Nová vyhláška NBÚ o bezpečnostných opatreniach

Úvod

Prvý návrh legislatívneho textu pripravila skupina – a teraz mierne ironicky – nielen vekom seniorných profesionálov. Mal som možnosť byť pri tom. Po trištvrte roku práce a po uzavretí legislatívneho procesu teda disponujem dostatočným množstvom interných poznatkov, aby som ponúkol stručné zhrnutie nového predpisu. Nevynechám ani tie časti, kde sa so znením nestotožňujem.

Na úvod si vyžaduje pochvalu aspoň názov predpisu. Tentoraz je konečne stručný a racionálny. Pôvodný názov znel: „Vyhláška Národného bezpečnostného úradu č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení“. To bol inštitucionálny jazyk v plnej sile. Po siedmich rokoch aplikačnej praxe sme sa už zrejme všetci zhodli na tom, že bezpečnostná dokumentácia je jednoducho súčasťou opatrení – organizačných aj technických. Bezpečnostná dokumentácia si ale zaslúži samostatný článok, preto jej v tomto texte nebudem venovať detailnejšiu pozornosť. Nový názov právneho predpisu znie: vyhláška Národného bezpečnostného úradu č. 227/2025 Z. z. o bezpečnostných opatreniach (ďalej len „Vyhláška“).

Text, ktorý sme odovzdali Sekcii regulácie a dohľadu NBÚ, vznikal s dôslednou presnosťou.  Vážilo sa každé slovo aj každý odborný pojem. Potom šiel materiál do Medzirezortného pripomienkového konania (MPK). Zverejnená verzia je už mierne odlišný príbeh. Úrad do nej v rámci MPK zapracoval viaceré úpravy, ktoré ťažko vysvetliť len legislatívno-technickými potrebami.

To však neznamená, že treba automaticky ukazovať prstom na Národný bezpečnostný úrad. Aby bolo jasné, prečo to tvrdím, je vhodné najskôr vysvetliť základné princípy tvorby vykonávacích predpisov – teda „vyhlášok“ k zákonom.

Štruktúra bezpečnostných opatrení

Princípy tvorby právnych predpisov sú upravené v zákone č. 400/2015 Z. z. o tvorbe právnych predpisov a o Zbierke zákonov Slovenskej republiky a vo vyššom detaile ďalej v legislatívnych pravidlách vlády SR schválených uznesením vlády č. 512/2001.

Základným pravidlom legislatívneho procesu je princíp zákonnej rezervácie. Podľa čl. 13 ods. 1 písm. a) Ústavy SR povinnosti možno ukladať zákonom alebo na základe zákona, v jeho medziach a pri zachovaní základných práv a slobôd. Vykonávací právny predpis, ako je vyhláška, nesmie vytvárať nové povinnosti pre subjekty práva nad rámec zákonom ustanoveného splnomocnenia. Môže iba konkretizovať, technicky rozpracovať alebo špecifikovať povinnosti, ktoré už zákon predpokladá.

Pre oblasť kybernetickej bezpečnosti zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení účinnom od 1. januára 2025 (ďalej len „Zákon“) v § 32 ods. 1 písm. b) výslovne splnomocňuje NBÚ, aby vyhláškou ustanovil obsah bezpečnostných opatrení, obsah a štruktúru bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení. Vyhláška preto môže ukladať podrobnosti len v rámci týchto mantinelov, nie však nové povinnosti, ktoré by zákon v hraniciach zákonného splnomocnenia nepredvídal.

Preto boli mnohé diskusie odbornej komunity o tom, čo ...