Firmy sa práve v týchto dňoch dozvedajú, že budú patriť do novo rozšírenej skupiny subjektov kritickej infraštruktúry štátu. Po novom sa to týka napríklad verejnej a železničnej dopravy, nemocníc, potravinárov, poštových služieb alebo priemyslu.
Dotknuté firmy čaká jednorazová investícia rádovo v státisícoch eur a následne minimálne tisíce až desaťtisíce eur ročne na údržbu a prevádzku. Upozornila na to poradenská spoločnosť Moore Advisory SK. Zvýšené náklady môžu premietnuť do koncových cien pre spotrebiteľov.
Ústredné orgány mali podľa nového zákona o kritickej infraštruktúre prvýkrát identifikovať takzvané kritické subjekty najneskôr do 17. júla. Od doručenia oznámenia začína firmám plynúť deväťmesačná lehota na splnenie prvých povinností.
„Medzi dotknutými môžu byť aj subjekty, pri ktorých by to široká verejnosť na prvý pohľad nečakala. Popri nemocniciach či dopravných podnikoch ide napríklad o veľkých priemyselných výrobcov potravín a ich veľkoobchodnú distribúciu, ale aj o farmaceutické alebo chemické podniky. Slovensko totiž ide nad rámec európskej smernice, keď medzi chránené sektory zaradilo aj poštové služby a farmaceutický, hutnícky a chemický priemysel,“ vysvetlil Ivan Lužica z Moore Advisory SK.
Nová legislatíva je transpozíciou európskej smernice o odolnosti kritických subjektov. Na Slovensku ju vykonáva zákon o kritickej infraštruktúre, ktorý nahradil pôvodnú úpravu z roku 2011. Oproti predchádzajúcemu stavu sa okruh chránených subjektov výrazne rozširuje.
Zákon pokrýva 11 sektorov, medzi ktoré patria energetika, doprava vrátane verejnej a železničnej dopravy, financie, poštové služby, zdravotníctvo, voda a atmosféra, digitálna infraštruktúra, verejná správa, vesmír, výroba, spracovanie a distribúcia potravín a priemysel.
Splnenie nových povinností podľa Lužicu nebude lacné. Pri väčšom subjekte, akým je napríklad dopravný podnik, sa na zavedenie opatrení očakávajú investície rádovo v státisícoch eur a následne minimálne tisíce až desaťtisíce eur ročne na prevádzku a údržbu. Keďže do nových povinností bude musieť investovať množstvo firiem naprieč 11 sektormi, v súčte pôjde rádovo o desiatky miliónov eur, ktoré budú smerovať do zabezpečenia.
Doplnil, že firmy sa nemusia prihlasovať samy. Kritické subjekty identifikuje príslušný ústredný orgán štátnej správy a zaradenie im písomne oznamuje do 30 dní od identifikácie. Zoznam kritických subjektov vedie Ministerstvo vnútra.
Od doručenia oznámenia začínajú plynúť zákonné lehoty. Do deviatich mesiacov musí subjekt vykonať komplexné posúdenie rizík a do desiatich mesiacov mať vypracovaný a zavedený bezpečnostný plán vrátane opatrení fyzickej ochrany. Firma, ktorá dostane oznámenie v týchto dňoch, tak musí byť plne pripravená približne v apríli či máji 2027.
„Ignorovanie povinností sa môže poriadne predražiť. Za porušenie zákona hrozia pokuty až do výšky 300-tisíc eur a pri opakovanom porušení v priebehu jedného roka sa horná hranica zvyšuje na dvojnásobok,“ podčiarkol Lužica.
Dodal, že jedným zo spôsobov overenia pripravenosti je precvičenie modelovej situácie podľa bezpečnostného plánu, ktoré musí kritický subjekt vykonať aspoň raz za štyri roky. Plnenie povinností kontroluje príslušný ústredný orgán, ktorý môže u subjektu vykonať audit alebo nariadiť jeho vykonanie. Závažné incidenty musia firmy navyše hlásiť najneskôr do 24 hodín.
