ZMLUVA
o zabezpečení plnenia bezpečnostných opatrení a notifikačných
povinností
podľa § 19 ods. 2 zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení neskorších predpisov (ďalej ako
„Zákon") medzi zmluvnými stranami:
Všeobecná zdravotná poisťovňa, a.s.
Panónska cesta 2, 851 04 Bratislava-Petržalka
35 937 874
Obchodný register Mestského súdu Bratislava III, Oddiel Sa, Vložka č. 3602/B
V zastúpení:
Obchodné meno: Sídlo:
IČO:
Zápis v registri:
(ďalej ako „Prevádzkovateľ základnej služby" alebo ako „Zmluvná strana")
Osoby oprávnené rokovať:
vo veciach technických:
(meno, priezvisko, e-mail, telefónne číslo) vo veciach zmluvy:
(meno, priezvisko, e-mail, telefónne číslo)
a
Obchodné meno:
Sídlo:
V zastúpení:
IČO:
DIČ:
IČO DPH:
Bankové spojenie:
IBAN:
Zápis v registri:
Osoby oprávnené rokovať:
vo veciach technických a výzvy na plnenie:
(meno, priezvisko, e-mail, telefónne číslo) vo veciach zmluvy:
(meno, priezvisko, e-mail, telefónne číslo)
(ďalej ako „Tretia strana” alebo ako „Zmluvná strana)
(Prevádzkovateľ základnej služby a Tretia strana ďalej spolu aj ako „Zmluvné strany")

PREAMBULA
Nakoľko Prevádzkovateľ základnej služby s Treťou stranou uzatvoril Rámcovú dohodu o poskytnutí
služieb uzatvorenú podľa § 269 ods. 2 zákona č. 513/1991 Zb. Obchodný zákonník v znení neskorších
predpisov a podľa zákona č. 343/2015 Z. z. o verejnom obstarávaní a o zmene a doplnení niektorých
zákonov v znení neskorších predpisov zo dňa	(ďalej ako „Hlavná zmluva"), ktorá určuje obsah
a rozsah plnenia poskytovaného Treťou stranou Prevádzkovateľovi základnej služby, ktorým (plnením) je
poskytovanie služieb pre účely spracovania údajov, tlače a kompletizácie výsledkov ročného zúčtovania
poistného na verejné zdravotné poistenie za roky 2025 a 2026 (ď'alej ako „Plnenie");
Nakoľko Zmluvné strany vyhlasujú, že Plnenie poskytované Treťou stranou priamo súvisí s dostupnosťou,
dôvernosťou a integritou prevádzky sietí a informačných systémov Prevádzkovateľa základnej služby,
v dôsledku čoho je daná povinnosť v zmysle § 19 ods. 2 Zákona uzatvoriť s Treťou stranou zmluvu o
zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností počas celej doby platnosti Hlavnej
zmluvy;
Nakoľko Zmluvné strany vyhlasujú, že pred uzatvorením tejto zmluvy bola vykonaná analýza rizík podľa
bodu 1.2 tejto zmluvy vo vzťahu k dodávateľskému vzťahu a k Plneniu v súlade s § 6 Vyhlášky Národného
bezpečnostného úradu č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a
štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení v znení neskorších
predpisov (ď'alej ako „Vyhláška");
Z mluvné strany uzatvárajú túto Zmluvu
bezpečnostných opatrení a notifikačných
„ Zmluva ") s nasledovným
Článok 1
Úvodné ustanovenia
1.1	Ak Zmluva výslovne neustanovuje inak, všetky pojmy uvedené v Zmluve majú význam, aký im
priznáva Zákon, Vyhláška, iný aplikovateľný všeobecne záväzný právny predpis, Zmluva alebo
Hlavná zmluva. V prípade rozporov vo výklade niektorého z pojmu uvedeného v Zmluve platí
nasledovná hierarchia aplikácie výkladu pojmu v poradí od výkladu s najvyššou prioritou po výklad
s najnižšou prioritou:
1.1.1	Zákon;
1.1.2	Vyhláška;
1.1.3	iný aplikovateľný všeobecne záväzný právny predpis;
1.1.4	Zmluva; a
1.1.5	Hlavná zmluva.
Pre vylúčenie akýchkoľvek pochybností platí, že na výklad obsahu pojmu uvedeného v Zmluve sa
prednostne použije výklad v zmysle Zákona, pričom v prípade, ak takýto výklad v Zákone absentuje,
použije sa výklad podľa bodu 1.1.2 Zmluvy, príp. ďalšieho z bodov 1.1.3 až 1.1.5 Zmluvy. V prípade,
pokiaľ nebude možné identifikovať výklad konkrétneho pojmu použitého v Zmluve ani podľa jedného
z bodov 1.1.1 až 1.1.5 Zmluvy, použije sa výklad pojmu s takým významom, v akom bol prvý krát
použitý v Zmluve.
1.2	V súlade s § 9 ods. 1 Vyhlášky pri uzatvorení zmluvy s Treťou stranou podľa § 19 ods. 2 Zákona,
a teda pri uzatvorení Zmluvy boli analyzované riziká spojené s dodávateľským vzťahom medzi
Zmluvnými stranami a Plnením spôsobom podľa § 6 Vyhlášky (ďalej ako „Analýza rizík"). Analýzou
rizík boli identifikované najmä:
o zabezpečení plnenia povinností (ďalej ako znením:

