Kybernetická bezpečnosť je súbor organizačných, technických, právnych a vzdelávacích opatrení zameraných na ochranu informačných systémov, počítačových sietí, digitálnych služieb, dát a používateľov pred kybernetickými hrozbami, incidentmi a neoprávnenými zásahmi.National Institute of Standards and Technology. The NIST Cybersecurity Framework (CSF) 2.0 [online]. 2024-02-26 [cit. 2026-05-01]. Dostupné na: https://doi.org/10.6028/NIST.CSWP.29ENISA. Who we are [online]. [cit. 2026-05-01]. Dostupné na: https://www.enisa.europa.eu/about-enisa/who-we-are Jej cieľom je znižovať riziká spojené s používaním informačných a komunikačných technológií a zachovávať dôvernosť, integritu, dostupnosť a odolnosť digitálnych systémov.

Kybernetická bezpečnosť sa uplatňuje v štátnej správe, podnikateľskom sektore, kritickej infraštruktúre, zdravotníctve, školstve, bankovníctve, priemysle, doprave, energetike, obrane, vývoji softvéru aj pri každodennom používaní digitálnych služieb. Zahŕňa ochranu pred škodlivým softvérom, phishingom, ransomvérom, zneužitím zraniteľností, útokmi na dostupnosť služieb, únikom údajov, zneužitím identity a ďalšími formami kybernetických útokov.ENISA. ENISA Threat Landscape 2025 [online]. 2025-10-01 [cit. 2026-05-01]. Dostupné na: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025

Vymedzenie pojmu

Pojem kybernetická bezpečnosť úzko súvisí s pojmami informačná bezpečnosť, počítačová bezpečnosť, sieťová bezpečnosť a ochrana osobných údajov, no nie je s nimi úplne totožný. Informačná bezpečnosť sa zameriava na ochranu informácií bez ohľadu na ich formu, zatiaľ čo kybernetická bezpečnosť sa sústreďuje najmä na digitálne prostredie, siete, systémy, softvér, hardvér a služby poskytované prostredníctvom informačných technológií.

Medzi základné bezpečnostné ciele patrí tzv. triáda CIA:

dôvernosť – informácie sú dostupné iba oprávneným osobám alebo systémom, integrita – informácie a systémy nie sú neoprávnene zmenené alebo poškodené, dostupnosť – systémy a služby sú dostupné vtedy, keď ich oprávnení používatelia potrebujú.

V praxi sa k týmto cieľom pridávajú aj ďalšie vlastnosti, napríklad autentickosť, zodpovednosť, nepopierateľnosť, sledovateľnosť, súlad s právnymi požiadavkami a schopnosť obnovy po incidente.

Dejiny

Korene kybernetickej bezpečnosti siahajú k vývoju prvých počítačových systémov, počítačových sietí a vojenských komunikačných projektov v druhej polovici 20. storočia. Spočiatku išlo najmä o fyzickú ochranu počítačov, riadenie prístupu používateľov a ochranu vojenských alebo vedeckých systémov. S rozširovaním osobných počítačov, internetu a elektronického obchodu sa bezpečnostné riziká preniesli aj do civilného a komerčného prostredia.

Od 90. rokov 20. storočia sa význam kybernetickej bezpečnosti zvyšoval v dôsledku rastu internetu, elektronickej pošty, webových aplikácií a neskôr mobilných zariadení, cloudových služieb a sociálnych sietí. Po roku 2000 sa kybernetické útoky začali častejšie spájať nielen s individuálnymi útočníkmi, ale aj s organizovaným zločinom, štátmi podporovanými skupinami, ekonomickou špionážou a útokmi na kritickú infraštruktúru.

V 21. storočí sa kybernetická bezpečnosť stala súčasťou národnej bezpečnosti, hospodárskej politiky a ochrany základných práv. Európska únia vytvorila samostatný právny rámec kybernetickej bezpečnosti, vrátane smernice NIS, smernice NIS2, Aktu o kybernetickej bezpečnosti a Aktu o kybernetickej odolnosti.Európska komisia. NIS2 Directive: securing network and information systems [online]. [cit. 2026-05-01]. Dostupné na: https://digital-strategy.ec.europa.eu/en/policies/nis2-directiveENISA. Cybersecurity Act [online]. [cit. 2026-05-01]. Dostupné na: https://certification.enisa.europa.eu/about-eu-certification/eu-regulatory-context/cybersecurity-act_enEurópska komisia. The Cyber Resilience Act – Summary of the legislative text [online]. [cit. 2026-05-01]. Dostupné na: https://digital-strategy.ec.europa.eu/en/policies/cra-summary

Oblasti kybernetickej bezpečnosti

Riadenie rizík

Riadenie kybernetických rizík je proces identifikácie, hodnotenia, znižovania a priebežného sledovania rizík, ktoré môžu ovplyvniť digitálne aktíva organizácie. Medzi tieto aktíva patria systémy, dáta, aplikácie, siete, zariadenia, používatelia, dodávatelia a procesy.

