Oznamovacie povinnosti NIS-2: 24-hodinové včasné varovanie v praxi

Oznamovacie povinnosti podľa NIS-2 zaväzujú dotknuté subjekty hlásiť významné bezpečnostné incidenty v stupňovitej kaskáde lehôt: včasné varovanie do 24 hodín, úplné hlásenie do 72 hodín a záverečnú správu do jedného mesiaca, vždy príslušnému orgánu, respektíve národnému CSIRT. Táto kaskáda je operatívnym jadrom, od ktorého závisí, či organizácia dokáže svoje oznamovacie povinnosti splniť.

• Tri lehoty, jeden spúšťač: 24 hodín včasné varovanie, 72 hodín úplné hlásenie, jeden mesiac záverečná správa, počítané od okamihu, keď sa subjekt o incidente dozvie, nie od jeho začiatku.
• Jeden kanál príjemcu: príslušný národný orgán, resp. CSIRT (v Rakúsku príslušný CSIRT, pre podniky v súčasnosti CERT.at, pod dohľadom Spolkového úradu pre kybernetickú bezpečnosť podriadeného BMI; v Nemecku BSI).
• Skutočným úzkym hrdlom nie je formulár, ale detekcia: kto si incident všimne neskoro, má súboj s 24-hodinovou lehotou už prehratý.

Prečo kaskáda lehôt existuje

NIS-2 nahrádza pôvodnú smernicu NIS a výrazne rozširuje rozsah pôsobnosti. V Nemecku sa podľa odhadu BSI počet dotknutých podnikov zvyšuje z približne 4 500 na zhruba 29 500; v Rakúsku je zahrnutých približne 4 000 podnikov v 18 sektoroch. So šírkou rozsahu pôsobnosti rastie aj význam fungujúceho oznamovacieho systému: orgány z prichádzajúcich hlásení zostavujú obraz o situácii, varujú ďalšie subjekty a koordinujú postup pri cezhraničných incidentoch.

Stupňovitá logika zohľadňuje reálny konflikt. V prvých hodinách bezpečnostného incidentu sú fakty nejasné, pretože úplná forenzná analýza ešte nie je k dispozícii. Orgány však zároveň potrebujú včasný signál. Kaskáda to rieši tak, že najprv vyžaduje málo, ale rýchlo (včasné varovanie), a obsahovú hĺbku dopĺňa v priebehu 72 hodín a jedného mesiaca.

Rozhodujúci a často prehliadaný bod: lehoty plynú od okamihu, keď sa subjekt o významnom incidente dozvie (awareness), nie od momentu, keď útok skutočne začal. Tým sa riziko v oblasti compliance presúva dopredu, do detekcie. Práve tu sa prejavuje štrukturálna asymetria, ktorú organizácie na strane obrany v roku 2026 poznajú: útočníci pracujú asynchrónne a neúspešné pokusy môžu bez následkov opakovať, zatiaľ čo obrancov viaže 24-hodinové včasné varovanie.

Tri stupne podrobne: lehota, obsah, príjemca

Nasledujúca tabuľka zhŕňa kaskádu NIS-2. Slúži na orientáciu; presná podoba vyplýva z príslušného národného transpozičného zákona.

Dôležité: ak incident v čase mesačnej správy ešte trvá, namiesto záverečnej správy sa najprv podáva správa o pokroku; konečná správa nasleduje po ukončení riešenia incidentu.

Kto je príjemcom a čo sa mení v DACH?

NIS-2 je smernica EÚ a konkrétny účinok má až prostredníctvom národných transpozičných zákonov. Pre prax v regióne DACH to znamená rôznych adresátov a rôzne harmonogramy:

