže súvisieť s prípravou projektu či plánovanou odstávkou; pri regulovanej firme musí rešpektovať aj zákonné lehoty.
Plán sa pritom môže zmeniť skôr. Ak pribudne nový servisný prístup alebo nový stroj, doterajší obraz prevádzky už nemusí stačiť. Určený človek preto posúdi, či zmena ovplyvňuje poradie práce. Rovnako sa poradie prehodnocuje po incidente, pri zmene následkov výpadku alebo novej požiadavke odberateľa.
Etapový postup dáva zmysel vtedy, keď prvý zásah rieši podstatnú medzeru a firma riadi aj zostávajúcu prácu. Jedno dokončené opatrenie samo osebe nepotvrdzuje bezpečnosť celej OT siete.
Zákonné lehoty pri zavádzaní OT bezpečnosti
Nasledujúce pravidlá sa týkajú prevádzkovateľa základnej služby podľa zákona č. 69/2018 Z. z. Neplatia automaticky pre každú výrobnú firmu. Uvedené lehoty vychádzajú zo znení predpisov účinných pri kontrole 13. októbra 2026 v oficiálnych informatívnych HTML verziách Slov-Lexu.
Pri plánovaní treba rozlíšiť zavedenie bezpečnostných opatrení od preverenia ich účinnosti auditom alebo prípustným samohodnotením. Preto má každá z týchto povinností vlastnú lehotu.
Bezpečnostné opatrenia
Podľa § 19 ods. 1 zákona musí prevádzkovateľ základnej služby do 12 mesiacov odo dňa zápisu do registra na základe analýzy rizík prijať, dodržiavať a vykonávať všeobecné bezpečnostné opatrenia najmenej v rozsahu podľa § 20.
Pri výpočte si dajte pozor na dva dátumy. Oznámenie NBÚ obsahuje dátum zápisu aj deň vzniku práv a povinností, ktorý môže byť podľa § 17 ods. 4 a 5 neskorší. Lehota podľa § 19 sa počíta od zápisu. Dvanásť mesiacov zároveň nie je dôvod ponechať známe riziko bez potrebného opatrenia do posledného dňa.
Audit a samohodnotenie
§ 29 zákona určuje prvý audit do dvoch rokov od zaradenia do registra. Prevádzkovateľ, ktorý nie je prevádzkovateľom kritickej základnej služby, môže túto prvú povinnosť splniť samohodnotením podľa § 29 ods. 8. Aj pri tejto možnosti sa musí podrobiť auditu do piatich rokov od zaradenia.
Ďalšie intervaly a termíny po významnej zmene rozlišuje príloha č. 2 vyhlášky č. 493/2022 Z. z. Pri audite začatom do 31. decembra 2026 môže byť podľa § 3a tejto vyhlášky použitý aj predchádzajúci režim.
Konkrétne termíny preto určite podľa statusu firmy, dátumu zaradenia a začatia auditu. Poradie technických projektov tieto právne povinnosti neposúva.
Kedy pomôže technické meranie siete
Pri výbere prvej etapy môžete naraziť na inú neistotu: neviete, ktoré zariadenia spolu počas výroby komunikujú. V takom prípade môže časovo a rozsahovo ohraničené pasívne meranie poskytnúť podklad na ďalšie rozhodnutie.
Sonda číta kópiu komunikácie privedenej zo sledovanej časti siete. Môže tak ukázať komunikujúce zariadenia, používané protokoly a pozorované anomálie. Výsledok však opisuje iba to, čo počas merania prešlo sledovaným miestom. Tiché zariadenie alebo nepoužitý vzdialený prístup sa nemusia ukázať.
Preto sa meranie porovnáva s evidenciou a tým, čo o sieti vie prevádzka. Pomáha doplniť chýbajúci obraz, samo nepotvrdzuje úplný inventár. Rozdiel medzi sondou, ktorá pozoruje komunikáciu, a skenom, ktorý zariadenia oslovuje, vysvetľuje článok Pasívny verzus aktívny monitoring v OT sieti.
Časté otázky
Môžeme začať OT bezpečnosť jedným menším projektom?
Áno, ak firma pozná svoje povinnosti a stav prevádzky a podľa nich zdôvodní poradie práce. Prvá etapa má konkrétny rozsah, vlastníka a overiteľný výsledok. Zostávajúce opatrenia potrebujú plán, ktorý rešpektuje riziká a zákonné lehoty.
Ako zistíme, čím začať?
Poradie vychádza z povinností firmy, zistenej medzery a následkov pre výrobu. Pri chýbajúcich podkladoch môže byť prvým krokom zistenie stavu. Známe závažné riziko zároveň potrebuje príslušné opatrenie.
Môžeme audit odložiť, kým dokončíme všetky technické etapy?
Audit alebo prípustné samohodnotenie sa riadi statusom prevádzkovateľa a zákonnými termínmi. Harmonogram technických projektov ich neposúva. Povinnosti podľa § 29 sa nevzťahujú automaticky na každú výrobnú firmu.
Musí sa pred certifikovaným auditom merať OT sieť?
Zákon ani citovaná vyhláška neurčujú technické meranie siete ako povinný vstup každého auditu. Jeho výstupy môžu poslúžiť ako dôkaz, ak sú relevantné pre konkrétne zistenie. Použitie posudzuje certifikovaný audítor v danom audite.
Ďalší krok
Ak vám pri výbere prvej etapy chýbajú údaje o komunikácii vo výrobnej sieti, technický bezpečnostný audit siete od KFB môže poskytnúť ohraničený obraz pozorovanej prevádzky. Pred meraním sa dohodne sledovaná časť siete a spôsob pripojenia sondy.
Dohodnite si s KFB Control rozsah technického merania siete.