1.2.1	hrozby;
1.2.2	zraniteľnosti;
1.2.3	pravdepodobnosť vzniku škodlivej udalosti, ktorá môže byť spôsobená zneužitím existujúcej zraniteľnosti aktíva potenciálnou hrozbou;
1.2.4	riziká s ohľadom na aktíva;
1.2.5	riziko a jeho kvalifikácia alebo kvantifikácia;
1.2.6	funkčný dopad;
1.2.7	návrh bezpečnostných opatrení v zmysle Vyhlášky v kontexte identifikovaných rizík; a
1.2.8	vlastník rizika.
1.3	Tretia strana vyhlasuje a súhlasí, že bude dodržiavať všetky interné predpisy Prevádzkovateľa základnej služby, najmä jeho bezpečnostné politiky, a to v rozsahu, v akom Prevádzkovateľ základnej služby svoje interné predpisy sprístupnil Tretej strane. To neplatí, ak príslušná povinnosť vyplýva Tretej strane zo všeobecne záväzného právneho predpisu. Povinnosť dodržiavať všetky interné predpisy Prevádzkovateľa základnej služby sa týka aj akejkoľvek úpravy, zmeny alebo doplnenia počas platnosti Zmluvy. Zmluvné strany vyhlasujú, že bezpečnostné politiky Prevádzkovateľa základnej služby, ku ktorým má Tretia strana prístup, tvoria Prílohu č. 1 Zmluvy. Tretia strana zabezpečí, aby boli bezpečnostné politiky prístupné a ich obsah známy všetkým osobám podieľajúcim sa na plnení Hlavnej zmluvy a tejto Zmluvy (interní zamestnanci Tretej strany, jej subdodávatelia a pod.).
1.4	Tretia strana vyhlasuje, že má prijaté, bude dodržiavať a udržiavať všetky bezpečnostne opatrenia, ktoré sú identifikované postupom podľa bodu 1.2 Zmluvy, a to vrátane ich budúcich zmien či doplnení. Na prípadné zmeny Prílohy č. 1 Zmluvy Prevádzkovateľom základnej služby sa primerane vzťahuje bod 13.4 Zmluvy so spôsobom oznámenia tejto zmeny podľa bodu 8.5 Zmluvy. Na zmenu Prílohy č. 1 nie je potrebné uzatvoriť dodatok k tejto Zmluve.
1.5	V prípade, ak sa ktorékoivek vyhlásenie podľa tohto Článok 1ku Zmluvy ukáže ako nepravdivé, Zmluvná strana, ktorá takéto nepravdivé vyhlásenie poskytla, zodpovedá za škodu druhej Zmluvnej strane alebo tretej osobe, ktorá Zmluvnej strane alebo tretej osobe v tejto súvislosti vznikla, a to v celom rozsahu.
1.6	Zmluvné strany vyhlasujú, že táto Zmluva, konkrétne obsah a rozsah povinností Tretej strany bol koncipovaný s ohľadom na aktuálne znenie Zákona a jeho vykonávacích právnych predpisov ku dňu platnosti tejto Zmluvy. Zmluvné strany s ohľadom na predchádzajúcu vetu berú na vedomie a súhlasia, že obsah a rozsah povinností Tretej strany v zmysle Zmluvy sa bude počas platnosti Zmluvy riadiť aktuálnym znením Zákona a jeho vykonávacích právnych predpisov.
Článok 2
Predmet Zmluvy
2.1	Predmetom Zmluvy je úprava práv a povinností Zmluvných strán pri zabezpečovaní plnenia bezpečnostných opatrení a notifikačných povinností Treťou stranou podľa Zákona a Hlavnej zmluvy pri výkone činností, ktoré priamo súvisia s dostupnosťou, dôvernosťou a integritou prevádzky sietí a informačných systémov Prevádzkovateľa základnej služby.
2.2	Pre účely Zmluvy sa činnosťami, ktoré priamo súvisia s dostupnosťou, dôvernosťou a integritou prevádzky sietí a informačných systémov Prevádzkovateľa základnej služby rozumie Plnenie poskytované Treťou stranou podľa Hlavnej zmluvy.

2.3	Zmluvné strany sa dohodli, že Prevádzkovateľ základnej služby a Tretia strana si poskytnú všetku primeranú súčinnosť pri plnení Zmluvy.
2.4	Zmluvné strany berú na vedomie a súhlasia, že aj napriek tomu, že obsah a rozsah povinností Tretej strany vo vzťahu k zabezpečeniu plnenia bezpečnostných opatrení a notifikačných povinností podľa Zmluvy je uvedený v ustanoveniach Zmluvy, ktoré je možné štandardne meniť len na základe písomných dodatkov uzatvorených oboma Zmluvnými stranami, to neplatí pre prípady zmien a doplnení bezpečnostných opatrení identifikovaných postupom podľa bodu 1.2 Zmluvy. V zmysle uvedeného platí, že Prevádzkovateľ základnej služby je oprávnený počas platnosti Zmluvy vykonať zmenu alebo doplnenie skôr identifikovaných bezpečnostných opatrení, ktoré je Tretia strana povinná v lehote identifikovanej Prevádzkovateľom základnej služby prijať. Povinnosť Tretej strany podľa predchádzajúcej vety je daná za predpokladu, pokiaľ potreba zmeny alebo doplnenia bezpečnostných opatrení vyplynie z nových alebo aktualizovaných rizík identifikovaných Prevádzkovateľom základnej služby postupom podľa § 6 Vyhlášky.
2.5	Pre vylúčenie pochybností platí, že oprávnenie Prevádzkovateľa základnej služby udeľovať Tretej strane záväzné písomné pokyny slúžiace na vykonanie príslušných ustanovení Zmluvy (vrátane platného obsahu a rozsahu bezpečnostných opatrení) nie je bodom 2.4 Zmluvy dotknuté.
Článok 3
Cena
3.1	Zmluvné strany v tejto súvislosti berú na vedomie, že uzatvorenie a plnenie Zmluvy je dôsledok legislatívnych povinností patriacich Zmluvným stranám a zároveň charakteru Plnení Tretej strany. Zmluvné strany sa preto dohodli, že Tretia strana plní povinnosti podľa tejto Zmluvy bezodplatne.
Článok 4
Zoznam pracovných rolí
4.1	Zoznam pracovných rolí Tretej strany vrátane ich personálneho obsadenia, ktoré majú mať podľa vôle Tretej strany prístup k informáciám a údajom Prevádzkovateľa základnej služby na základe Zmluvy alebo sa akýmkoivek spôsobom podieľať na plnení Hlavnej zmluvy alebo tejto Zmluvy, tvorí Prílohu č. 2 Zmluvy. Informácie a údaje podľa tohto článku Zmluvy majú rovnaký význam ako im priznáva Vyhláška.
4.2	Tretia strana je povinná informácie a údaje podľa tohto článku Zmluvy udržiavať aktuálne a pravdivé. Na prípadné zmeny Prílohy č. 2 Zmluvy Treťou stranou sa primerane vzťahuje bod 13.4 Zmluvy so spôsobom oznámenia tejto zmeny podľa bodu 8.5 Zmluvy. Na zmenu Prílohy č. 2 nie je potrebné uzatvoriť dodatok k tejto Zmluve.
4.3	Tretia strana je povinná dať každej osobe uvedenej v Prílohe č. 2 Zmluvy alebo osobe s prístupom k informáciám a údajom Prevádzkovateľa základnej služby podpísať vyjadrenie o zachovávaní mlčanlivosti, ktoré je v súlade s § 12 ods. 1 Zákona. Povinnosť zachovávať mlčanlivosti podľa Zmluvy sa vzťahuje aj na osoby na strane Subdodávateľa.
4.4	Povinnosť zachovávať mlčanlivosť trvá aj po skončení zmluvného vzťahu s Prevádzkovateľom základnej služby, a to neobmedzene.
4.5	Zmluvné strany sa dohodli, že Tretia strana je oprávnená na vlastnú zodpovednosť zapojiť ďalšieho dodávateľa úplne alebo čiastočne zabezpečujúceho alebo akýmkoľvek spôsobom sa podieľajúceho na