• Nemecko: Zákon o transpozícii NIS2 (NIS2UmsuCG) je účinný od 6. decembra 2025, bez prechodného obdobia. Príslušné je BSI; registračný portál bol otvorený začiatkom roka 2026. BSI oznámilo, že bude neregistrované subjekty aktívne vyhľadávať.
• Rakúsko: NISG 2026 bol vyhlásený 23. decembra 2025 a je účinný od 1. októbra 2026. Základné a dôležité subjekty hlásia významné kybernetické bezpečnostné incidenty podľa § 34 ods. 1 sektorovému CSIRT, ktorý je pre ne príslušný, a ak taký neexistuje, národnému CSIRT. Kým sektorové CSIRT nie sú poverené, prijíma hlásenia CERT.at ako národný CSIRT cez oznamovaciu platformu USP; pre verejnú správu je príslušný GovCERT (§ 8 ods. 4). Orgánom dohľadu je podľa § 3a Spolkový úrad pre kybernetickú bezpečnosť, ktorý je priamo podriadený Spolkovému ministerstvu vnútra (BMI). Subjekty sa musia zaregistrovať do troch mesiacov od nadobudnutia účinnosti zákona (§ 29 ods. 3). Zákon stavia na vlastnom zaradení a vlastnom vyhlásení dotknutých subjektov.
• Švajčiarsko (pre kontext): Švajčiarsko nie je viazané smernicou NIS-2, no s revidovaným zákonom o informačnej bezpečnosti má paralelný režim. Prevádzkovatelia kritickej infraštruktúry musia od 1. apríla 2025 hlásiť závažné kybernetické útoky do 24 hodín Spolkovému úradu pre kybernetickú bezpečnosť (BACS); za prvých šesť mesiacov tam prišlo 164 hlásení.

Pre podniky pôsobiace vo viacerých krajinách DACH z toho vyplýva nepríjemná realita: viacero oznamovacích kanálov, viacero orgánov, sčasti rozdielne prahové hodnoty. K tomu pribúdajú ďalšie režimy s vlastnou, no štrukturálne podobnou oznamovacou logikou. EU Cyber Resilience Act platí naprieč odvetviami pre produkty s digitálnymi prvkami. Výrobcovia musia od 11. septembra 2026 hlásiť aktívne zneužívané zraniteľnosti a závažné bezpečnostné incidenty, ktoré sa týkajú ich produktov: včasné varovanie do 24 hodín, hlásenie do 72 hodín, vždy príslušnému CSIRT cez centrálnu oznamovaciu platformu, ktorú prevádzkuje agentúra ENISA. Pre finančný sektor platí DORA, ktorá pri IKT incidentoch klasifikovaných ako závažné stanovuje vlastné stupňovité hlásenie s prvotným hlásením do štyroch hodín po klasifikácii.

Konkrétny príklad: 24-hodinový odpočet beží

Stredne veľký strojársky podnik (podľa NIS-2 pravdepodobne „dôležitý subjekt“) si v piatok o 22:14 všimne nezvyčajné autentifikačné udalosti. Detekcia je v roku 2026 typickým úzkym hrdlom: prieskumy ukazujú, že vysoký podiel detekcií je „malware-free“, pretože útočníci sa namiesto vlámania prihlasujú platnými prístupovými údajmi, a že sú dramaticky rýchlejší (priemerný breakout time 29 minút v roku 2025, najrýchlejšia pozorovaná hodnota 27 sekúnd). Oneskorená detekcia alebo detekcia, ktorú cez víkend nikto nezabezpečuje, tu stojí hodiny, ktoré potom pri 24-hodinovej lehote chýbajú.

Zjednodušený priebeh:

```
22:14 Awareness: zistené anomálne prihlásenia (T0, lehota začína plynúť)
→ 24h odpočet beží do soboty 22:14
23:30 Prvotné posúdenie: podozrenie na kompromitovanú identitu, významný?
So 03:00 Včasné varovanie orgánu/CSIRT (do 24 h):
"Významný incident, podozrenie na zlomyseľné konanie,
cezhraničný dopad momentálne nemožno vylúčiť"
→ 72h odpočet beží do pondelka 22:14
Po 18:00 Úplné hlásenie (do 72 h):
stupeň závažnosti, dotknuté systémy, indikátory, prvé opatrenia
+1 mesiac Záverečná správa: analýza príčin, náprava, poučenia z incidentu
```

Rozhodujúce je, že včasné varovanie bolo treba odoslať v noci a cez víkend. Bez schopnosti detekcie 24/7, či už cez vlastný SOC, poskytovateľa MDR alebo triáž s podporou AI, by 24-hodinovú lehotu v praxi nebolo možné dodržať.

Ako pomáha proces alebo agent a kde je hranica

SOC nástroje s podporou AI sa zameriavajú presne na tri kritické body kaskády: detekcia, dokumentácia, sledovanie lehôt. V produkčných nasadeniach sú doložené výrazné zisky efektivity pri triáži na úrovni Tier 1: poskytovatelia uvádzajú o 70 až 90 percent menej manuálne spracovaných alertov; podľa údajov niektorých nástrojov trvá vyšetrovanie niekoľko minút oproti zhruba 25 minútam pri manuálnej práci. Pre oznamovaciu povinnosť je to relevantné, pretože rýchlejšia a spoľahlivejšia detekcia spustí 24-hodinový odpočet skôr a presnejšie.

