--- title: "NIS2 a rakúsky zákon NISG 2026" description: "Povinnosti vyplývajúce z NIS2 a rakúskeho zákona NISG 2026 pre kybernetickú bezpečnosť pri nasadení AI Agents." locale: "sk" canonical: "https://blckalpaca.at/sk/vedomosti/ai-agenti/nis2-a-nisg-2026" category: "AI agenti" updated: "2026-07-29T08:53:26.179Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # NIS2 a rakúsky zákon NISG 2026 Povinnosti vyplývajúce z NIS2 a rakúskeho zákona NISG 2026 pre kybernetickú bezpečnosť pri nasadení AI Agents. > **Upozornenie:** Tento príspevok je informatívny a nenahrádza právne poradenstvo. Údaje o rakúskej transpozícii NISG a o lehotách je potrebné chápať ako **provizórne**, pokiaľ národná legislatíva v roku 2026 ešte nie je definitívne v účinnosti, resp. zverejnená. Pre záväzné posúdenia si prosím prizvite kvalifikovaný právny servis. ## Čo je NIS-2 a čo je NISG 2026? **Smernica NIS-2** (Directive (EU) 2022/2555, „Network and Information Security Directive 2") je centrálnym právnym rámcom EU pre vysokú spoločnú úroveň kybernetickej bezpečnosti v Únii. Nahrádza prvú smernicu NIS z roku 2016 a reaguje na jej známe slabiny: príliš úzky rozsah pôsobnosti, nejednotnú transpozíciu a slabé presadzovanie. NIS-2 nadobudla účinnosť 16. januára 2023; lehota na transpozíciu do národného práva uplynula **17. októbra 2024**. Ako smernica nemá NIS-2 priamy účinok voči podnikom, ale musí byť členskými štátmi pretavená do národného práva. V **Rakúsku** sa to deje prostredníctvom nového znenia **zákona o bezpečnosti sietí a informačných systémov (NISG)**, v **Nemecku** prostredníctvom zákona o transpozícii NIS2 a posilnení kybernetickej bezpečnosti, vo **Švajčiarsku** cez samostatnú, na NIS-2 neviazanú cestu (o.i. povinnosť hlásenia pre kritické infraštruktúry v zákone o informačnej bezpečnosti). Dôležité pre prax: Rakúsko aj Nemecko prekročili lehotu na transpozíciu. Provizórny stav 2026 je taký, že národné zákony sa nachádzajú v pokročilých, ale ešte nie vo všetkých bodoch definitívne uzavretých konaniach. Organizácie by preto mali aktívne sledovať okamih nadobudnutia účinnosti a registrácie a nespoliehať sa na pevný dátum. Strategické jadro: NIS-2 posúva kybernetickú bezpečnosť z dobrovoľnej IT úlohy na **zákonom záväznú governance požiadavku relevantnú pre predstavenstvo** s osobnou zodpovednosťou riadiacich orgánov. ## Kto je dotknutý? Zásadné a dôležité subjekty NIS-2 oproti starej smernici masívne rozširuje rozsah pôsobnosti. Dotknutosť vyplýva v zásade z dvoch kritérií: **sektor** a **veľkosť**. NIS-2 rozlišuje **zásadné subjekty** („essential entities") a **dôležité subjekty** („important entities"). Sektory sú upravené v dvoch prílohách: Príloha I zahŕňa sektory s vysokou kritickosťou (o.i. energetika, doprava, bankovníctvo, infraštruktúra finančného trhu, zdravotníctvo, pitná voda, odpadové vody, **digitálna infraštruktúra**, **riadenie IKT služieb** v B2B, verejná správa, vesmír). Príloha II zahŕňa ďalšie kritické sektory (o.i. poštové a kuriérske služby, odpadové hospodárstvo, chémia, potraviny, spracovateľský priemysel/výroba, **poskytovatelia digitálnych služieb** ako online trhoviská, vyhľadávače a platformy sociálnych médií, výskum). Pre veľkostný prah platí v zásade **„size-cap pravidlo"**: zachytené sú stredné a veľké podniky, teda od **50 zamestnancov** alebo s **ročným obratom/bilančnou sumou viac ako 10 mil. EUR**. Pod touto hranicou NIS-2 spravidla neplatí, s výnimkami pre určitých kritických poskytovateľov (napr. DNS