novela zákona o kybernetickej bezpečnosti transponujúca smernicu NIS2 sa podľa dôvodovej správy dotýka na Slovensku najmenej 3 403 organizácií a reguluje viac ako 80 služieb v 16 odvetviach. Zákon nadobudol účinnosť na začiatku minulého roka. Mnohé z dotknutých subjektov pritom o tom, že sa ich nové povinnosti týkajú, ešte stále nevedia. A nevedomosť pred zákonom nechráni.

Odborníci z praxe tvrdia, že najväčšie problémy robí malým a stredným podnikom spravidla NIS2. Dôvodom je najmä miera právnej, technickej a finančnej náročnosti procesov. Podnikatelia totiž musia zaviesť technické, organizačné a prevádzkové opatrenia, robiť analýzu rizík, riešiť bezpečnosť dodávateľského reťazca, plniť notifikačné povinnosti pri incidentoch a zabezpečiť aktívny dohľad manažmentu nad plnením týchto opatrení. Pre firmu bez interného IT oddelenia a právneho tímu je to záťaž, ktorá môže reálne ohroziť bežnú prevádzku.

čo a koho zasiahlo v posledných rokoch

Slovenský podnikateľský priestor zasiahlo v posledných rokoch niekoľko regulačných vĺn naraz. Ich spoločným menovateľom je európsky pôvod, no implementácia do slovenského práva priniesla konkrétne a priamo vymáhateľné povinnosti.

Smernica o kybernetickej bezpečnosti dopadá predovšetkým na stredné a veľké subjekty v energetike, zdravotníctve, doprave, IT infraštruktúre, verejnej správe a v ďalších odvetviach. V prípade kľúčových subjektov môžu sankcie dosiahnuť až desať miliónov eur alebo dve percentá z celosvetového ročného obratu. Dozorovým orgánom je Národný bezpečnostný úrad (NBÚ).

Zákon o ochrane oznamovateľov bol novelizovaný pred necelými tromi rokmi. Povinnosť zaviesť interný oznamovací systém sa týka každého zamestnávateľa s najmenej 50 zamestnancami. Za nesplnenie hrozí pokuta do 20-tisíc eur za každé jednotlivé porušenie. Za odvetné opatrenia voči oznamovateľovi až 100-tisíc eur. Napriek tomu podľa prieskumu Úradu na ochranu oznamovateľov viac ako polovica zamestnávateľov nemala ešte v marci 2023 zavedený interný systém oznamovania.

Novela zákona o ochrane pred legalizáciou príjmov z trestnej činnosti začala platiť vlani v januári. Prináša rozšírenie povinností pri identifikácii klientov, prísnejšie pravidlá riadenia rizík a nové sankčné mechanizmy vrátane priamej osobnej zodpovednosti členov štatutárnych orgánov. Netýka sa všetkých firiem, ide o sektorovo vymedzenú povinnosť pre tzv. povinné osoby. Ide o subjekty z finančného sektora, vybraných nefinančných profesií, ako sú audítori, účtovníci, notári, advokáti v určitých situáciách, realitní sprostredkovatelia alebo poskytovatelia hazardných služieb.

reálna hrozba, nie abstraktná pokuta

Jednou z najdôležitejších otázok compliance agendy je, či firmy regulačné riziko vnímajú ako reálne alebo ho bagatelizujú. V praxi to závisí od toho, ako konkrétne je firmám vysvetlená hrozba sankcie. V tomto smere je hlavnou hrozbou pokuta. Naopak, pri abstraktne formulovanej hrozbe bez jasného aplikačného rámca prichádza odklad a minimalizácia problému.

