§ 34b zákona č. 69/2018 Z. z. sa volá „Prechodné ustanovenia k úpravám účinným od 1. januára 2025“. Starším subjektom dal dva roky, počas ktorých mohli ďalej pracovať podľa pôvodných predpisov. Končia sa 31. decembra 2026 — od polovice októbra 2026 zostávajú necelé tri mesiace.
Čo presne 31. decembra 2026 skončí
Dátum 31. decembra 2026 uvádza § 34b v odsekoch 2, 4, 5 a 7. Odsek 8 sa naň neodvoláva, viaže sa na audity, ktoré pripadajú na roky 2025 a 2026. Všetky sú v platnom znení zákona, teda v časovej verzii účinnej od 30. apríla 2026:
- Prevádzkovateľ základnej služby podľa odseku 1 môže dovtedy prijímať a realizovať bezpečnostné opatrenia aj podľa predpisov účinných do 31. decembra 2024 (ods. 5).
- Rovnaký okruh prevádzkovateľov môže dovtedy vykonávať audit podľa predpisov účinných do 31. decembra 2024 (ods. 7).
- Pre I. a II. kategóriu sietí a informačných systémov možno povinnosť auditu, ktorý pripadol na roky 2025 a 2026, splniť samohodnotením cez jednotný informačný systém kybernetickej bezpečnosti (ods. 8). Na audit, ktorý pripadne na rok 2027, sa už nevzťahuje.
- Úrad môže dovtedy aj z vlastnej iniciatívy rozhodnúť, že konkrétna osoba nie je prevádzkovateľom kritickej základnej služby, prípadne základnej služby, lebo nespĺňa podmienky podľa § 18 ods. 1, resp. § 17 ods. 1 (ods. 2 a 4).
Zmena statusu, ktorá prebehla automaticky
Najprehliadanejšia časť § 34b je hneď na jeho začiatku. Kto bol prevádzkovateľom základnej služby podľa znenia účinného do 31. decembra 2024, považuje sa od 1. januára 2025 za prevádzkovateľa kritickej základnej služby. Poskytovateľ digitálnej služby podľa starého znenia sa považuje za prevádzkovateľa základnej služby.
Nevydalo sa o tom rozhodnutie a nikto oň nežiadal. Rozdiel pritom nie je kozmetický. Za tie isté porušenia ukladá zákon prevádzkovateľovi základnej služby pokutu od 300 eur do 7 000 000 eur alebo do 1,4 % celosvetového ročného obratu za predchádzajúce účtovné obdobie (§ 31 ods. 2), prevádzkovateľovi kritickej základnej služby od 500 eur do 10 000 000 eur alebo do 2 % toho istého obratu (§ 31 ods. 3). Platí vyššia z dvoch súm.
Oplatí sa teda vedieť, či úrad vo vašom prípade podľa odseku 2 rozhodol. Po 31. decembri 2026 mu toto ustanovenie takúto možnosť už nedáva.
Samohodnotenie v dvoch rôznych režimoch
Samohodnotenie je v zákone dvakrát a podmienky nie sú rovnaké. Trvalý režim podľa § 29 ods. 8 patrí len prevádzkovateľovi základnej služby, ktorý nie je prevádzkovateľom kritickej základnej služby, a audit ho aj tak čaká do piatich rokov odo dňa zaradenia do registra. Prechodný režim podľa § 34b ods. 8 takéto obmedzenie neobsahuje — viaže sa na kategórie I a II a na audity za roky 2025 a 2026.
Samohodnotenie vykonáva manažér kybernetickej bezpečnosti a výsledok sa doručuje úradu bezodkladne. Ak máte nesplnený audit za rok 2025 alebo 2026, je to otázka na audítora alebo priamo na úrad — teraz, nie v januári.
Čo stihnúť do konca roka
- Overiť zápis v registri — či ste vedení ako prevádzkovateľ kritickej základnej služby a či rozsah zapísaných služieb zodpovedá realite.
- Porovnať bezpečnostnú dokumentáciu s vyhláškou č. 227/2025 Z. z., ktorá od 1. septembra 2025 nahradila vyhlášku č. 362/2018 Z. z.
- Zafixovať dátum začatia auditu písomne, ak audit vychádza na prelom rokov.
- Skontrolovať, či je obsadená rola manažéra kybernetickej bezpečnosti. Bez nej nemá kto samohodnotenie vykonať.
- Dokončiť evidenciu aktív. Analýza rizík, na ktorej stoja opatrenia podľa § 20, sa opiera práve o ňu.
Lehota na prijatie opatrení je 12 mesiacov odo dňa zápisu do registra (§ 19 ods. 1). Subjektom zapísaným pred rokom 2025 uplynula dávno; § 34b ods. 5 im len dovolil splniť ju obsahom starých predpisov. Od januára 2027 táto možnosť nie je.