Plneniach pre Prevádzkovateľa základnej služby namiesto Tretej strany alebo spolu s Treťou stranou. (ďalej ako „Subdodávateľ"),
4.6	Tretia strana je oprávnená zapojiť Subdodávateľa len po predchádzajúcom písomnom súhlase Prevádzkovateľa základnej služby. Žiadosť o súhlas musí obsahovať nasledovné náležitosti:
a)	označenie Subdodávateľa (obchodný názov, sídlo, IČO),
b)	Analýzu rizík podľa bodu 4.7 tohto článku Zmluvy,
c)	dôkazy o prijatí a udržiavaní primeraných technických a organizačných opatrení na strane Subdodávateľa podľa Zákona.
4.7	Tretia strana je povinná na zmluvnom základe uložiť každému Subdodávateľovi tie povinnosti Tretej strany vyplývajúce zo Zmluvy, ktoré sú primerané s ohľadom na rozsah zapojenia Subdodávateľa do Plnenia pre Prevádzkovateľa základnej služby namiesto Tretej strany alebo spolu s Treťou stranou. Pre vylúčenie pochybností platí, že Tretia strana je predovšetkým povinná pred zapojením Subdodávateľa vykonať voči Subdodávateľovi analýzu rizík podľa § 6 Vyhlášky a v nadväznosti na identifikované riziká zaviazať Subdodávateľa na prijatie a udržiavanie súvisiacich bezpečnostných opatrení v zmysle Vyhlášky. V prípade, pokiaľ Tretia strana poruší svoju povinnosť a analýzu rizík u Subdodávateľa nevykoná alebo ju vykoná v nedostatočnom rozsahu, je povinná Subdodávateľa zaviazať na prijatie a udržiavanie bezpečnostných opatrení pre všetky bezpečnostné oblasti v zmysle Vyhlášky, a to aj vtedy, pokiaľ by niektoré v prípade riadneho vykonania analýzy rizík neboli relevantné alebo potrebné.
4.8	Zodpovednosť voči Prevádzkovateľovi základnej služby nesie Tretia strana, ak Subdodávateľ nesplní alebo poruší svoje povinnosti vo vzťahu k predmetu Zmluvy.
4.9	Tretia strana poskytne Prevádzkovateľovi základnej služby pri podpise tejto Zmluvy zoznam Subdodávateľov Tretej strany, ktorý bude obsahom Prílohy č. 4.
4.10	Akákoivek zmena v personálnom obsadení pracovných rolí a zozname subdodávateľov v súvislosti s plnením tejto Zmluvy a/alebo Hlavnej zmluvy musí byť Prevádzkovateľom základnej služby vopred schválená. Žiadosť o zapojenie subdodávateľa zašle Tretia strana e-mailom kontaktnej osobe Prevádzkovateľa základnej služby uvedenej v bode 13.2 Zmluvy. Na zmeny v obsahu prílohy č. 2 a 4 nie je potrebné uzatvorenie dodatku k tejto Zmluve.
Článok 5
Platnosť Zmluvy a spôsob jej ukončenia
5.1	Zmluva sa uzatvára na dobu platnosti Hlavnej zmluvy. Zmluva nadobúda platnosť dňom jej podpisu oboma Zmluvnými stranami a účinnosť dňom nadobudnutia účinnosti Hlavnej zmluvy. Zmluva sa nepovažuje za povinne zverejňovanú zmluvu podľa § 5a zákona č. 211/2000 Z. z. o slobodnom prístupe k informáciám a o zmene a doplnení niektorých zákonov (zákon o slobode informácií).
5.2	Zmluvné strany sa dohodli, že k zániku Zmluvy môže dôjsť niektorým z nasledovných spôsobov:
5.2.1	dohodou Zmluvných strán;
5.2.2	odstúpením od Zmluvy;
5.2.3	zánikom Hlavnej zmluvy.
5.3	Zmluvná strana je oprávnená odstúpiť od Zmluvy, ak tak ustanovuje Zmluva alebo ak druhá Zmluvná strana neodstráni porušenie povinnosti podľa Zmluvy ani v časovom období 7 dní po doručení písomnej výzvy na odstránenie nedostatkov alebo závadného stavu, ktorá (výzva) bude toto

porušenie špecifikovať. Oznámenie o odstúpení od Zmluvy musí byť písomné a doručené druhej
Zmluvnej strane s tým, že odstúpenie od Zmluvy nadobúda účinnosť dňom doručenia tohto
odstúpenia druhej Zmluvnej strane.
5.4	Zmluvné strany sa dohodli, že vzájomný vzťah Zmluvy a Hlavnej zmluvy sa riadi § 275 ods. 2 a 3 zákona č. 513/1991 Zb. Obchodný zákonník v platnom znení. V zmysle uvedeného platí, že z povahy a Zmluvným stranám známeho účelu Zmluvy pri jej uzavretí vyplýva, že Zmluva je závislá na Hlavnej zmluve. Vznik a existencia Hlavnej zmluvy je podmienkou vzniku a existencie Zmluvy. Zánik Hlavnej zmluvy spôsobuje aj zánik Zmluvy a súčasne, zánik Zmluvy spôsobuje zánik Hlavnej zmluvy, a to s obdobnými právnymi účinkami.
5.5	Vzhľadom na obsah Zmluvy je aplikácia akýchkoľvek ustanovení týkajúcich sa kybernetickej bezpečnosti podľa Zákona alebo akejkoľvek povinností Zmluvnej strany v zmysle Zákona obsiahnutých v Hlavnej zmluve vylúčená, pričom sa vždy uplatnia ustanovenia Zmluvy, ak Zmluva neustanovuje inak. V prípade akýchkoľvek pochybností o aplikácii ustanovení Hlavnej zmluvy alebo Zmluvy vo vzťahu ku kybernetickej bezpečnosti alebo príslušných povinností a zodpovedností Zmluvných strán vyplývajúcich zo Zákona platí, že ustanovenia Zmluvy majú prednosť pred ustanoveniami Hlavnej zmluvy.
Článok 6
Bezpečnostné opatrenia
6.1	Zoznam oblastí, pre ktoré sa prijímajú a dodržiavajú bezpečnostné opatrenia v zmysle Vyhlášky:
6.1.1	riadenie prístupov osôb k sieti a informačnému systému,
6.1.2	riadenie bezpečnosti prevádzky sietí a informačných systémov,
6.1.3	hodnotenie zraniteľností a bezpečnostné aktualizácie,
6.1.4	ochrana proti škodlivému kódu,
6.1.5	sieťová a komunikačná bezpečnosť,
6.1.6	zaznamenávanie udalostí a monitorovanie sietí a informačných systémov,
6.1.7	fyzická bezpečnosť sietí a informačných systémov,
6.1.8	riešenie kybernetických bezpečnostných incidentov,
6.2	Jednotlivé bezpečnostné opatrenia pre oblasti podľa bodu 6.1 Zmluvy vyplývajú z príslušného znenia Vyhlášky. Zmluvné strany berú na vedomie, že obsah povinnosti Tretej strany prijať bezpečnostné opatrenia je daný aktuálnym znením Vyhlášky, a to vrátane prípadnej zmeny či doplnenia Vyhlášky mapovaním opatrení na oblasti v zmysle § 20 Zákona v znení neskorších predpisov.
6.3	Tretia strana ako vlastník rizík podľa Analýzy rizík vyhlasuje, že prijala a bude dodržiavať a udržiavať bezpečnostné opatrenia pre tieto riziká. Konkrétna špecifikácia, obsah a rozsah bezpečnostných opatrení Tretej strany tvorí Prílohu č. 3 Zmluvy. Ak z Prílohy č. 3 Zmluvy nevyplýva inak, bezpečnostné opatrenia sa delia na všeobecné bezpečnostné opatrenia a bezpečnostné opatrenia reflektujúce na riziká v zmysle Analýzy rizík.
6.4	Tretia strana vyhlasuje, že počas trvania Zmluvy príjme, bude dodržiavať a udržiavať všetky bezpečnostné opatrenia podľa Prílohy č. 3 Zmluvy.