NIST Cybersecurity Framework 2.0 opisuje riadenie kybernetického rizika cez funkcie Govern, Identify, Protect, Detect, Respond a Recover. Rámec nie je záväzným technickým návodom, ale poskytuje spoločný jazyk a štruktúru pre riadenie kybernetických rizík v organizáciách rôznej veľkosti a zrelosti.

Technická bezpečnosť

Technická bezpečnosť zahŕňa opatrenia používané priamo v systémoch a sieťach. Patria sem najmä:

riadenie prístupu, viacfaktorová autentifikácia, šifrovanie, bezpečnostné aktualizácie, segmentácia siete, zálohovanie, monitorovanie udalostí, detekcia útokov, ochrana koncových zariadení, bezpečná konfigurácia systémov, správa zraniteľností.

Tieto opatrenia samy osebe nezaručujú úplnú bezpečnosť. Ich účinnosť závisí od správneho nasadenia, pravidelnej údržby, školenia používateľov, riadenia dodávateľov a schopnosti organizácie reagovať na incidenty.

Aplikačná bezpečnosť

Aplikačná bezpečnosť sa zameriava na ochranu softvérových aplikácií počas návrhu, vývoja, testovania, nasadenia a prevádzky. Zahŕňa bezpečný návrh, kontrolu zdrojového kódu, testovanie zraniteľností, riadenie závislostí a ochranu aplikačných rozhraní.

Medzinárodne známy projekt OWASP Top 10 uvádza najvýznamnejšie kategórie bezpečnostných rizík webových aplikácií, napríklad chyby v riadení prístupu, kryptografické zlyhania, injekčné útoky, nezabezpečený návrh, nesprávnu konfiguráciu a používanie zraniteľných alebo zastaraných komponentov.OWASP. OWASP Top 10:2021 [online]. [cit. 2026-05-01]. Dostupné na: https://owasp.org/Top10/2021/

Prevádzková bezpečnosť

Prevádzková bezpečnosť sa týka každodennej správy systémov, reakcie na udalosti, správy účtov, zálohovania, logovania, zmenového riadenia a kontinuity prevádzky. V organizáciách býva súčasťou bezpečnostných operačných centier, tímov CSIRT alebo interných bezpečnostných tímov.

Dôležitou súčasťou je incident response, teda proces prípravy, detekcie, analýzy, obmedzenia škôd, obnovy a poučenia sa z bezpečnostných incidentov.

Bezpečnosť dodávateľského reťazca

Bezpečnosť dodávateľského reťazca sa zaoberá rizikami, ktoré vznikajú pri využívaní externých dodávateľov, softvérových knižníc, cloudových služieb, hardvéru a poskytovateľov riadených služieb. Útok na jedného dodávateľa môže ovplyvniť viacero zákazníkov alebo sektorov naraz.

V posledných rokoch sa tejto oblasti venuje väčšia pozornosť aj v medzinárodných rámcoch a reguláciách, keďže organizácie čoraz viac závisia od externého softvéru, cloudovej infraštruktúry a prepojených digitálnych služieb.

Priemyselné a operačné technológie

Kybernetická bezpečnosť operačných technológií sa týka systémov používaných na riadenie fyzických procesov, napríklad v energetike, doprave, výrobe, vodnom hospodárstve alebo zdravotníctve. Tieto systémy sa často označujú ako OT alebo ICS.

Na rozdiel od bežných informačných systémov je v priemyselnom prostredí často najdôležitejšia dostupnosť, bezpečnosť ľudí a kontinuita fyzického procesu. Kybernetický incident preto môže mať nielen finančné alebo dátové následky, ale aj dopad na fyzickú infraštruktúru, verejné služby alebo bezpečnosť osôb.

