OT bezpečnosť možno zavádzať po etapách, ak poznáte svoj právny režim, vzdialené prístupy a následky odstávky. Etapový postup stále vyžaduje základnú kontrolu nad prístupmi, obnovou a komunikáciou medzi časťami siete. Rozsah ďalšieho kroku má vychádzať zo zisteného stavu, nie z univerzálnej hranice veľkosti alebo ceny odstávky.
Rýchle zhrnutie
- Komplexný program spája techniku, ľudí a riadenie
- Etapový postup musí prejsť tromi kontrolami
- Pri odklade zostávajú tri praktické minimá
- Právny režim sa od 1. septembra 2026 zmenil
- Technické meranie pomáha určiť rozsah; predpisy ho nevyžadujú pri každom audite
- Časté otázky
Komplexný program spája techniku, ľudí a riadenie
OT označuje prevádzkové technológie, ktoré riadia fyzické procesy. Bezpečnosť takého prostredia spája viac vrstiev než jeden produkt. Komplexný program zahŕňa evidenciu zariadení, riadenie prístupov, separáciu siete, zálohovanie a obnovu, monitoring udalostí, reakciu na incidenty, dokumentáciu, roly a kontrolu dodávateľov.
Firma nemusí všetky vrstvy zaviesť v jednom projekte. Poradie však potrebuje odôvodniť stavom prevádzky a povinnosťami, ktoré sa na ňu vzťahujú. Etapový postup znamená, že firma pozná otvorené riziká, určí dočasné opatrenia a vie, ktorá udalosť spustí ďalšiu etapu.
Etapový postup musí prejsť tromi kontrolami
Prvá kontrola je právna. Firma potrebuje vedieť, či je prevádzkovateľom základnej služby, kedy bola zaradená do registra a či ide o prevádzkovateľa kritickej základnej služby. Od toho závisí prvé preverenie, možnosť samohodnotenia aj ďalšia periodicita.
Druhá kontrola je prevádzková. Zistite, kto sa pripája do riadenia, cez ktoré cesty a s akými oprávneniami. Patria sem servisné organizácie, dodávatelia technológie aj vlastní administrátori. Evidencia má obsahovať vlastníka prístupu, jeho účel, spôsob schválenia a časovú platnosť.
Tretia kontrola je ekonomická. Vypočítajte vlastný následok odstávky: nevyrobenú produkciu, čakajúcu zmenu, rozpracovaný materiál, opätovné spustenie a posunuté dodávky. Univerzálny prah v eurách by preniesol rozhodnutie z vašej prevádzky na cudzie číslo. Dôležitý je váš výsledok a to, ktoré zariadenia ho môžu ovplyvniť.
Ak všetky tri kontroly ukážu nízku expozíciu a firma má základné opatrenia pod kontrolou, komplexnejšie nasadenie možno rozdeliť na etapy. Ak chýba odpoveď už pri jednej z nich, odklad stojí na predpoklade a najbližším krokom má byť zistenie stavu.
Pri odklade zostávajú tri praktické minimá
Prvým minimom je riadenie vzdialených prístupov. Zoznam prístupových ciest, účtov a vlastníkov umožní zrušiť nepotrebné oprávnenia a časovo obmedziť servisné pripojenia. Samotný firewall nepotvrdzuje, že poznáte všetky cesty do riadenia; prístup môže ísť cez navrhnutú hranicu siete alebo ju obísť podľa použitej architektúry.
Druhým minimom je funkčná obnova. Existencia zálohy nestačí, ak nie je jasné, čo obsahuje, kto ju obnoví a či bol postup vyskúšaný. Pri odklade väčšieho programu preto určte kritické konfigurácie a dáta, zodpovednosť za obnovu a prijateľný čas návratu.
Tretím minimom je kontrola komunikácie medzi časťami siete. Separácia obmedzuje, s kým môže zariadenie komunikovať, a znižuje priestor na laterálny pohyb medzi segmentmi. Konkrétne riešenie môže byť interné, externé alebo hybridné podľa kompetencie, kapacity a dostupného odstávkového okna.
Tieto tri minimá nie sú univerzálnym právnym zoznamom pre každú firmu. Sú praktickou hranicou etapového postupu: bez nich neviete rozumne obmedziť prístup, obnoviť prevádzku ani zabrániť voľnému šíreniu problému sieťou.
Právny režim sa od 1. septembra 2026 zmenil
Podľa § 29 ods. 1 zákona č. 69/2018 Z. z. sa prvý audit vykonáva do dvoch rokov od zaradenia prevádzkovateľa do registra. Prevádzkovateľ, ktorý nie je prevádzkovateľom kritickej základnej služby, môže túto povinnosť splniť samohodnotením podľa § 29 ods. 8. Samohodnotenie vykonáva manažér kybernetickej bezpečnosti a správa sa predkladá úradu cez jednotný informačný systém kybernetickej bezpečnosti. Aktuálne znenie zákona č. 69/2018 Z. z.