Článok 7
Povinnosti Zmluvných strán
7.1	Prevádzkovateľ základnej služby je povinný Zmluvu, Hlavnú zmluvu, ako aj akúkolVek ďalšiu zmluvnú alebo súvisiacu dokumentáciu uzatvorenú s Treťou stranou evidovať v rámci bezpečnostnej dokumentácie spôsobom podľa § 2 ods. 1 písm. c) Vyhlášky.
7.2	Tretia strana je povinná chrániť všetky informácie, ktoré jej boli poskytnuté Prevádzkovateľom základnej služby pri plnení Zmluvy alebo sa do dispozície Tretej strany dostali iným spôsobom. Na tento účel je Tretia strana povinná dodržiavať mlčanlivosť a touto mlčanlivosťou zaviazať všetky osoby, ktoré sú u Tretej strany oprávnené na prístup k informáciám Prevádzkovateľa základnej služby pri plnení Zmluvy, ak nie sú viazané povinnosťou mlčanlivosti podľa osobitného predpisu. Tretia strana vyhlasuje, že povinnosť Tretej strany chrániť informácie podľa tohto bodu Zmluvy je zabezpečená prostredníctvom vhodnej povinnosti mlčanlivosti podľa § 12 ods. 1 Zákona a bezpečnostných opatrení podľa Prílohy č. 3 Zmluvy.
7.3	Prevádzkovateľ základnej služby je oprávnený požadovať od Tretej strany informácie potrebné na splnenie ktorejkoľvek povinnosti Prevádzkovateľa základnej služby vyplývajúcej zo Zákona alebo príslušnej požiadavky orgánov verejnej moci (vrátane poskytovania súčinnosti jednotkám CSIRT). Tretia strana je povinná bez zbytočného odkladu poskytnúť Prevádzkovateľovi základnej služby všetky informácie, ktoré má alebo by mala mať k dispozícii. Informácie podľa tohto bodu Zmluvy poskytuje Tretia strana bezodkladne po doručení žiadosti Prevádzkovateľa základnej služby o poskytnutie informácie.
7.4	V súlade s bodom 7.3 Zmluvy, Tretia strana poskytne Prevádzkovateľovi základnej služby najmä nasledovné informácie:
7.4.1	informácie potrebné pri riešení hláseného kybernetického bezpečnostného incidentu požadované Prevádzkovateľom základnej služby, Národným bezpečnostným úradom alebo iným orgánom vykonávajúcim pôsobnosť v oblasti kybernetickej bezpečnosti (vrátane jednotiek CSIRT) , alebo orgánmi činnými v trestnom konaní za účelom splnenia povinností Prevádzkovateľa základnej služby v zmysle Zákona alebo príslušnej požiadavky orgánu verejnej moci,
7.4.2	informácie dôležité pre zabezpečenie dôkazu ako dôkazného prostriedku tak, aby mohol byť použitý v trestnom konaní (vrátane dôkazu samotného),
7.4.3	informácie potrebné na účely splnenia povinnosti Prevádzkovateľa základnej služby v zmysle § 19 ods. 6 písm. e) Zákona oznámiť orgánu činnému v trestnom konaní alebo Policajnému zboru skutočnosti, že bol spáchaný trestný čin, ktorého sa kybernetický bezpečnostný incident týka, ak sa o ňom hodnoverným spôsobom dozvie,
7.4.4	informácie v potrebnom rozsahu na účely splnenia povinnosti Prevádzkovateľa základnej služby v zmysle Zákona, najmä v zmysle § 27, 27a, 27b a 27c Zákona.
7.5	Ak je predmetom plnenia podľa Hlavnej zmluvy dodanie produktu, technológie alebo softvérový vývoj, Tretia strana sa zaväzuje plniť tieto povinnosti:
7.5.1	Tretia strana je povinná poskytnúť Prevádzkovateľovi základnej služby úplný zoznam všetkých softvérových komponentov tretích strán použitých v dodanom produkte alebo technológii. Tento zoznam musí obsahovať názov každého komponentu, verziu, licenčné podmienky a prípadné bezpečnostné zraniteľnosti, ktoré sa môžu týkať týchto komponentov.
7.5.2	Tretia strana je povinná poskytnúť podrobnosti o implementovaných bezpečnostných funkciách v softvéri, vrátane, no nie výlučne, ochrany pred neautorizovaným prístupom, šifrovania,

