en en

IKT incidenty a hrozby

Informácie k nahlasovaniu závažných IKT incidentov a dobrovoľnému oznamovaniu významných kybernetických hrozieb

Od 17.1.2025 finančné subjekty v pôsobnosti nariadenia DORA nahlasujú Národnej banke Slovenska závažné IKT incidenty a dobrovoľne oznamujú významné kybernetické hrozby. Pri plnení týchto oznamovacích povinností postupujú podľa nasledujúcich predpisov:

  • Delegované nariadenie Komisie (EÚ) 2024/1772 z 13. marca 2024, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, v ktorých sa bližšie určujú klasifikačné kritériá incidentov súvisiacich s IKT a kybernetických hrozieb, stanovujú prahové hodnoty významnosti a spresňujú podrobnosti správ o závažných incidentoch.
  • Delegované nariadenie Komisie (EÚ) 2025/301 z 23. októbra 2024, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, v ktorých sa stanovuje obsah a lehoty na počiatočné oznámenie, a priebežnú a záverečnú správu o závažných incidentoch súvisiacich s IKT a obsah dobrovoľného oznamovania v prípade významných kybernetických hrozieb
  • Vykonávacie nariadenie Komisie (EÚ) 2025/302 z 23. októbra 2024, ktorým sa stanovujú vykonávacie technické predpisy na uplatňovanie nariadenia Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o štandardné formuláre, vzory a postupy pre finančné subjekty na nahlasovanie závažných incidentov súvisiacich s IKT a na oznamovanie významných kybernetických hrozieb

V prípade, že máte pochybnosti pri klasifikácii IKT incidentov, či ho je alebo nie je potrebné hlásiť NBS, môžete využiť aj nášho interaktívneho sprievodcu:

Interaktívny sprievodca klasifikácie IKT incidentov

Hlásenia sa predkladajú elektronicky prostredníctvom informačného systému Štatistický zberový portál formou voľnej prílohy k výkazu s kódom „dor_01“. Akceptované budú výlučne hlásenia vo formáte XLSX vyplnené podľa nasledujúcich šablón:

DORA Incident reporting Template V1.2.2026-05-07.xlsx

130.29 kB

DORA Significant cyber threats Template V1.2.2024-12-20.xlsx

62.75 kB

Finančné subjekty, ktoré sú súčasne prevádzkovateľom základnej služby podľa zákona o kybernetickej bezpečnosti, budú hlásiť závažné IKT incidenty od 17.1.2025 podľa nariadenia DORA do NBS. Zároveň dávame do pozornosti, že týmto subjektom vyplývajú povinnosti zo zákona o kybernetickej bezpečnosti, ktorého novela je účinná už od 1.1.2025.
Aby sa predišlo dvojitému vykazovaniu, prepojenie systémov NBS a NBÚ od 17.1.2025 zabezpečí vytvorenie hlásenia kybernetického bezpečnostného incidentu v JISKB NBÚ na základe údajov z hlásenia zaslaného do NBS cez Štatistický zberový portál.

Subjekty, ktoré nedisponujú prístupom do Štatistického zberového portálu, alebo z technických príčin potrebujú využiť alternatívny kanál, podávajú hlásenie incidentov alebo významných hrozieb zaslaním vyplneného vzoru na emailovú adresu dora-incidenty@nbs.sk.

PopisPole šablónyUsmernenie
Hlásenie bolo predložené vo formáte CSV alebo podľa internej šablónyAkceptované budú výlučne hlásenia predkladané vo formáte XLSX, vyplnené do vyššie uvedených šablón.
Pole „Type of submission“ sa nezhoduje so skutočným typom hlásenia1.1Je nutné, aby pole 1.1 bolo vyplnené v súlade s tým, aký typ hlásenia je predkladaný. Pri predkladaní priebežnej alebo záverečnej správy je nutné pole aktualizovať. Inak hlásenie nebude riadne spracované.
Nekonzistentnosť pri vypĺňaní polí s peňažnými hodnotami3.11, 4.13, 4.14Subjekty sú povinné zabezpečiť, aby všetky peňažné polia, konkrétne Pole 3.11, Pole 4.13 a Pole 4.14, boli vykazované výlučne v tisíckach (napr. 2.5 namiesto 2500). Okrem toho musia byť všetky peňažné sumy vykazované v týchto poliach vyjadrené v rovnakej mene aká je uvedená v Poli 1.15.
V poli „Geographical spread“ bola uvedená aj domovská krajina dotknutého finančného subjektu („SK“)2.6Krajina hlavného dotknutého finančného subjektu sa do poľa 2.6 podľa článku 4 Delegovaného nariadenia Komisie (EÚ) 2024/1772 uvádzať nemá.
Pole 1.4 nebolo vyplnené položkou zo zoznamu alebo boli vyplnené aj typy povolení, ktorými finančný subjekt nedisponuje.1.4Finančný subjekt v poli 1.4 je povinný vybrať zo zoznamu typ svojho povolenia na finančnom trhu. Inak hlásenie nemusí byť riadne distribuované príslušnému orgánu ESA.
Príklad: Banky v poli 1.4 uvádzajú iba typ povolenia „credit institution“, ale nie druh dotknutej služby (napr. investičná činnosť licencovaná podľa zákona o cenných papieroch). Bližšie informácie o tom, akých obchodných procesov sa IKT incident týka, uveďte v poli 3.27.
V poli 2.8 bola vyplnená iba indikácia, či incident má pôvod u externého poskytovateľa (‘Yes’/’No’).2.8VYKONÁVACIE NARIADENIE KOMISIE (EÚ) 2025/302 stanovuje, že ak incident má pôvod u externého poskytovateľa, v poli 2.8 má byť uvedený okrem indikácie aj názov, identifikačný kód externého poskytovateľa a typ identifikačného kódu. Odporúčame toto pole vyplniť hodnotami oddelenými bodkočiarkou ako v nasledujúcom príklade:Yes;AMAZON WEB SERVICES,INC.;2549000I2PRQGGIGCA75;LEI