Od 1. septembra 2026 platí zmenené znenie vyhlášky č. 493/2022 Z. z. Ďalší audit sa podľa prílohy č. 2 vykoná a ukončí najneskôr do konca tretieho kalendárneho roka nasledujúceho po roku, v ktorom bol posledný audit ukončený. Pri režime pravidelného samohodnotenia vyhláška určuje dvojročný interval samohodnotenia a audit najneskôr do konca piateho kalendárneho roka nasledujúceho po roku posledného auditu. Zákon pritom pri tomto režime zachováva prvý certifikovaný audit najneskôr do piatich rokov od zaradenia prevádzkovateľa do registra. Významná zmena vyžaduje audit do šiestich mesiacov. Vyhláška č. 493/2022 Z. z. účinná od 1. septembra 2026
Prechodné ustanovenie zároveň umožňuje, aby sa audit začatý do 31. decembra 2026 vykonal aj podľa predchádzajúcich predpisov. Pri konkrétnom prípade preto treba určiť dátum začatia a použitý režim; starý a nový postup sa nesmú miešať. Vyhláška č. 212/2026 Z. z.
Odklad môže ukončiť aj prevádzková udalosť. Ďalšiu etapu môže spustiť nový vzdialený prístup, pripojenie technológie, zmena topológie, incident, požiadavka odberateľa alebo rast následku odstávky. Rozhodujúca udalosť má mať vlastníka, ktorý zmenu zachytí a otvorí nové posúdenie.
Technické meranie pomáha určiť rozsah; predpisy ho nevyžadujú pri každom audite
Záznamy z monitoringu môžu byť jedným zo zdrojov auditných dôkazov, ak sú relevantné pre konkrétne zistenie. Vyhláška však neurčuje technické meranie siete ako povinný vstup každého auditu. Použiteľnosť konkrétneho výstupu posudzuje certifikovaný audítor v rozsahu daného auditu.
Prvý význam monitoringu je prevádzkový. Pomáha vidieť udalosť, analyzovať ju, rozhodnúť o reakcii a doložiť jej uzavretie. Technické meranie môže pred väčšou investíciou ukázať komunikujúce zariadenia, používané protokoly, anomálie a hranice pozorovaného rozsahu. Výstup potom slúži na určenie poradia opatrení, nie ako automatické potvrdenie úplnosti siete alebo splnenia zákona.
Časté otázky
Kedy možno OT bezpečnosť zavádzať po etapách?
Keď firma pozná svoj právny režim, vzdialené prístupy, kritické časti prevádzky a následky odstávky. Zároveň musí mať určené základné opatrenia a udalosť, ktorá spustí ďalšiu etapu. Etapový postup má byť rozhodnutie nad zisteným stavom.
Znamená odklad komplexného programu, že zatiaľ netreba robiť nič?
Nie. Aj pri etapovom postupe treba riadiť vzdialené prístupy, vedieť obnoviť kritické konfigurácie a obmedziť komunikáciu medzi časťami siete. Rozsah sa prispôsobí reálnej prevádzke.
Musí každá firma pred auditom absolvovať technické meranie siete?
Nemusí. Právne predpisy neurčujú technické meranie siete ako povinný vstup každého auditu. Záznamy z monitoringu môžu byť relevantným dôkazom, no ich použiteľnosť posúdi certifikovaný audítor podľa rozsahu auditu.
Platí po 1. septembri 2026 stále dvojročná periodicita auditu?
Nie ako všeobecné pravidlo pre každý ďalší audit. Aktuálna vyhláška rozlišuje prvé preverenie, ďalší audit po predchádzajúcom audite, režim pravidelného samohodnotenia a audit po významnej zmene. Konkrétnu lehotu treba určiť podľa príslušného režimu.
Ako zistíme, ktorú etapu riešiť ako prvú?
Začnite tromi kontrolami: právny režim, vzdialené prístupy a následok odstávky. Ak chýbajú spoľahlivé technické údaje o sieti, prvým krokom môže byť ohraničené pasívne meranie. Jeho cieľom je získať podklad na poradie opatrení.
Ďalší krok
Technický bezpečnostný audit siete KFB je 28-dňový zákaznícky proces: 21 dní meria sonda v sieti a približne sedem dní pripadá na spracovanie výstupov a prípravu prezentácie. Pomôže pomenovať pozorovaný stav pre prevádzkové rozhodnutie; nejde o zákonnú podmienku certifikovaného auditu.
Dohodnite s KFB Control rozsah technického merania siete.