detekcie a ochrany proti malvéru, integrácie s existujúcimi bezpečnostnými systémami a iných bezpečnostných opatreniach. Informácie musia byť jasne zdokumentované, aby umožnili správnu implementáciu a použitie týchto bezpečnostných funkcií v rámci produktového prostredia.
7.5.3	Tretia strana musí poskytnúť jasné pokyny a dokumentáciu týkajúcu sa konfigurácie softvéru, ktorá je potrebná na zabezpečenie bezpečného a správneho fungovania produktu v prevádzkovom prostredí. Tieto pokyny musia zahŕňať minimálne bezpečnostné nastavenia, odporúčané konfigurácie, postupy pre správu aktualizácií a iné dôležité aspekty potrebné na ochranu pred bezpečnostnými hrozbami.
7.5.4	Tretia strana sa zaväzuje aktualizovať zoznam komponentov pri každej novej verzii softvéru alebo pri integrácii nových komponentov. Aktualizovaný zoznam musí byť poskytnutý objednávateľovi najneskôr do 10 pracovných dní od vydania novej verzie alebo integrácie nového komponentu.
Článok 8
Notifikačné povinnosti
8.1	Tretia strana je povinná bez zbytočného odkladu, najneskôr do 2 hodín od zistenia, informovať Prevádzkovateľa základnej služby o kybernetickom bezpečnostnom incidente na e-mailovej adrese Prevádzkovateľa základnej služby bezpecnost@vszp.sk . Informovaním o kybernetickom bezpečnostnom incidente sa rozumie poskytnutie všetkých informácií o kybernetickom bezpečnostnom incidente, o ktorých má alebo by mala mať Tretia strana vedomosť. Pre vylúčenie pochybností platí, že pre účely tejto Zmluvy sa kybernetickým bezpečnostným incidentom rozumie udalosť v zmysle § 3 písm. m) Zákona a tiež akékoivek podozrenie, o ktorom Tretia strana vie alebo by so zreteľom na všetky okolnosti mala vedieť, že by mohlo mať negatívny dopad na bezpečnosť siete alebo informačného systému Prevádzkovateľa základnej služby, pričom rozsah informácií o kybernetickom bezpečnostnom incidente je daný rozsahom vyžadovaným na splnenie si povinnosti Prevádzkovateľa základnej služby v zmysle § 24 Zákona prostredníctvom jednotného informačného systému kybernetickej bezpečnosti alebo iného komunikačného kanála (vrátane dodatočných dopytov a požiadaviek orgánov vykonávajúcich pôsobnosť v oblasti kybernetickej bezpečnosti alebo jednotiek CSIRT v zmysle Zákona), ak z príslušného znenia Zákona alebo jeho vykonávacieho právneho predpisu účinného po uzatvorení tejto Zmluvy nevyplýva inak (pre takýto prípad sa aplikuje aktuálne znenie Zákona a/alebo príslušného vykonávacieho právneho predpisu k Zákonu).
8.2	V nadväznosti na bod 8.1 Zmluvy je Tretia strana povinná poskytnúť Prevádzkovateľovi základnej služby najmä nasledovné informácie o kybernetickom bezpečnostnom incidente:
8.2.1	funkcia a pracovné zaradenie osoby Tretej strany, ktorá hlási kybernetický bezpečnostný incident;
8.2.2	identifikačné údaje ďalších osôb dotknutých kybernetickým bezpečnostným incidentom;
8.2.3	informácie o kybernetickom bezpečnostnom incidente v rozsahu potrebnom na jeho riadnu identifikáciu, najmä (ak relevantné):
8.2.3.1.	typ kybernetického bezpečnostného incidentu (napr. pokus o prienik do systému,
8.2.3.2.	podozrenie na úspešný prienik do systému vrátane APT, nedostupnosť (DoS, DDoS útok, sabotáž, výpadok služby), neoprávnený prístup k informáciám, únik informácií, poškodenie informácií, podvod (neautorizované využitie prostriedkov, porušenia autorských práv), iné,
8.2.3.3.	 identifikácia nežiaduceho obsahu (napr. spam, obťažovanie, vyhrážanie, násilie, potláčanie práv a slobôd),

8.2.3.4.	identifikácia škodlivého kódu (napr. vírus, malvér, ransomvér),
8.2.3.5.	spôsob identifikácie kybernetického bezpečnostného incidentu a informácií o kybernetickom bezpečnostnom incidente (skenovanie site, odpočúvanie, sociálne inžinierstvo),
8.2.3.6.	identifikácia zraniteľnosti,
8.2.4	časové údaje zistenia a vzniku kybernetického bezpečnostného incidentu,
8.2.5	čas začiatku incidentu (ak je známy), informácia, či ide o prebiehajúci kybernetický bezpečnostný incident,
8.2.6	detailný opis priebehu kybernetického bezpečnostného incidentu a jeho prvotná príčina,
8.2.7	popis rozsahu a odhad výšky škôd,
8.2.8	odhad závažnosti dopadu kybernetického bezpečnostného incidentu na tretie strany,
8.2.9	identifikácia ohrozenej alebo narušenej základnej služby a ďalšie v dôsledku kybernetického bezpečnostného incidentu, najmä:
8.2.9.1.	ohrozené alebo narušené aktíva (Host/IP, vrátane identifikácie informačného systému a prevádzkových parametrov služby,
8.2.9.2.	informácia, či ide o kritické aktíva z pohľadu zabezpečenia kontinuity základnej služby alebo činností Prevádzkovateľa základnej služby a či je aktívum v čase podávania hlásenia v prevádzke,
8.2.10	informácie o riešení kybernetického bezpečnostného incidentu,
8.2.11	stav riešenia kybernetického bezpečnostného incidentu,
8.2.12	informácia o vykonaní opatrení smerujúcich k riešeniu hláseného kybernetického bezpečnostného incidentu,
8.2.13	opatrenia na zamedzenie opakovania závažného kybernetického bezpečnostného incidentu,
8.2.14	výsledok prijatých opatrení,
8.2.15	dátum a čas realizácie opatrení.
8.3	Tretia strana je povinná bez zbytočného odkladu informovať Prevádzkovateľa základnej služby o všetkých skutočnostiach majúcich vplyv na zabezpečovanie kybernetickej bezpečnosti. V prípade pochybností Zmluvné strany berú na vedomie, že vplyv na zabezpečovanie kybernetickej bezpečnosti majú akékoľvek informácie, ktoré svedčia alebo nasvedčujú ohrozenie alebo porušenie požiadaviek Zákona, Vyhlášky, Zmluvy alebo ohrozenie alebo narušenie kontinuity základnej služby, ktorých včasná znalosť alebo dispozícia s nimi by mala alebo mohla mať akýkoľvek vplyv na kybernetickú bezpečnosť alebo práva alebo právom chránené záujmy Zmluvných alebo tretích osôb.
8.4	Zmluvné strany sú povinné vzájomne sa informovať o všetkých skutočnostiach, ktoré môžu mať akýkoivek vplyv na Zmluvu, najmä na jej plnenie ktoroukoivek Zmluvnou stranou.
8.5	Z dôvodu rýchlosti a efektívnosti komunikácie Zmluvných strán, pokiaľ sa Zmluvné strany nedohodnú na širšom rozsahu komunikácie, bude komunikácia Zmluvných strán prebiehať prostredníctvom mailových adries Zmluvných strán uvedených v záhlaví Zmluvy. Informácia poskytovaná podľa tohto bodu Zmluvy sa považuje za doručenú nasledujúci pracovný deň po ich odoslaní na e-mailovú adresu druhej zmluvnej strany v súlade s bodom 13.4 Zmluvy.

