Čo je kybernetická hygiena
Pojem je zámerne prirovnaním k osobnej hygiene: nejde o jednorazový projekt, ale o drobné úkony, ktoré robí každý a stále. Väčšina incidentov nezačína sofistikovaným útokom, ale neaktualizovaným systémom, znovu použitým heslom alebo kliknutím na odkaz v e-maile, ktorý vyzeral ako faktúra. Kybernetická hygiena mieri presne na tieto miesta.
Agentúra ENISA ju opisuje ako základnú úroveň opatrení, ktorú má zvládnuť každá organizácia bez ohľadu na veľkosť. Smernica NIS2 v odôvodnení 89 menuje konkrétne postupy: zásady nulovej dôvery, aktualizácie softvéru, bezpečnú konfiguráciu zariadení, segmentáciu siete, riadenie identít a prístupov, povedomie používateľov a školenie zamestnancov o phishingu a sociálnom inžinierstve.
Čo do kybernetickej hygieny patrí
- Aktualizácie operačných systémov, prehliadačov a aplikácií v stanovenej lehote, nie podľa nálady používateľa.
- Prihlasovanie odolné voči phishingu: viacfaktorové overenie všade, kde to ide, a passkeys alebo hardvérové kľúče pre privilegované účty. Prečo bežné SMS kódy nestačia, vysvetľuje heslo dokáže phishing obísť MFA?.
- Správa hesiel: dlhé, jedinečné heslá v správcovi hesiel namiesto jedného hesla pre všetko.
- Najnižšie potrebné oprávnenia: bežná práca bez administrátorských práv a pravidelná kontrola, kto má prístup kam.
- Bezpečná práca s e-mailom: overenie odosielateľa, neotváranie neočakávaných príloh a odkazov, DMARC na vlastnej doméne.
- Zálohy, ktoré sú oddelené od siete a ktorých obnova je otestovaná.
- Hlásenie podozrivých správ a udalostí jednoduchou cestou, bez obviňovania toho, kto nahlási.
- Školenie zamestnancov a vedenia, ktoré tieto návyky zavedie a pravidelne obnovuje.
Čo vyžaduje NIS2 a slovenský zákon
Článok 21 ods. 2 písm. g) smernice NIS2 uvádza „základné postupy kybernetickej hygieny a školenie v oblasti kybernetickej bezpečnosti“ medzi minimálnymi opatreniami riadenia rizík, ktoré musí zaviesť každý kľúčový a dôležitý subjekt. Článok 20 ods. 2 k tomu pridáva povinnosť členov riadiacich orgánov absolvovať školenie o kybernetickej bezpečnosti.
Na Slovensku tieto povinnosti prenáša zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení novely č. 366/2024 Z. z., účinnej od 1. januára 2025, a vyhláška NBÚ č. 227/2025 Z. z. o bezpečnostných opatreniach, účinná od 1. septembra 2025. Vyhláška vyžaduje písomný plán rozvoja bezpečnostného povedomia, vstupné školenie pred pridelením prístupu, pravidelné opakované školenia a dokumentované vyhodnocovanie ich účinnosti. Subjekty regulované podľa starého režimu sa môžu riadiť pôvodnými pravidlami len do 31. decembra 2026.
Ako kybernetickú hygienu preukázať
Kontrola NBÚ ani audítor nehodnotia dobré úmysly, ale záznamy. Kybernetická hygiena sa preukazuje na troch úrovniach: že pravidlá existujú, že ich ľudia poznajú a že fungujú.
| Úroveň | Čo predložiť | Odkiaľ to vziať |
|---|---|---|
| Pravidlá existujú | bezpečnostná politika, plán rozvoja bezpečnostného povedomia, politika aktualizácií a prístupov | schválené dokumenty s dátumom a vlastníkom |
| Ľudia ich poznajú | záznamy o vstupnom a opakovanom školení za každú osobu vrátane štatutárneho orgánu a tretích strán | školiaca platforma, prezenčné listiny, potvrdenia o oboznámení |
| Pravidlá fungujú | výsledky overenia účinnosti: miera kliknutí a miera nahlásení z phishingových simulácií, výsledky kvízov, trend medzi kampaňami | report z každej simulácie a zápis z vyhodnotenia s nadväzujúcimi opatreniami |
Tretia úroveň býva najslabšia. Percento absolvovaných kurzov nehovorí nič o správaní; zmena správania sa dá ukázať len meraním, napríklad phishingovým testom zamestnancov pred školením a po ňom. Kompletný zoznam dôkazov pre kontrolu NBÚ obsahuje NIS2 checklist pre firmy.
Časté chyby
- Jeden ročný e-learning bez overenia, ktorý nechá dve z troch vrstiev prázdne: vstupné školenie pred prístupom a vyhodnotenie účinnosti.
- Školenie len pre zamestnancov, hoci vyhláška menuje aj štatutárny orgán a tretie strany s prístupom do systémov.
- Technické opatrenia bez ľudí: MFA a filtre sú zavedené, ale nikto nemeria, či zamestnanci podozrivý e-mail nahlásia.
- Záznamy roztrúsené v e-mailoch a tabuľkách, ktoré sa pri kontrole nedajú v rozumnom čase zložiť dokopy.
Časté otázky
Je kybernetická hygiena to isté ako školenie zamestnancov?
Nie. Školenie je jeden z nástrojov, ktorým sa kybernetická hygiena zavádza a udržiava. Samotná hygiena zahŕňa aj technické a procesné návyky: aktualizácie, viacfaktorové overenie, správu prístupov, zálohy a hlásenie incidentov. NIS2 ich v článku 21 ods. 2 písm. g) menuje spolu, pretože bez školenia pravidlá nikto nedodržiava a bez pravidiel niet čo školiť.
Ako často treba školenie kybernetickej hygieny opakovať?
Smernica ani vyhláška nefixujú jediný interval. Vyhláška č. 227/2025 stanovuje minimum bezpečnostného vzdelávania najmenej raz za tri roky, no zvolenú periodicitu musíte odôvodniť analýzou rizík. Obhájiteľný program kombinuje vstupné školenie pred pridelením prístupov, krátke opakované kontaktné body počas roka a merané overenie účinnosti, napríklad štvrťročnú phishingovú simuláciu.
Týka sa kybernetická hygiena aj vedenia firmy?
Áno, a to výslovne. Článok 20 ods. 2 smernice NIS2 ukladá členom riadiacich orgánov absolvovať školenie o kybernetickej bezpečnosti a slovenská vyhláška menuje štatutárny orgán priamo. Generický e-learning pre zamestnancov túto povinnosť nepokryje; vedenie potrebuje vlastné, zdokumentované a pravidelne opakované sedenie.
Stačí na preukázanie kybernetickej hygieny certifikát z e-learningu?
Certifikát dokazuje účasť, nie účinnosť. Vyhláška č. 227/2025 žiada aj vyhodnotenie účinnosti vzdelávania, takže pri kontrole potrebujete okrem záznamov o absolvovaní aj výsledok overenia: mieru kliknutí a mieru nahlásení z phishingovej simulácie, výsledky kvízov a trend medzi kampaňami, spolu so zápisom o tom, čo ste na základe výsledkov zmenili.