Kybernetické hrozby

Kybernetická hrozba je okolnosť, udalosť alebo aktér, ktorý môže spôsobiť narušenie bezpečnosti systému, služby alebo dát. Medzi najčastejšie hrozby patria:

malvér – škodlivý softvér určený na poškodenie, ovládnutie alebo zneužitie systému, ransomvér – druh škodlivého softvéru alebo útoku, pri ktorom útočník obmedzí prístup k dátam alebo systémom a požaduje výkupné, phishing – podvodná komunikácia, ktorej cieľom je získať prihlasovacie údaje, peniaze alebo citlivé informácie, útoky na dostupnosť – napríklad DDoS útoky, ktoré sa snažia zahltiť službu alebo infraštruktúru, zneužitie zraniteľností – využitie chýb v softvéri, konfigurácii alebo architektúre systému, útoky na dodávateľský reťazec – kompromitácia dodávateľa, aktualizácie, knižnice alebo služby, úniky údajov – neoprávnené sprístupnenie alebo strata osobných, obchodných alebo technických údajov, sociálne inžinierstvo – manipulácia ľudí s cieľom obísť technické alebo organizačné opatrenia.

Podľa správy ENISA Threat Landscape 2025 patria medzi významné hrozby v Európskej únii najmä ransomvér, malvér, sociálne inžinierstvo, hrozby proti dostupnosti služieb, úniky údajov a útoky na dodávateľské reťazce.

Bezpečnostné opatrenia

Kybernetická bezpečnosť sa zvyčajne buduje kombináciou preventívnych, detekčných, reakčných a obnovovacích opatrení.

Preventívne opatrenia

Preventívne opatrenia majú znížiť pravdepodobnosť incidentu. Patria sem napríklad bezpečnostné politiky, školenia, aktualizácie, viacfaktorová autentifikácia, bezpečný vývoj softvéru, segmentácia sietí, princíp najmenších oprávnení a riadenie dodávateľov.

Detekčné opatrenia

Detekčné opatrenia slúžia na odhalenie podozrivého správania alebo útoku. Zahŕňajú logovanie, monitorovanie sietí, systémy detekcie prienikov, analýzu správania, bezpečnostné informačné a eventové systémy a spravodajstvo o hrozbách.

Reakčné opatrenia

Reakčné opatrenia sa používajú po zistení incidentu. Ich cieľom je obmedziť škody, izolovať napadnuté systémy, zachovať dôkazy, obnoviť služby a informovať príslušné osoby alebo orgány. Súčasťou je incident response plán, komunikačný plán a určenie zodpovedností.

Obnova

Obnova sa zameriava na návrat systémov a služieb do funkčného stavu. Zahŕňa obnovu zo záloh, kontrolu integrity systémov, odstránenie príčin incidentu, zlepšenie opatrení a vyhodnotenie poučení z incidentu.

Štandardy a rámce

V oblasti kybernetickej bezpečnosti existuje viacero medzinárodných rámcov a štandardov. Medzi najpoužívanejšie patria:

NIST Cybersecurity Framework – rámec na riadenie kybernetického rizika, ISO/IEC 27001 – norma pre systém manažérstva informačnej bezpečnosti, ISO/IEC 27002 – súbor odporúčaných bezpečnostných opatrení,International Organization for Standardization. ISO/IEC 27002:2022 – Information security, cybersecurity and privacy protection — Information security controls [online]. [cit. 2026-05-01]. Dostupné na: https://www.iso.org/standard/75652.html OWASP Top 10 – prehľad významných rizík webových aplikácií, CIS Controls – súbor praktických bezpečnostných kontrol, MITRE ATT&CK – znalostná báza taktík a techník útočníkov.

Použitie štandardu alebo rámca nezaručuje absolútnu bezpečnosť. Ich význam spočíva najmä v zjednotení terminológie, meraní zrelosti, stanovovaní priorít a dokazovaní primeranosti bezpečnostných opatrení.

Právny rámec

Európska únia

V Európskej únii patrí medzi hlavné právne nástroje kybernetickej bezpečnosti smernica NIS2, ktorá nahradila pôvodnú smernicu NIS. NIS2 rozširuje rozsah regulovaných sektorov, zavádza požiadavky na riadenie rizík, hlásenie incidentov, dohľad a spoluprácu medzi členskými štátmi.

Akt o kybernetickej bezpečnosti, teda nariadenie Európskeho parlamentu a Rady (EÚ) 2019/881, posilnil mandát agentúry ENISA a vytvoril európsky rámec kybernetickej certifikácie informačných a komunikačných technológií.

Akt o kybernetickej odolnosti, nariadenie (EÚ) 2024/2847, zavádza horizontálne požiadavky na kybernetickú bezpečnosť produktov s digitálnymi prvkami. Vzťahuje sa na hardvérové a softvérové produkty uvádzané na trh Európskej únie a zameriava sa najmä na bezpečný návrh, vývoj, správu zraniteľností a poskytovanie bezpečnostných aktualizácií počas životného cyklu produktu.

Slovensko