služby, TLD registre, kvalifikovaní poskytovatelia dôveryhodných služieb, určití poskytovatelia verejných komunikačných sietí), ktorí môžu byť zachytení nezávisle od svojej veľkosti. | Kritérium | Zásadný subjekt | Dôležitý subjekt | | --- | --- | --- | | Typická veľkosť | Veľké podniky (od \~250 zamestnancov alebo >50 mil. EUR obratu) v sektoroch prílohy I | Stredné podniky (od 50 zamestnancov / 10 mil. EUR), ako aj sektory prílohy II | | Dohľad | Proaktívny (aj kontroly bez podnetu) | Reaktívny (spravidla na základe podnetu) | | Rámec pokút (NIS-2) | až 10 mil. EUR alebo 2 % celosvetového ročného obratu | až 7 mil. EUR alebo 1,4 % celosvetového ročného obratu | | Bezpečnostné povinnosti (čl. 21/23) | Identické | Identické | Centrálny praktický bod: Neexistuje **žiadne úradné predbežné zaradenie** pre každú organizáciu. Dotknuté subjekty musia svoju dotknutosť **zistiť samy** a, podľa národného usporiadania NISG, sa v stanovených lehotách **zaregistrovať**. Táto povinnosť sebahodnotenia sa týka mnohých podnikov, ktoré sa doteraz nechápali ako „kritická infraštruktúra", napríklad výrobcov, potravinárske alebo výskumné organizácie. ## Povinnosti kybernetickej bezpečnosti a riadenia rizík (čl. 21) Jadrom NIS-2 je **článok 21**: dotknuté subjekty musia prijať „vhodné a primerané technické, prevádzkové a organizačné opatrenia" na zvládnutie rizík pre svoje siete a informačné systémy. Meradlo je založené na rizikách a orientuje sa na stav techniky. NIS-2 explicitne uvádza minimálny katalóg, ktorý zahŕňa minimálne: - **Analýzu rizík** a koncepcie pre bezpečnosť informačných systémov - **Zvládanie bezpečnostných incidentov** (incident handling) - **Business continuity** a krízové riadenie (backup, obnova) - **Bezpečnosť dodávateľského reťazca** vrátane vzťahov s dodávateľmi a poskytovateľmi služieb - **Bezpečnosť pri obstarávaní, vývoji a údržbe** systémov, vrátane riadenia zraniteľností - **Postupy na hodnotenie účinnosti** opatrení - **Kyberhygienu** a školenia - **Kryptografiu a šifrovanie** - **Personálnu bezpečnosť, riadenie prístupu** a asset management - **Multifaktorovú autentifikáciu (MFA)**, zabezpečenú komunikáciu a núdzovú komunikáciu [**Prevádzka AI Agentov**](/sk/sluzby/integracia-ai-agenta) spadá do tohto rámca vo viacerých ohľadoch: [AI Agent](/sk/slovnik/ai-agent) je sieťový a informačný systém v zmysle smernice, typicky pristupuje k ďalším systémom prostredníctvom Tools, [API](/sk/slovnik/api) a [MCP](/sk/slovnik/mcp) pripojení a potenciálne spracúva údaje hodné ochrany. Tým sú riadenie prístupu, šifrovanie, logovanie, riadenie zraniteľností a hodnotenie dodávateľského reťazca bezprostredne relevantné. Kto prevádzkuje [AI](/sk/slovnik/ai) Agentov produktívne v dotknutom sektore, musí tieto komponenty integrovať do riadenia rizík NIS-2, nie ako add-on, ale ako súčasť bežnej bezpečnostnej koncepcie. ## Povinnosti hlásenia: režim 24/72 hodín NIS-2 zavádza stupňovaný, úzko časovaný postup hlásenia **závažných bezpečnostných incidentov** („significant incidents") príslušnému orgánu, resp. národnému CSIRT (Computer Security Incident Response Team). Incident sa zjednodušene považuje za závažný, ak spôsobil (alebo môže spôsobiť) vážne prevádzkové poruchy, finančné straty alebo značné škody pre iných. | Stupeň | Lehota po získaní vedomosti | Obsah | | --- | --- | --- | | **Včasné varovanie** | 24 hodín | Prvotné hlásenie, či je incident pravdepodobne protiprávny/zlovoľný a či by mohol mať cezhraničné dôsledky | | **Hlásenie incidentu** | 72 hodín | Aktualizované hodnotenie, závažnosť, dôsledky, prípadne indikátory kompromitácie | | **Priebežná správa** | na vyžiadanie | Aktualizácia stavu počas prebiehajúceho spracovania | | **Záverečná správa** | 1 mesiac | Podrobný popis, príčiny, prijaté a plánované opatrenia, cezhraničné dôsledky | Pre prevádzku AI Agentov to znamená: je potrebná **schopnosť detekcie a eskalácie**, ktorá je dostatočne rýchla na dodržanie 24-hodinového včasného varovania. Incidenty ako úspešný [útok Prompt Injection](/sk/vedomosti/ai-agenti/bezpecnost-ai-agentov-owasp/prompt-injection-direct-vs-indirect), ktorý donúti Agenta k neautorizovaným volaniam Tools alebo k exfiltrácii dát, kompromitovaný model endpoint alebo únik dát cez nesprávne nakonfigurované pripojenie Tools môžu podliehať povinnosti hlásenia. Logovanie, monitoring a definovaný incident-response proces pre [Agentové systémy](/sk/slovnik/agentove-systemy) sú preto praktickými predpokladmi NIS-2. ## Bezpečnosť dodávateľského reťazca: prienik na poskytovateľov AI a Cloud Jednou z najúčinnejších noviniek je explicitná povinnosť [**zabezpečenia dodávateľského reťazca**](/sk/vedomosti/ai-agenti/nis2-a-nisg-2026/nis2-lieferkette-und-it-dienstleister). Dotknuté subjekty musia posúdiť bezpečnosť svojich priamych dodávateľov a poskytovateľov služieb a výsledky zapracovať do svojho riadenia rizík a do svojich zmlúv. Mali by sa zohľadniť o.i. kvalita bezpečnostných praktík dodávateľa, jeho vývojové procesy a špecifický rizikový profil. Pre prevádzku AI Agentov je to centrálne, pretože typický stack sa silne opiera o externé komponenty: **poskytovatelia [LLM](/sk/slovnik/llm), Cloud/Hosting poskytovatelia, vektorové databázy, Tool a API služby, MCP servery, orchestračné frameworks**. Títo poskytovatelia často sami nie sú priamo dotknutí NIS-2, cez povinnosť dodávateľského reťazca regulovanej zákazníckej organizácie sa však požiadavky NIS-2 fakticky prenášajú aj na nich. V praxi to znamená: [bezpečnostné prísľuby v zmluvách](/sk/vedomosti/ai-agenti/ai-agenti-v-sulade-s-gdpr/auftragsverarbeitung-art-28-ki-anbieter) (AVV/DPA, audit práva, transparentnosť sub-processorov, klauzuly o incident-notification), doklady ako ISO/IEC 27001 alebo SOC-2 správy a zdokumentované hodnotenie dodávateľa. Tu vzniká aj **DACH-špecifický prienik s diskusiou o Sovereign AI**: workloads v regulovaných alebo kritických sektoroch, napríklad [finančné služby pod DORA](/sk/vedomosti/ai-agenti/dora-ai-financny-sektor/dora-ikt-drittparteienrisiko) alebo kritická infraštruktúra pod NIS-2, štrukturálne profitujú z EU-rezidentných, suverénnych AI platforiem, pretože zjednodušujú rezidenciu dát, transparentnosť sub-processorov a hodnotenie dodávateľského reťazca. McKinsey odhaduje globálny trh pre Sovereign AI na približne **600 mld. USD ročne do roku 2030, z toho 180–200 mld. EUR podiel Európy** (McKinsey, citované v [Blck Alpaca](/sk) Research, 2026), indikátor toho, že regulačný tlak (NIS-2, DORA, [EU AI Act](/sk/slovnik/eu-ai-act), [GDPR](https://gdpr-info.eu/)) komerčne nesie suverénne architektonické rozhodnutia. ## Zodpovednosť vedenia organizácie a sankcie NIS-2 výslovne adresuje **riadiace orgány**. Tie musia opatrenia riadenia rizík **schvaľovať, dohliadať na ich implementáciu** a zodpovedať sa za porušenia. Okrem toho sú predpokladané **povinné školenia** pre riadiace orgány, aby tieto mohli hodnotiť kyberriziká a odhadovať dôsledky. Pri závažných porušeniach môžu národné orgány, podľa