Na čo plán slúži
Plán odpovedá na otázku, ktorú položí každý kontrolór NBÚ aj certifikačný audítor ako prvú: ako vaša organizácia zabezpečuje, že zamestnanci, vedenie a dodávatelia s prístupom do systémov vedia rozpoznať hrozby a konať? Bez písomného plánu je odpoveď sled dobrých úmyslov. S plánom je to overiteľný program s vlastníkom, kalendárom a záznamami.
Plán nie je školenie samotné. Je to rámec, ktorý určuje, aké školenia a overenia prebehnú, komu, ako často a čo sa z nich uchová. Školiace materiály, phishingové simulácie a kvízy sú potom jeho vykonaním. Pojem kybernetická hygiena vymedzuje, aké návyky má plán u ľudí vybudovať.
Čo má plán obsahovať
- Cieľ programu a väzbu na analýzu rizík: ktoré riziká (phishing, sociálne inžinierstvo, únik údajov, zneužitie prístupov) má povedomie znižovať a prečo práve v zvolenej periodicite.
- Cieľové skupiny s rozdielnym obsahom: štatutárny orgán a vrcholový manažment, všetci zamestnanci, administrátori a privilegované roly, tretie strany s prístupom do systémov.
- Formy vzdelávania: vstupné školenie pred pridelením prístupov, pravidelné opakované školenie, cielené školenie podľa roly, phishingové simulácie a lekcia hneď po chybe.
- Témy: rozpoznanie phishingu a podvodných správ, heslá a viacfaktorové overenie, práca s osobnými a citlivými údajmi, hlásenie incidentov, vlastné interné smernice.
- Periodicitu každej formy a jej odôvodnenie.
- Overovanie účinnosti: kvíz po školení, miera kliknutí a miera nahlásení z phishingových simulácií, cieľové hodnoty a trend.
- Záznamy: čo sa uchováva, kde, ako dlho a kto za to zodpovedá.
- Vyhodnotenie a aktualizáciu: kto plán raz ročne vyhodnotí, čo sa stane s výsledkami a kto schvaľuje zmeny.
Vzorová štruktúra na jednu stranu
| Časť plánu | Čo uviesť | Dôkaz pri kontrole |
|---|---|---|
| Rozsah a ciele | pôsobnosť, riziká z analýzy rizík, cieľové hodnoty metrík | schválený plán s dátumom, podpisom a verziou |
| Roly a skupiny | vedenie, zamestnanci, administrátori, dodávatelia; vlastník programu | organizačná štruktúra, zmluvné doložky pre tretie strany |
| Formy a témy | vstupné, opakované, cielené školenie, simulácie, lekcia po chybe | osnovy modulov, scenáre simulácií |
| Kalendár | periodicita podľa skupiny, termíny v roku | harmonogram a záznamy o jeho plnení |
| Overenie účinnosti | metriky, spôsob merania, cieľové hodnoty | reporty zo simulácií a kvízov, trend medzi kampaňami |
| Záznamy a vyhodnotenie | čo, kde, ako dlho; ročné vyhodnotenie a opatrenia | záznamy za každú osobu, zápis z vyhodnotenia |
Ako nastaviť periodicitu
Vyhláška č. 227/2025 stanovuje spodnú hranicu bezpečnostného vzdelávania najmenej raz za tri roky, no vyžaduje, aby zvolená periodicita vychádzala z analýzy rizík. Pri phishingu, ktorý podľa ENISA stojí za zhruba 60 % prienikov, sa trojročný interval obhajuje ťažko. V praxi obstojí kombinácia troch vrstiev:
- Vstupné školenie pre každého nového zamestnanca a dodávateľa pred pridelením prístupov.
- Krátke opakované kontaktné body počas roka: štvrťročná phishingová simulácia s lekciou pre tých, ktorí naletia, a jeden alebo dva krátke moduly ročne.
- Ročné zdokumentované sedenie pre štatutárny orgán a vedenie, ktoré vyhláška menuje osobitne.
Hotový dvanásťmesačný kalendár školení a simulácií, ktorý tieto vrstvy spája, nájdete v článku NIS2 školenie zamestnancov.
Záznamy, ktoré NBÚ a audítor žiadajú
- Schválený plán s verziou a dátumom poslednej aktualizácie.
- Záznamy o školení štatutárneho orgánu a vedenia.
- Vstupné a opakované záznamy za každú osobu: kto, čo, kedy a s akým výsledkom.
- Hlbšie záznamy pre administrátorov a privilegované roly.
- Pokrytie tretích strán s prístupom, buď vlastným školením, alebo zmluvou.
- Výsledky overenia účinnosti, typicky report z phishingovej simulácie s mierou kliknutí, zadania údajov a nahlásení podľa tímov.
- Zápis z ročného vyhodnotenia s nadväzujúcimi opatreniami.
Platforma, ktorá spája simulácie so školením, vyrobí väčšinu týchto záznamov sama: kto školenie dokončil, s akým skóre a ako sa po ňom zmenilo správanie. Čo presne obsahuje dôkazový priečinok pre kontrolu NBÚ, rozoberá NIS2 checklist pre firmy; ako sa program premietne do požiadaviek normy, vysvetľuje ISO 27001 školenie zamestnancov.
Časté otázky
Je plán rozvoja bezpečnostného povedomia povinný pre každú firmu?
Písomný plán vyžaduje vyhláška NBÚ č. 227/2025 Z. z. od subjektov v pôsobnosti zákona č. 69/2018 Z. z., teda od kľúčových a dôležitých subjektov zapísaných v registri NBÚ. Firmám mimo pôsobnosti zákona ho nič neukladá, no certifikačný audítor ISO 27001 pri článku 7.3 a opatrení A.6.3 hľadá v praxi ten istý dokument.
Kto plán schvaľuje a kto za jeho plnenie zodpovedá?
Plán schvaľuje štatutárny orgán alebo ním poverený manažér kybernetickej bezpečnosti; zodpovednosť za bezpečnostné opatrenia nesie podľa zákona vedenie, nie IT oddelenie. Za vykonanie plánu zodpovedá menovaný vlastník programu, ktorý vedie kalendár, záznamy a ročné vyhodnotenie.
Musí byť súčasťou plánu phishingová simulácia?
Vyhláška slovo simulácia nepoužíva, žiada však preukázateľné vzdelávanie a vyhodnotenie jeho účinnosti. Phishingová simulácia je najjednoduchší akceptovaný spôsob, ako účinnosť zmerať: dá vám mieru kliknutí a mieru nahlásení pred školením a po ňom. Preto ju väčšina plánov uvádza ako nástroj overenia.
Ako často plán aktualizovať?
Najmenej raz ročne pri vyhodnotení programu a vždy po významnej zmene: nové systémy, nové roly, zmena analýzy rizík, nový právny predpis alebo incident. Každá verzia má mať dátum, číslo verzie a podpis schvaľovateľa, aby sa pri kontrole dalo ukázať, čo platilo kedy.