Stratégia kybernetickej bezpečnosti: Bez vplyvov na papieri, štát v karanténe

Na svojej 126. schôdzi 4. februára 2026 vláda 4.2.2025 prerokovala Národnú stratégia kybernetickej bezpečnosti na roky 2026 až 2030. V ten deň materiál 31549/1 schválila aj uznesením vlády č. 48/2026. Predkladateľom bol riaditeľ Národného bezpečnostného úradu.

Dokument nadväzuje na predošlé strategické dokumenty a akčné plány z predošlých 10 rokov budovania kybernetickej ochrany slovenskej digitálnej infraštruktúry. Strategickú dokumentáciu štátnej kyber ochrany pripravuje a spravuje organická súčasť Národného bezpečnostného úradu, Národné centrum kybernetickej bezpečnosti SK-CERT.

Stratégia je formulovaná ako „východiskový“ dokument a hovorí o vízii, cieľoch a princípoch. Avšak tie najdôležitejšie veci posúva do budúceho Akčného plánu. Akčný plán má byť miesto, kde sa objavia konkrétne úlohy, gestori, termíny, KPI a odhadované náklady. Presne tie veci, ktoré občan potrebuje, ak má „digitálnemu“ štátu zveriť svoje údaje a agendy.

Na Slovensku nejde o žiadnu akademickú debatu. Slovensko zažilo sériu hackerských útokov a s nimi spojených výpadkov digitálnych služieb, ktoré sa dotkli kritickej infraštruktúry aj bežných služieb. Symbolické je, že na tej istej schôdzi vláda riešila aj materiál o kritickom stave a rizikách ohrozenia funkčnosti portálu slovensko.sk. V praxi teda štát v jeden deň schvaľuje stratégiu odolnosti a zároveň priznáva, že jeho kľúčová digitálna brána je v kritickom režime.

Cieľ sa opakuje, odpočet chýba: dôvera sa dokazuje, nie vyhlasuje

V novej stratégii sa objavuje v podstate ten istý cieľ ako v predošlej: bezpečný a dôveryhodný digitálny štát, bezpečnosť ako základná vlastnosť služieb a systémov. Samotné opakovanie cieľa ešte nie je dôkaz neúspechu, ale je to silný varovný signál, ak štát nevie predložiť verejný odpočet. Bez neho občan nevie, čo sa za roky reálne splnilo, kto to prevzal, kto to overil a aký bol výsledok.

Dôvera sa nedá postaviť na vetách o „security by design“. Stojí na dôkazoch: ktoré opatrenia boli hotové, aké mali náklady, kto ich verifikoval a či sa znížil dopad incidentov, skrátil čas obnovy a zvýšila odolnosť kritických služieb. Ak sa popri opakovaní cieľov dejú v roku, kedy by mali byť ciele splnené výpadky, karantény a úspešné útoky na kľúčové systémy, problém nie je nedostatok stratégií. Problém je, že štát nevie preukázať výsledok.

„Bez vplyvov“ je pekná veta, ale zlá výhovorka

V predkladacej správe sa pri doložke vplyvov uvádza, že návrh stratégie „nemá vplyv“ prakticky na nič, vrátane rozpočtu a informatizácie. Formálne to môže sedieť, pretože stratégia je „len“ strategický dokument.

Lenže kybernetická bezpečnosť nie je powerpoint. Ak štát tvrdí, že bude „systematicky posilňovať odolnosť“ a chrániť kritickú infraštruktúru, tak to vždy znamená ľudí, technológie, služby, prevádzku, testovanie a audit. To sú náklady. A sú to aj politické rozhodnutia, lebo vždy sa bude rozhodovať, čo je priorita a čo sa odloží.

A k otázke nevyčíslených nákladov, smerovalo aj množstvo pripomienok a výhrad v rámci MPK. Stratégia pomenúva piliere a ciele, ale neobsahuje merateľné a odpočítateľné indikátory.