Článok 9
Kontrolná činnosť a audit
9.1	Výkonom kontrolných činnosti a auditu sa rozumie na požiadavka Prevádzkovateľa základnej služby na výkon kontroly alebo auditu Prevádzkovateľom základnej služby alebo ním poverenej osoby u Tretej strany na overenie plnenia povinností Treťou stranou, ktoré jej vyplývajú zo Zmluvy, a to v rozsahu a za podmienok podľa § 9 ods. 2 písm. h) Vyhlášky a 29 Zákona, ak Zmluva neurčuje inak (ďalej ako „Kontrola" alebo „výkon Kontroly"). Pre vylúčenie pochybností platí, že postup Prevádzkovateľa základnej služby podľa § 29 Zákona je možné zabezpečiť len prostredníctvom certifikovaného audítora kybernetickej bezpečnosti. Zmluvné strany sa dohodli na nasledovnom rozsahu, spôsobe a možnostiach výkonu Kontroly u Tretej strany:
9.1.1	Tretia strana je povinná na požiadanie Prevádzkovateľa základnej služby v primeranom čase nie dlhšom ako 5 dní od doručenia žiadosti Prevádzkovateľa základnej služby umožniť Kontrolu vykonávanú Prevádzkovateľom základnej služby alebo ním poverenou osobou, ktorého Prevádzkovateľ základnej služby výkonom Kontroly poveril;
9.1.2	žiadosť Prevádzkovateľa základnej služby o výkon Kontroly u Tretej strany musí byť Prevádzkovateľom základnej služby predložená v dostatočnom časovom predstihu pred požadovaným výkonom Kontroly, najmenej však 5 dní pred požadovaným výkonom Kontroly a musí obsahovať informácie o termíne, zameraní a mieste výkonu Kontroly a identifikáciu zástupcov Prevádzkovateľa základnej služby, ktorí sa Kontroly zúčastnia;
9.1.3	zástupcovia Prevádzkovateľa základnej služby zúčastňujúci sa Kontroly alebo vykonávajúci Kontrolu sú povinní dodržiavať všetky právne predpisy a interné predpisy Tretej strany, s ktorými boli Treťou stranou oboznámení;
9.1.4	Tretia strana je povinná pri Kontrole spolupracovať s Prevádzkovateľom základnej služby a sprístupniť mu svoje priestory, dokumentáciu a technické a technologické vybavenie, ktoré súvisia s plnením úloh na úseku kybernetickej bezpečnosti podľa Zmluvy alebo Hlavnej zmluvy;
9.1.5	Prevádzkovateľ základnej služby je v rámci Kontroly oprávnený klásť otázky zamestnancom a Subdodávateľovi Tretej strany, ktorí sa podieľajú na plnení úloh na úseku kybernetickej bezpečnosti podľa Zmluvy za prítomnosti osoby poverenej Treťou stranou;
9.1.6	náklady spojené s výkonom Kontroly znáša každá Zmluvná strana samostatne.
9.2	Ak Tretia strana neumožní vykonanie Kontroly, má sa za to, že neplní úlohy na úseku kybernetickej bezpečnosti podľa tejto Zmluvy. Pre takýto prípad je Prevádzkovateľ základnej služby oprávnený od tejto Zmluvy odstúpiť.
9.3	Tretia strana je povinná v lehote určenej Prevádzkovateľom základnej služby, avšak najneskôr v lehote 60 dní odo dňa ich oznámenia, prijať opatrenia na nápravu nedostatkov zistených Kontrolou a poskytnúť Prevádzkovateľovi základnej služby potrebnú súčinnosť.
9.4	Ustanovenia tohto článku Zmluvy sa primerane vzťahujú aj na výkon Kontroly u Subdodávateľa. Tretia strana povinná povinnosťou podriadiť sa výkonu Kontroly zaviazať aj všetkých svojich Subdodávateľov, a to tak, aby k výkonu Kontroly u Subdodávateľa Treťou stranou došlo aspoň jeden krát ročne. Tretia strana je povinná výstup z vykonanej Kontroly primerane v obsahu náležitostí v zmysle § 2 Vyhlášky Národného bezpečnostného úradu č. 493/2022 Z. z. o audite kybernetickej bezpečnosti. Zmluvný záväzok Subdodávateľa podriadiť sa výkonu Kontroly sa vzťahuje aj na výkon Kontroly Prevádzkovateľom základnej služby, čo je Tretia strana povinná so Subdodávateľom zabezpečiť na zmluvnom základe.

Článok 10
Rozsah činností Tretej strany
10.1	Zmluvné strany vyhlasujú, že konkrétny rozsah činností Tretej strany je daný Hlavnou zmluvou, pričom pokiaľ sa jedná o činnosti súvisiace s kybernetickou bezpečnosťou, rozsah činností je daný touto Zmluvou v spojení s článkom 2 tejto Zmluvy.
Článok 11
Povinnosti po skončení Zmluvy
11.1	Tretia strana vyhlasuje, že v zmysle § 9 ods. 2 písm. p) Vyhlášky umožní Prevádzkovateľovi základnej služby zabezpečiť kontinuitu prevádzkovanej základnej služby vo vzťahu k Plneniu a na tieto účely je povinná udeliť, poskytnúť, previesť alebo postúpiť Prevádzkovateľovi základnej služby všetky potrebné licencie, práva alebo súhlasy na zabezpečenie kontinuity prevádzkovanej základnej služby, a to najneskôr ku dňu ukončenia zmluvného vzťahu. Toto ustanovenie ostáva v platnosti a účinnosti aj po zániku tejto Zmluvy, a to bez časového obmedzenia.
11.2	Tretia strana je povinná pre prípad zániku Zmluvy Prevádzkovateľovi základnej služby vrátiť alebo previesť všetky informácie, ku ktorým má Tretia strana na základe Zmluvy počas jej trvania prístup alebo tieto informácie zničiť. Tretia strana je pre účely tohto bodu Zmluvy povinná Prevádzkovateľ základnej služby dodatočne preukázať, že postupovala v súlade s týmto bodom Zmluvy, a to prípadne prostredníctvom písomného vyhlásenia Tretej strany o konkrétnom postupe Tretej strany v zmysle tohto bodu Zmluvy.
Článok 12
Zodpovednosť za škodu a sankcie
12.1	Zmluvná strana zodpovedá za škodu spôsobenú druhej Zmluvnej strane. Za škodu vzniknutú Zmluvnej strane sa na účely Zmluvy považuje aj pokuta alebo akákoľvek iná sankcia uložená Zmluvnej strane príslušným štátnym orgánom. V prípade, že Zmluvná strana poruší svoju povinnosť, ktorá jej vyplýva zo Zákona alebo Zmluvy (ďalej ako „porušujúca Zmluvná strana") a v dôsledku tohto konania alebo opomenutia konania porušujúcej zmluvnej strany dôjde k vzniku škody na strane druhej Zmluvnej strany (ďalej ako „poškodená Zmluvná strana"), zaväzuje sa porušujúca Zmluvná strana túto škodu vzniknutú poškodenej Zmluvnej strane nahradiť.
12.2	Porušujúca Zmluvná strana je povinná uhradiť vzniknutú škodu na základe písomnej výzvy poškodenej Zmluvnej strany doručenej porušujúcej Zmluvnej strane na adresu uvedenú v Zmluve, alebo na inú porušujúcou Zmluvnou stranou oznámenú adresu.
12.3	V prípade, ak Tretia strana poruší svoje povinnosti:
12.3.1	udržiavať aktuálne a pravdivé informácie a uskutočňovať oznámenia podľa bodu 4.2 Zmluvy;
12.3.2	podpísať vyjadrenie o zachovávaní mlčanlivosti podľa bodu 4.3 Zmluvy;
12.3.3	uložiť Subdodávateľovi povinnosti vyplývajúce zo Zmluvy podľa bodu 4.7 Zmluvy;
12.3.4	prijať, dodržiavať a udržiavať bezpečnostné opatrenia podľa bodu 6.3 a 6.4 Zmluvy;
12.3.5	chrániť všetky informácie podľa bodu 7.2 Zmluvy;
12.3.6	poskytnúť Prevádzkovateľovi základnej služby všetky informácie podľa bodu 7.3 a 7.4 Zmluvy;