transpozície, nariadiť aj dočasné pozastavenie riadiacich funkcií. **Rámec pokút** je signifikantný: až do **10 mil. EUR alebo 2 % celosvetového ročného obratu** (podľa toho, ktorá suma je vyššia) pre zásadné subjekty, až do **7 mil. EUR alebo 1,4 %** pre dôležité subjekty. Tým sa kybernetická bezpečnosť posúva na podobnú riziku úroveň predstavenstva ako [GDPR](/sk/slovnik/gdpr). Dôležité v kontexte DACH: konkrétne usporiadanie sankcií, dohľadu a prípadných pravidiel zodpovednosti pre riadiace orgány sa uskutočňuje v **národnom zákone NISG/o transpozícii NIS2** a môže sa od krajiny ku krajine líšiť, uvedené hodnoty sú zadania smernice, národná transpozícia je v detaile potrebné preveriť (informatívne, nie právne poradenstvo). ## Kybernetická bezpečnosť špecifická pre AI Agentov v rámci NIS-2 Autonómni AI Agenti rozširujú útočnú plochu oproti klasickým aplikáciám, pretože interpretujú vstupy, prijímajú rozhodnutia a [prostredníctvom Tools reálne pôsobia na systémy](/sk/vedomosti/ai-agenti/bezpecnost-ai-agentov-owasp/tool-misuse-und-excessive-agency). V rámci riadenia rizík NIS-2 by sa preto mali adresovať minimálne nasledujúce aspekty: - [**Prompt](/sk/slovnik/prompt) Injection a otrava dát** ako primárna trieda hrozieb, obsahy z e-mailov, dokumentov alebo webových stránok môžu zviesť Agenta k nezamýšľaným akciám. Protiopatrenia: validácia vstupov, oddelenie inštrukčného a dátového kontextu, filtrovanie výstupov. - **Prístup k Tools podľa princípu Least-Privilege**, Agentov vybaviť len minimálne potrebnými oprávneniami; citlivé volania Tools (platby, mazania, externá komunikácia) zabezpečiť pomocou Human-in-the-Loop. - **Guardrails a vynucovanie politík**, technické mantinely pre prípustné akcie, rate-limits a allow-/deny-listy pre Tools a domény. - **Riadenie identít a prístupu**, silná autentifikácia (MFA), krátkodobé tokeny a čistý secrets management pre identity Agentov. - **Bezmedzerové logovanie a auditovateľnosť**, sledovateľnosť každého rozhodnutia Agenta a každého volania Tools, aby sa splnili povinnosti hlásenia a forenzika. - **Spevnenie dodávateľského reťazca**, zabezpečenie model endpointov, MCP serverov a Tools tretích strán. Tieto opatrenia sa prekrývajú s etablovanými bezpečnostnými katalógmi ako zoznam OWASP Top 10 pre LLM aplikácie a zoznam OWASP pre agentické systémy. NIS-2 tieto katalógy priamo nepredpisuje, dodáva však právny podnet na ich záväzné ukotvenie v bezpečnostnej koncepcii. ## Vymedzenie voči EU AI Act, GDPR a DORA NIS-2 je **kyberneticko-bezpečnostný** režim a neprekrýva sa s paralelnými rámcami EU. Čisté vymedzenie zabraňuje tak medzerám, ako aj dvojitej námahe: | Rámec | Chránený statok / fokus | Vzťah k AI Agentom | | --- | --- | --- | | **NIS-2 / NISG** | Kybernetická bezpečnosť, odolnosť, hlásenie incidentov | AI systém ako asset, ktorý treba chrániť/zabezpečiť, a riziko dodávateľského reťazca | | **EU AI Act** | Bezpečnosť produktov, základné práva, rizikové triedy | Klasifikuje AI systémy (napr. vysokorizikové, povinnosti transparentnosti čl. 50) | | [**GDPR**](/sk/slovnik/gdpr-2) | [Ochrana osobných údajov](/sk/slovnik/ochrana-osobnych-udajov) | Spracúvanie údajov Agentmi, právne základy, práva dotknutých osôb | | **DORA** | Digitálna prevádzková odolnosť vo finančnom sektore | Lex specialis pre BFSI, miestami prísnejší ako NIS-2 | V regulovaných odvetviach pôsobí viacero režimov súčasne. [**DORA**](https://digital-strategy.ec.europa.eu/en/policies/nis2-directive) ako sektorovo