Zmysluplné podporné funkcie pozdĺž kaskády:

• Detekcia: obohacovanie alertov, korelácia naprieč viacerými zdrojmi, deduplikácia a prioritizácia, aby bol významný incident vôbec včas rozpoznateľný ako taký.
• Dokumentácia: automatické, auditovateľné a nemenné protokolovanie časových značiek, dotknutých systémov, vykonaných krokov a indikátorov kompromitácie ako podklad pre 72-hodinové hlásenie a záverečnú správu.
• Sledovanie lehôt: workflow incidentu, ktorý od okamihu awareness odpočítava 24-hodinovú, 72-hodinovú a mesačnú lehotu, spúšťa eskalácie a priebežne zobrazuje stav (včasné varovanie odoslané / hlásenie čaká na podanie / správa sa má odovzdať).

Hranica však zostáva jasná: v roku 2026 nefunguje žiadny produkčne zrelý SOC autonómne bez ľudskej kontroly v kritických rozhodovacích bodoch. Pre oznamovaciu povinnosť sú obzvlášť relevantné dve riziká. Po prvé halucinovaná atribúcia incidentu: veľké jazykové modely vytvárajú vierohodne znejúce, no nesprávne priradenia k skupinám páchateľov alebo geografickým oblastiam, a nesprávny údaj poskytnutý orgánu má vážne následky. Po druhé auditovateľnosť: NIS-2 vyžaduje dôkazy o tom, ako sa rozhodovalo; závery generované AI musia zostať vysledovateľné a overiteľné. Posúdenie významnosti, obsahové schválenie a komunikácia s orgánom preto zostávajú v zodpovednosti človeka. Agent urýchľuje a dokumentuje, ale nerozhoduje a sám nič navonok nehlási.

Praktická poznámka z reality obrancov: logy, phishingové e-maily a prieskumná sieťová prevádzka (reconnaissance) môžu zámerne obsahovať vložené inštrukcie typu prompt injection, ktoré manipulujú LLM na strane obrany. Kto zapája AI do oznamovacieho procesu, mal by poznať obranu proti prompt injection nasadeného nástroja a dať ju otestovať.

Praktická príprava v piatich bodoch

1. Stanoviť definíciu awareness: Kedy sa incident považuje za „známy“? Tento okamih spúšťa všetky lehoty a musí byť jednoznačne zdokumentovaný.
2. Zabezpečiť detekciu 24/7: vlastný SOC, poskytovateľ MDR alebo triáž s podporou AI: bez nepretržitej detekcie nemožno 24-hodinovú lehotu dodržať.
3. Vopred vyjasniť oznamovací kanál: registrácia u príslušného orgánu, prístupové údaje k oznamovaciemu portálu, určené zodpovedné osoby.
4. Workflow incidentu so sledovaním lehôt: proces, ktorý pokrýva všetky tri stupne a automaticky spúšťa eskalácie.
5. Otestovať oznamovací proces: tabletop cvičenia, ktoré realisticky precvičia 24-hodinové včasné varovanie, vrátane nočného a víkendového scenára.

Pre agentúry a B2B rozhodovateľov

Pre marketingové agentúry a B2B poskytovateľov služieb je oznamovacia povinnosť podľa NIS-2 relevantná z dvoch dôvodov. Po prvé ako téma dodávateľského reťazca: kto pracuje pre základný alebo dôležitý subjekt, na toho sa cez zmluvné požiadavky v praxi často prenášajú očakávania tohto subjektu v oblasti bezpečnosti a hlásenia, a spoľahlivé procesy detekcie a dokumentácie sa stávajú kritériom výberu v tendroch. Po druhé ako oblasť obsahu a poradenstva: kaskáda lehôt si vyžaduje vysvetlenie, ľudia ju často vyhľadávajú a je prirodzeným východiskom pre podložený obsah, ktorý sa dá citovať. Blck Alpaca na to navrhuje znalostné bázy a procesné stavebné bloky s podporou AI, ktoré prepájajú detekciu, dokumentáciu a sledovanie lehôt, ako spoľahlivý základ, nie ako náhradu ľudskej zodpovednosti v oznamovacom procese.

Poznámka: Tento príspevok slúži na odbornú orientáciu a nepredstavuje právne poradenstvo. Konkrétne prahové hodnoty, zaradenia a postupy podľa NIS-2, NIS2UmsuCG, NISG 2026, CRA alebo DORA treba vyjasniť s kvalifikovanými poradcami v príslušnej jurisdikcii.