Táto psychológia má priame dôsledky. Firmy, ktoré o reálnosti sankcie nevedia alebo ju podceňujú, nerobia nič. Vystavujú sa tak nielen pokute, ale aj reputačnému poškodeniu. V prípade NIS2 je navyše zaujímavé, že zákon zakotvuje priamu zodpovednosť vrcholového manažmentu. Štatutárni zástupcovia firmy môžu byť osobne postihnutí za neplnenie povinností v oblasti kybernetickej bezpečnosti. To je posun, ktorý mení celú dynamiku. Compliance tak prestáva byť agendou právneho oddelenia a stáva sa témou pre konateľov a dozorné rady.

Slovensko na začiatku minulého roka zároveň zažilo kybernetický útok, ktorý dočasne paralyzoval informačný systém Úradu geodézie, kartografie a katastra SR. Incident v praxi ukázal, že kybernetická bezpečnosť nie je abstraktnou témou zo smerníc. Ide o reálne prevádzkové riziko, ktoré môže ochromiť dôležité systémy v priebehu hodín.

compliance ako biznis riziko

Debata o compliance sa príliš často sústreďuje na pokuty. Sankcia je až posledným dôsledkom, predtým prichádzajú reputačné poškodenie, strata obchodných partnerov a problémy s financovaním. Zákon o ochrane pred legalizáciou príjmov z trestnej činnosti priamo predpokladá zverejňovanie právoplatných rozhodnutí o uložení sankcie. Ide o tzv. naming and shaming, ktorý má byť ešte systematickejší v rámci nového európskeho balíka.

Pre malé a stredné podniky, ktoré stavajú na dôvere a dlhodobých vzťahoch, môže byť zverejnenie rozhodnutia o porušení zákona devastujúcejšie ako samotná pokuta. To platí aj v prípade kybernetického incidentu. Compliance problematika tak nie je len o ochrane pred pokutou, ale aj o ochrane obchodného modelu.

Pre podnikateľov je otázka, či si na túto problematiku zaobstarať vlastného compliance špecialistu alebo využiť externého poradcu. V praxi však väčšinou platí, že veľkosť a náklady interného riešenia sú pre firmy s desiatkami zamestnancov príliš vysoké. Rozhoduje hlavne to, v akej oblasti firma podniká, či povinnosti vyplývajú súčasne z viacerých regulačných režimov, aká je frekvencia operatívnych rozhodnutí a veľkosť firmy.

Pre väčšinu malých a stredných podnikov teda platí, že externý compliance poradca je racionálnejšou a spravidla nákladovo efektívnejšou voľbou.

brusel dáva, Brusel berie

Regulačná vlna, ktorá zasiahla slovenské firmy v posledných dvoch rokoch, nie je výnimočným javom. Je začiatkom nového štandardu. V čase, keď sa firmy začali adaptovať na rozsiahle povinnosti, Európska komisia vlani predstavila návrh balík pod názvom Omnibus. Ide o legislatívnu iniciatívu, ktorej cieľom je výrazne znížiť regulačnú záťaž podnikov. Nové opatrenia sľubujú zníženie administratívnej záťaže spoločností o 25 percent, pre malé a stredné podniky až o 35 percent.

Najvýraznejšou zmenou je zúženie pôsobnosti smernice, ktorá vyžaduje, aby veľké spoločnosti a kótované firmy systematicky zverejňovali podrobné informácie o udržateľnosti. Povinnosť vykazovania sa po novom bude vzťahovať len na veľké spoločnosti s viac než tisíc zamestnancami a obratom nad 450 miliónov eur. To predstavuje zúženie pôsobnosti smernice o takmer 85 percent. Termín povinného vykazovania sa posúva o dva roky.

Firmy, ktoré si však myslia, že Omnibus znamená koniec regulačného tlaku, sa mýlia. Zjednodušuje len jeden reporting, nie kybernetickú bezpečnosť, ochranu oznamovateľov ani boj proti praniu peňazí. Pre slovenské malé a stredné podniky platí jedno jednoduché pravidlo: ignorovanie compliance nie je úspora nákladov, je to odložená pokuta aj s úrokmi.