špecifická špeciálna úprava pre finančný sektor vo veľkej miere vytláča požiadavky NIS-2, miestami však ide nad ich rámec. Pragmaticky sa odporúča využívať etablované manažérske štandardy ako spoločnú implementačnú baseline: **ISO/IEC 27001** pre systém riadenia informačnej bezpečnosti (ISMS) a **ISO/IEC 42001** (AI management system, december 2023) pre AI governance. ISO/IEC 42001 sa podľa Blck Alpaca Research (2026) čoraz viac vyvíja na „multi-jurisdictional-compliance-simplifier", ktorý sa naprieč viacerými právnymi poriadkami referencuje ako prudenčný baseline kotva. ## Praktický výhľad a odporúčanie na konanie Provizórny stav 2026 pre DACH priestor znie: povinnosti NIS-2 sú obsahovo jasné prostredníctvom smernice, **národná transpozícia v Rakúsku (NISG) a v Nemecku sa odkladá** za rámec lehoty EU (17. októbra 2024) a presné podrobnosti o registrácii, lehotách a sankciách vyplynú až z finálneho národného zákona. Organizácie by si tento odklad **nemali nesprávne vykladať ako odklad povinnosti**: materiálne požiadavky sú predvídateľné a čas na prípravu spoľahlivého riadenia rizík je značný. Konkrétne sa odporúča trojstupňový postup: **po prvé** úprimná analýza dotknutosti a veľkosti podľa sektora (vrátane povinnosti samoregistrácie); **po druhé** gap-assessment voči katalógu opatrení čl. 21, ktorý výslovne zahŕňa AI Agentov a ich dodávateľský reťazec; **po tretie** vybudovanie incident-response procesu, ktorý dokáže dodržať 24/72-hodinové okno hlásenia. Pre AI Agentov to znamená: Guardrails, prístup k Tools podľa princípu Least-Privilege, bezmedzerové logovanie a zdokumentované hodnotenie dodávateľa premyslieť od začiatku, najlepšie ukotvené v ISMS (ISO/IEC 27001) a v AI management systéme (ISO/IEC 42001). > **Právne upozornenie (opakovanie):** Tento príspevok slúži na orientáciu a nepredstavuje právne poradenstvo. Finálnu rakúsku transpozíciu NISG, ako aj konkrétne lehoty, prahové hodnoty a sankcie je potrebné v detaile preveriť s kvalifikovaným právnym servisom. Provizórne údaje sú ako také označené. ## Clanky - [Preverenie dotknutosti NIS-2 v Rakúsku: Samozaradenie podľa NISG krok za krokom](https://blckalpaca.at/sk/vedomosti/ai-agenti/nis2-a-nisg-2026/nis2-betroffenheit-pruefung-oesterreich) — Dotknutosť NIS-2 v Rakúsku sa riadi zákonom NISG 2026, ktorý implementuje smernicu EÚ (EÚ) 2022/2555. Dotknuté sú v zásade stredné a väčšie - [Oznamovacie povinnosti NIS-2: 24-hodinové včasné varovanie v praxi](https://blckalpaca.at/sk/vedomosti/ai-agenti/nis2-a-nisg-2026/nis2-meldepflichten-24-stunden-frist) — Oznamovacie povinnosti podľa NIS-2 zaväzujú dotknuté subjekty hlásiť závažné bezpečnostné incidenty v stupňovitej kaskáde lehôt: včasné varo - [NIS-2 dodávateľský reťazec: povinnosti pre IT poskytovateľov dotknutých podnikov](https://blckalpaca.at/sk/vedomosti/ai-agenti/nis2-a-nisg-2026/nis2-lieferkette-und-it-dienstleister) — NIS-2 dodávateľský reťazec označuje bezpečnostné požiadavky, ktoré podnik regulovaný smernicou NIS-2 prostredníctvom zmlúv prenáša na svojic - [NISG 2026 a inštitucionálny dohľad nad kybernetickou bezpečnosťou v Rakúsku](https://blckalpaca.at/sk/vedomosti/ai-agenti/nis2-a-nisg-2026/nisg-2026-bundesamt-cybersicherheit) — NISG 2026 je rakúska národná transpozícia smernice EÚ NIS 2. Bol schválený 12. decembra 2025 v Národnej rade, vyhlásený 23. decembra 2025 a --- Zdroj: [Blck Alpaca](https://blckalpaca.at/sk/vedomosti/ai-agenti/nis2-a-nisg-2026). AI systemy mozu tento obsah pouzit s uvedenim zdroja.