Kybernetický zákon a hosting: čo musí splniť firma pri výbere poskytovateľa (NIS2)

Praktický sprievodca pre slovenské firmy, ktoré prevádzkujú web, e-shop alebo aplikáciu na hostingu či VPS a chcú vedieť, čo vyplýva zo zákona a čo zostáva na nich. Právny stav k 30.09.2026.

Stručná odpoveď

  1. 1Zákon č. 366/2024 Z. z. o kybernetickej bezpečnosti, ktorý na Slovensku preberá smernicu NIS2, je účinný od 1. januára 2025. Dohľad vykonáva Národný bezpečnostný úrad (NBÚ).
  2. 2Zákon sa nevzťahuje na každú firmu s webom. Podľa jeho textu medzi povinné osoby patria aj poskytovatelia cloud computingu, dátových centier, DNS, CDN a spravovaných služieb. Či ste povinnou osobou vy, závisí od vašej činnosti a veľkosti, nie od samotného prenájmu servera.
  3. 3Ak ste povinnou osobou, závažný incident hlásite: včasné varovanie najneskôr do 24 hodín od zistenia a oznámenie najneskôr do 72 hodín od zistenia (§ 24 ods. 3). Súhrn textu zákona uvádza aj záverečnú správu do 30 dní; jej presné znenie si overte v zákone.
  4. 4Hosting je súčasťou vášho dodávateľského reťazca, ale vaše povinnosti za vás neprevezme. Právny stav k 30.09.2026.

Čo zákon č. 366/2024 Z. z. hovorí

Zákon č. 366/2024 Z. z. nahradil predchádzajúcu úpravu (zákon č. 69/2018 Z. z.) a platí od 1. januára 2025. Rozlišuje povinné osoby a určuje, že orgánom pre oblasť kybernetickej bezpečnosti je NBÚ, ktorý vedie registráciu, vykonáva dohľad a môže ukladať sankcie.

Text zákona výslovne pracuje aj s dodávateľským reťazcom: povinná osoba má pri zmluvách s dodávateľmi riešiť bezpečnostné požiadavky. Presné číslovanie a rozsah povinností si preto vždy overte v aktuálnom znení na slov-lex.sk, najlepšie s právnikom.

Hlásenie incidentov a zodpovednosť vedenia

Podľa § 24 ods. 3 sa závažný kybernetický bezpečnostný incident hlási v etapách: včasné varovanie bez zbytočného odkladu, najneskôr do 24 hodín od zistenia, a oznámenie najneskôr do 72 hodín od zistenia. Tieto lehoty plynú povinnej osobe, nie poskytovateľovi, od ktorého si prenajímate infraštruktúru.

Zákon kladie dôraz aj na zodpovednosť vedenia: manažment má zabezpečiť, aby firma incidenty vôbec zaznamenala a mala určené zodpovedné osoby. Ak sa časť úloh presunie na dodávateľa, zodpovednosť zostáva vo firme.

Čo to znamená, keď máte web alebo aplikáciu na hostingu

Rolí je viac. Ako zákazník máte hosting v dokumentácii dodávateľov: zmluva, zmluva o spracúvaní osobných údajov (DPA), kontakty pre prípad incidentu, popis záloh a umiestnenie údajov. Ak sami poskytujete cloud, dátové centrum alebo spravované služby, môžete zákonu podliehať priamo.

Servery 4hosting sú v EÚ, vo Frankfurte, nie na Slovensku. Vaše povinnosti to nemení, ale umiestnenie údajov patrí do dokumentácie dodávateľov.

Tri konkrétne príklady

E-shop na VPS

Bratislavská firma predáva online a rieši, či sa jej zákon týka. Prvým krokom je posúdiť, či jej činnosť a veľkosť spadajú pod povinné osoby. Ak nie, registrácia nie je potrebná, no overené zálohy a aktualizácie zostávajú dobrou praxou.

Softvérová firma s aplikáciou SaaS

Ak je firma povinnou osobou, musí mať popísaných dodávateľov. Hosting patrí do dokumentácie dodávateľského reťazca spolu so zmluvou, DPA, popisom zálohovania a kontaktom pre incidenty.

Incident na produkčnom serveri

Keď ransomvér zablokuje server, lehoty 24 a 72 hodín bežia povinnej osobe. Plán treba mať vopred: kto rozhoduje, kto posiela včasné varovanie, kde sú logy a z ktorej zálohy sa obnovuje.

Na čo sa opýtať poskytovateľa hostingu

  • Kde sú servery fyzicky a aký je rozsah zmluvy o spracúvaní osobných údajov (DPA)?
  • Ako a ako rýchlo poskytovateľ informuje o incidente, ktorý sa môže týkať vašich údajov, a kto je kontakt?
  • Ako funguje zálohovanie: ako často, kde sa ukladá a či sa obnova testovala?
  • Aké certifikácie poskytovateľ skutočne má a čo je len „alignment“? Požiadajte o rozlíšenie písomne.

Najčastejšie chyby

  • Predpoklad, že „server je v EÚ, takže sme v poriadku“. Povinnosti nesie povinná osoba, nie poskytovateľ infraštruktúry.
  • Neposúdenie, či je firma povinnou osobou, a premeškanie zákonných termínov.
  • Chýbajúci písomný postup hlásenia incidentov: s lehotou 24 hodín sa nedá začínať od nuly.
  • Hosting chýba v dokumentácii dodávateľského reťazca (zmluva, DPA, zálohy, kontakty).

Ako pomáha 4hosting

  • Infraštruktúra v EÚ, vo Frankfurte (nie na Slovensku), s ochranou DDoS L3/L4 do 1,5 Tbps.
  • Zmluva o spracúvaní osobných údajov (DPA) podľa čl. 28 GDPR, štandardné zmluvné doložky pre prenosy a súlad so zásadami ISO 27001 (alignment, nie certifikát).
  • Služby DevOps a CyberSecurity v hodinách zahrnutých v pláne: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring. Hodiny sa žiadajú v paneli klienta, nad limit sa fakturuje osobitne.
  • 4hosting nemá certifikát NIS2, ISO ani SOC 2, nepotvrdzuje súlad klienta a nezaručuje jeho právnu zhodu. Nerozhodujeme tu ani o tom, či zákonu podlieha samotný 4hosting.

Časté otázky

Týka sa kybernetický zákon každej firmy s webom?

Nie automaticky. Týka sa povinných osôb z určených oblastí. Overte to v texte zákona č. 366/2024 Z. z., na stránke NBÚ alebo u právnika.

Potvrdí mi 4hosting súlad so zákonom?

Nie. 4hosting poskytuje infraštruktúru, DPA a služby DevOps a CyberSecurity. Súlad vašej firmy zostáva vašou zodpovednosťou.

Kde sú servery 4hosting?

V EÚ, vo Frankfurte. Na Slovensku dátové centrum nemáme.

Pozrite si aj

Sprievodcovia pre slovenské firmy