Vyhláška Národného bezpečnostného úradu, ktorou sa mení a dopĺňa vyhláška Národného bezpečnostného úradu č. 493/2022 Z. z. o audite kybernetickej bezpečnosti

Zabezpečiť vykonanie auditu kybernetickej bezpečnosti odborne, objektívne, nestranne a na základe dôkazov. Za správnosť a úplnosť záverečnej správy zodpovedá certifikovaný audítor kybernetickej bezpečnosti.

Zabezpečiť vykonanie samohodnotenia kybernetickej bezpečnosti odborne, objektívne a na základe dôkazov. Za správnosť a úplnosť správy o vykonaní samohodnotenia zodpovedá manažér kybernetickej bezpečnosti.

Určiť časový rozsah trvania auditu tak, aby bol dostatočný na posúdenie plnenia povinností podľa zákona a účinnosti prijatých bezpečnostných opatrení. Ak je potrebné vzorkovanie, určiť rozsah vzoriek s ohľadom na klasifikáciu informácií, analýzu rizík kybernetickej bezpečnosti a vypovedaciu schopnosť auditu. Audit alebo samohodnotenie vykonávať v časovom rozsahu a periodicite podľa prílohy č. 2.

Prijímať žiadosť o vykonanie auditu v rozsahu minimálnych náležitostí uvedených v prílohe č. 1 a posudzovať kompletnosť údajov v žiadosti. V prípade potreby vyžadovať ďalšie informácie potrebné na prípravu a výkon auditu.

Pripraviť harmonogram výkonu auditu, ktorý obsahuje identifikáciu organizačných útvarov, procesov, auditovaných sietí, informačných systémov a operačných technológií a fyzických lokalít prevádzkovateľa základnej služby s uvedením času a meno, priezvisko a kontaktné údaje zodpovedného zamestnanca prevádzkovateľa základnej služby.

Určiť rozsah auditu spôsobom podľa prílohy č. 2.

Určiť metódy auditu, ktoré sa budú používať pri vykonávaní auditu kybernetickej bezpečnosti.

Pripraviť podklady a pracovné dokumenty potrebné na zaznamenávanie výkonu auditu, ktoré sú prílohou záverečnej správy o výsledkoch auditu (napr. zápisy zo stretnutí, evidencia predložených dôkazov, evidencia účastníkov auditu, evidencia navštívených lokalít).

Preskúmať bezpečnostnú dokumentáciu a vyhodnotiť bezpečnostné opatrenia, ako aj vypracovať kontrolný záznam auditovaných bezpečnostných opatrení podľa prílohy č. 3.

Zbierať, sústreďovať a vyhodnocovať dôkazy o zisteniach auditu.

Oboznámiť zodpovedného zamestnanca prevádzkovateľa základnej služby so zistenými nedostatkami a zostaviť súbor odporúčaných opatrení na ich odstránenie.

Vypracovať záverečnú správu o výsledkoch auditu podľa vzoru uvedeného v štandarde na výkon auditu kybernetickej bezpečnosti zverejnenom na webovom sídle úradu.

Preskúmať bezpečnostnú dokumentáciu, vyhodnotiť prijaté bezpečnostné opatrenia a plnenie požiadaviek podľa zákona pri samohodnotení.

Zbierať, sústreďovať a vyhodnocovať dôkazy o zisteniach samohodnotenia.

Vypracovať správu o vykonaní samohodnotenia.

Ukončiť audit odovzdaním záverečnej správy o výsledkoch auditu prevádzkovateľovi základnej služby. Maximálna doba výkonu auditu je 12 po sebe nasledujúcich mesiacov.

Zabezpečiť, aby správa o vykonaní samohodnotenia obsahovala identifikačné údaje manažéra v rozsahu meno a priezvisko, dátum vykonania samohodnotenia, zhrnutie zistení výsledkov samohodnotenia s vyhodnotením požiadaviek na bezpečnosť sietí, informačných systémov a operačných technológií, a zoznam evidovaných dôkazov.

Predkladať správu o vykonaní samohodnotenia Národnému bezpečnostnému úradu prostredníctvom jednotného informačného systému kybernetickej bezpečnosti.

Vykonávať a ukončiť audit najneskôr do konca tretieho kalendárneho roka po roku ukončenia posledného auditu, alebo do konca piateho kalendárneho roka po roku ukončenia posledného auditu, ak nie ste kritickým prevádzkovateľom základnej služby a vykonávate samohodnotenie podľa zákona.

Vykonávať audit pri každej významnej zmene, najneskôr do šiestich mesiacov, odkedy má zmena významný vplyv na realizované bezpečnostné opatrenia.

Vykonávať samohodnotenie každé dva roky. Správu o vykonaní samohodnotenia predložiť najneskôr do konca kalendárneho roka, v ktorom sa samohodnotenie vykonáva.