12.3.7	poskytnúť Prevádzkovateľovi základnej služby zoznam softvérových komponentov a jeho aktualizácie, podrobnosti o implementovaných bezpečnostných funkciách, pokyny a dokumentáciu týkajúcu sa konfigurácie softvéru podľa bodu 7.5 Zmluvy,
12.3.8	informovať Prevádzkovateľ základnej služby o kybernetickom bezpečnostnom incidente podľa bodu 8.1 v spojení s bodom 8.2 Zmluvy;
12.3.9	informovať Prevádzkovateľa základnej služby o všetkých skutočnostiach majúcich vplyv na zabezpečovanie kybernetickej bezpečnosti podľa bodu 8.3 Zmluvy;
12.3.10	umožniť výkon kontroly alebo auditu podľa čl. 9 Zmluvy;
vzniká Prevádzkovateľovi základnej služby nárok na zaplatenie zmluvnej pokuty vo výške 1000,- eur, a to za každé jednotlivé porušenie.
12.4 Uplatnením zmluvnej pokuty v zmysle tohto článku Zmluvy nie je dotknutý nárok Prevádzkovateľa základnej služby na náhradu vzniknutej škody v celom rozsahu a právo na uplatnenie ďalšej zmluvnej pokuty podľa tejto Zmluvy. Prevádzkovateľ môže uplatňovať náhradu škody a zmluvnej pokuty kumulatívne, prevádzkovateľ základnej služby má nárok na zaplatenie zmluvnej pokuty a súčasne náhrady škody v plnom rozsahu. Prevádzkovateľ základnej služby je oprávnený jednostranne započítať voči Tretej strane svoje pohľadávky vzniknuté z titulu zmluvnej pokuty alebo náhrady škody uplatnenej podľa tejto Zmluvy.
Článok 13
Doručovanie
13.1	Zmluvné strany sa dohodli, že písomnosti podľa Zmluvy sa doručujú osobne, poštou, kuriérskou službou alebo e-mailom. Každá zmluvná strana je povinná písomne informovať druhú zmluvnú o akejkoivek zmene adresy, e-mailu, alebo kontaktných údajov.
13.2	Tretia strana je povinná komunikovať pri plnení povinností podľa tejto Zmluvy s Prevádzkovateľom základnej služby e-mailom na kontaktné údaje zmluvných strán uvedené v tomto článku Zmluvy, alebo iným vhodným spôsobom, pričom vo všetkých prípadoch musí byť prenos informácií uskutočnený za podmienok umožňujúcich chránený prenos informácií.
•	Prevádzkovateľ základnej služby určuje nasledovnú kontaktnú osobu pre komunikáciu s Treťou stranou na úseku kybernetickej bezpečnosti:
(meno, priezvisko, e-mail, telefónne číslo)
•	Tretia strana určuje nasledovnú kontaktnú osobu pre komunikáciu s Prevádzkovateľom základnej služby na úseku kybernetickej bezpečnosti:
(meno, priezvisko, e-mail, telefónne číslo)
13.3	Kontaktné osoby podľa bodu 13.2 tohto článku Zmluvy môže príslušná zmluvná strana zmeniť bez vyhotovenia dodatku k tejto Zmluve, ak oznámi novú kontaktnú osobu druhej zmluvnej strane v písomnej forme. Pre oznamovanie novej kontaktnej osoby sa použijú ustanovenia Zmluvy o doručovaní podľa bodov 13.4 až 13.6 tohto článku Zmluvy.
13.4	Písomnosti doručované poštou a kuriérskou službou sa doručujú na adresu sídla zmluvných strán, uvedenú v záhlaví Zmluvy.
13.5	Písomnosti doručované osobne sa považujú za doručené v deň ich prevzatia, alebo dňom kedy adresát odoprel prevziať zásielku. Písomnosti doručované poštou alebo kuriérskou službou sa považujú za doručené v deň prevzatia zásielky adresátom, alebo v deň keď sa zásielka vrátila odosielateľovi späť ako nedoručená, aj keď sa adresát o zásielke nedozvedel.

13.6	Písomnosti doručované prostredníctvom e-mailu sa považujú za doručené nasledujúci pracovný deň po ich odoslaní na e-mailovú adresu druhej zmluvnej strany v zmysle podmienok podľa bodu 8.5 Zmluvy.
13.7	Na doručovanie písomností týkajúcich sa vzniku, zmeny alebo zániku Zmluvy, akéhokoivek porušenia Zmluvy, sa nepoužije e-mail.
Článok 14
Záverečné ustanovenia
14.1	 Zmluva je vyhotovená v dvoch vyhotoveniach. Každá Zmluvná strana dostane po jednom vyhotovení. Neoddeliteľnou súčasťou Zmluvy sú nasledovné Prílohy:
14.1.1	Príloha č. 1: Vyhlásenie o oboznámení sa s Bezpečnostnou politikou Prevádzkovateľa základnej služby;
14.1.2	Príloha č. 2: Zoznam pracovných rolí Tretej strany a ich personálne obsadenie;
14.1.3	Príloha č. 3: Požiadavky na plnenie bezpečnostných opatrení;
14.1.4	Príloha č. 4: Zoznam subdodávateľov Tretej strany
14.2	 Pokiaľ nie je v Zmluve uvedené inak, riadia sa práva a povinnosti Zmluvných strán Zákonom a Obchodným zákonníkom.
14.3	Ak sa zmluvné strany nedohodli inak, Zmluvu je možné meniť, upravovať alebo dopĺňať iba písomnými dodatkami, ktoré sa po podpísaní obidvoma Zmluvnými stranami stávajú jej neoddeliteľnou súčasťou.
14.4	Sporné otázky vyplývajúce zo Zmluvy sa budú prednostne riešiť dohodou Zmluvných strán a až potom, keď sa ich nepodarí vyriešiť dohodou, prostredníctvom súdu.
14.5	V prípade, že je alebo sa stane niektoré ustanovenie Zmluvy neplatné, zostávajú ostatné ustanovenia Zmluvy platné a účinné. Namiesto neplatného ustanovenia sa použijú ustanovenia všeobecne záväzných právnych predpisov upravujúce otázku vzájomného vzťahu Zmluvných strán. Zmluvné strany sa potom zaväzujú upraviť svoj vzťah prijatím iného ustanovenia, ktoré svojím obsahom a povahou najlepšie zodpovedá zámeru neplatného ustanovenia.