Akčný plán: termín, verejnosť, zodpovednosť

V pripomienkovom konaní sa objavila veľmi konkrétna výhrada: dokument opakovane odkazuje na budúci akčný plán, ale nedáva časový rámec, dokedy má byť vypracovaný a schválený. Trnavský samosprávny kraj navrhol doplniť explicitný záväzok, napríklad do 6 mesiacov od schválenia stratégie.

Vo vyhodnotení pripomienkového konania sa síce objaví termín 31. marec 2026, ale ten sa týka iba dodania podkladov pre spracovanie akčného plánu. Aj návrh uznesenia vlády pracuje práve s týmto režimom: iné zložky majú dodať vstupy riaditeľovi NBÚ, no samotný termín hotového Akčného plánu tým ešte nevzniká.

Z pohľadu verejnej kontroly je to kľúčové. Ak sa akčný plán neobjaví včas a v zrozumiteľnej podobe, stratégia zostane len deklaráciou. A pri ďalšom incidente sa z nej ľahko stane politická výhovorka: „Stratégiu máme.“

Skúsenosť z minulosti: úlohy áno, cenovky nie

Skepsa nie je iracionálna. Keď si človek otvorí staršie akčné plány, vidí rovnaký vzorec. Akčný plán realizácie Národnej stratégie kybernetickej bezpečnosti na roky 2015 až 2020 aj akčný plán k stratégii 2021 až 2025 sú postavené na zozname úloh, gestorov a termínov. No pri samotných tabuľkách úloh nie je uvedený finančný rámec, teda „koľko“ a „z čoho“.

Z akčného plánu sa čitateľ ohľadom financií dozvie, že MIRRI a MF majú zabezpečiť dotačné schémy, financie z rôznych zdrojov, finančné nástroje európskej únie, vytvoriť grantové schémy.

Takýto prístup „prináša svoje ovocie“. Dá sa odškrtávať, že vznikla metodika, rámec, katalóg alebo školenie. Lenže občan sa nepýta, či existuje dokument. Pýta sa, či sa tým reálne znížilo riziko a či služby fungujú bezpečne a nepretržite.

Metodiky nevypnú útok, odolnosť áno

Keď sa pozrieme na jazyk úloh v akčných plánoch, prevažujú úlohy formulované ako procesy: metodiky, rámce, katalógy, nástroje, testovanie, vzdelávanie. To všetko môže byť užitočné, ale samo o sebe to nie je „obranná spôsobilosť“. Ak je realita incidentov, výpadkov a karantén, rozhoduje schopnosť rýchlo odhaliť problém, izolovať ho, obnoviť prevádzku a mať pripravené zálohy, segmentáciu a reakčné tímy.

Dôvera digitálneho štátu sa teda nerodí z toho, že má stratégiu. Rodí sa z odolnosti. A odolnosť sa dá merať. Čas obnovy, počet kritických zraniteľností, výsledky penetračných testov, úroveň segmentácie, schopnosť reagovať na incident, schopnosť obnoviť systém v hodinách, nie v týždňoch.

Čo musí prísť, ak má štát pýtať dôveru

Ak má byť stratégia 2026 až 2030 viac než len formálna povinnosť, verejnosť potrebuje tri veci.

Po prvé: jasný termín zverejnenia Akčného plánu, a to v podobe, ktorú vie čítať aj laik. Po druhé: finančný rámec a spôsob, ako sa budú náklady kontrolovať, aby sa z kybernetickej bezpečnosti nestala bezodná studňa. Po tretie: odpočet s merateľnými výsledkami, nie len s odškrtávaním výstupov.

Lebo štát občana tlačí do digitálu, vyžaduje elektronické služby a elektronické schránky, zbiera citlivé údaje a digitalizuje agendy. Potom musí uniesť aj zodpovednosť za to, že brána funguje a že ochrana kritickej infraštruktúry nie je len položka v strategickom dokumente.

Prečítajte si tiež

• Vláda schválila stratégiu kyberbezpečnosti, má posilniť ochranu štátu
• Šutaj Eštok: Na MV je katastrofálny stav kybernetickej bezpečnosti
• Správny súd po 2 rokoch rozhodol, že NBÚ bude musieť s pravdou von, prečo Hlavné Správy zablokoval