Komparácia zákonných požiadaviek na informačnú bezpečnosť verejnej správy z pohľadu ISVS, KB a GDPR

Prostredie verejnej správy (VS) si za posledné necelé dva roky z pohľadu ochrany svojich informácií prešlo turbulentným obdobím. V apríli 2018 nadobudol účinnosť zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti (KB), následne v máji 2018 nadobudlo účinnosť Európske nariadenie č. 2016/679 o ochrane fyzických osôb pri spracúvaní osobných údajov (GDPR), resp. zákon č. 18/2018 Z. z. o ochrane osobných údajov – a aby toho nebolo málo, v máji 2019 nadobudol účinnosť zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe (ITVS), ktorý ruší zákon č. 275/2006 Z. z. o informačných systémoch verejnej správy (ISVS). Z uvedených všeobecne záväzných predpisov vyplývajú na jednotlivé orgány verejnej správy požiadavky na implementáciu určitých bezpečnostných opatrení. Uvedené tri oblasti ISVS, KB a GDPR má v gescii iný orgán štátnej správy, čo môže spôsobovať VS určité komplikácie, nejasnosti alebo nezrovnalosti. Článok si nekladie za cieľ porovnať komplexne všetky tri legislatívne oblasti, ale zameriava sa iba na porovnanie základných požiadaviek na implementáciu bezpečnostných opatrení. Filozofia článku je taká, že najprv sú interpretované požiadavky na ISVS ako celok, následne sú doplnené o požiadavky KB a GDPR. Keďže nie každý ISVS je základnou službou, resp. sú v ňom spracúvané OÚ, ale každý takýto systém je systémom ISVS.

Predmet skúmania

V prípade, pokiaľ sa chceme zaoberať implementáciou bezpečnostných opatrení, je potrebné si zadefinovať základnú terminológiu prostredia, do ktorého sa majú tieto opatrenia implementovať.

ISVS:

V rámci ISVS sú zavádzané termíny ako správca, orgán riadenia, prevádzkovateľ alebo orgán vedenia.

Orgánom riadenia je napríklad ministerstvo a ostatné ústredné orgány štátnej správy, obec a vyšší územný celok alebo organizácie v ich zriaďovateľskej alebo zakladateľskej pôsobnosti. V starom zákone č. 275/2006 Z. z. bol orgán riadenia označovaný ako povinná osoba.

Správcom je orgán riadenia, ktorého za správcu ITVS ustanoví zákon. Ak zákon vo vzťahu k ...