14.6	Zmluvné strany prehlasujú, že ustanoveniam Zmluvy porozumeli čo do obsahu i rozsahu, Zmluva vyjadruje ich slobodnú vôľu, na znak čoho k nej pripájajú svoje podpisy.
V Bratislave, dňa	 V Bratislave, dňa
za Prevádzkovateľa základnej služby:	za Tretiu stranu:
Všeobecná zdravotná poisťovňa, a.s.
Všeobecná zdravotná poisťovňa, a.s.

Príloha č. 1
K Zmluve o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností
Vyhlásenie o oboznámení sa s Bezpečnostnou politikou Prevádzkovateľa základnej služby
Tretia strana:
vyhlasuje, že sa v súlade s §9 bod 2. písm. b) Vyhlášky, ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení oboznámil a súhlasí s bezpečnostnými politikami Prevádzkovateľa základnej služby, ktoré sú popísané v nasledovných dokumentoch:
1.	Smernica Prehlásenie o aplikovateľnosti č. 123/5/2021, účinná od 15.10.2021
2.	Smernica Bezpečnostné incidenty č. 53/8/2021, účinná od 15.6.2021
3.	Smernica Ochrana osobných údajov č. 74/16/2024, účinná od 15.08.2024
4.	Smernica Objektová a fyzická bezpečnosť č. 57/15/2024, účinná od 15.10.2024
5.	Základná norma č. 31/2023 - Politika informačnej a kybernetickej bezpečnosti, účinná od 06.10.2023
6.	Smernica č. 157/2024 - Riadenie informačných aktív, účinná od 19.02.2024
V Bratislave dňa

Príloha č. 2
K Zmluve o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností
Zoznam pracovných rolí Tretej strany a ich personálne obsadenie:
(meno, priezvisko, rola, e-mail, telefónne číslo)

Príloha č. 3
K Zmluve o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností
POŽIADAVKY NA PLENENIE BEZPEČNOSTNÝCH OPATRENÍ
v zmysle zákona č. 69/2018 Z. z. (ďalej len „Zákon") a vyhlášky NBÚ č. 362/2018 Z. z. (ďalej len „Vyhláška")
POVINNÉ BEZPEČNOSTNÉ OPATRENIA
Správu identít a prístupov zabezpečuje Tretia strana prostredníctvom opatrení definovaných v nasledovných bodoch alebo prostredníctvom opatrení s porovnateľnými účinkami: (§ 20 ods. 2 písm. j) Zákona v spojení s § 8 vyhlášky)
-	Riadenie prístupov osôb k sieti a informačnému systému je založené na zásade, že používateľ má prístup len k tým aktívam a funkcionalitám v rámci siete a informačného systému, ktoré sú nevyhnutné na plnenie zverených úloh používateľa. Na tento účel sa vypracúvajú zásady riadenia prístupu osôb k sieti a informačnému systému, ktoré definujú spôsob prideľovania a odoberania prístupových práv používateľom, ich evidenciu a vedenie prevádzkových záznamov o každom prístupe do siete a informačného systému.
-	Riadenie prístupov k sieťam a informačným systémom sa uskutočňuje v závislosti od prevádzkových a bezpečnostných potrieb prevádzkovateľa základnej služby, pričom sú prijaté bezpečnostné opatrenia, ktoré slúžia na zabezpečenie ochrany údajov, ktoré sú používané pri prihlásení do sietí a informačných systémov a ktoré zabraňujú zneužitiu týchto údajov neoprávnenou osobou.
-	Riadenie prístupov osôb k sieti a informačnému systému zahŕňa najmä vypracovanie zásad riadenia prístupu k informáciám, riadenie prístupu používateľov, zodpovednosť používateľov, riadenie prístupu k sieťam, prístup k operačnému systému a jeho službám, prístup k aplikáciám, monitorovanie prístupu a používania informačného systému a riadenie vzdialeného prístupu.
-	Pri riadení prístupov k sieťam a informačným systémom sa:
-	a) každému používateľovi siete a informačného systému prideľuje jednoznačný identifikátor na autentizáciu na vstup do siete a informačného systému,
-	b) zabezpečuje riadenie jednoznačných identifikátorov používateľov vrátane prístupových práv a oprávnení používateľských účtov,
-	c) využíva nástroj na správu a overovanie identity používateľa pred začiatkom jeho aktivity v rámci siete a informačného systému a nástroj na riadenie prístupových oprávnení, prostredníctvom ktorého je riadený prístup k jednotlivým aplikáciám a údajom, prístup na čítanie a zápis údajov a na zmeny oprávnení a prostredníctvom ktorého sa zaznamenávajú použitia prístupových oprávnení,
-	d) v pravidelných intervaloch, najmenej raz ročne, vykonáva kontrola prístupových účtov a prístupových oprávnení na overenie súladu schválených oprávnení so skutočným stavom vykonávania oprávnení, a detekcia a následné trvalé zablokovanie nepoužívaných prístupových účtov, o čom sa vedie záznam preukázateľným spôsobom,
-	e) určí osoba zodpovedná za riadenie prístupu používateľov do siete a k informačnému systému a za prideľovanie a odoberanie prístupových práv používateľom, ich evidenciu a vedenie prevádzkových záznamov o každom prístupe do siete a informačného systému v zmysle bezpečnostnej politiky.
Správu zraniteľností a kybernetických hrozieb sa zabezpečuje Tretia strana prostredníctvom opatrení definovaných v nasledovných bodoch alebo prostredníctvom opatrení s porovnateľnými účinkami: (§ 20
ods. 2 písm. b) Zákona v spojení s § 11 vyhlášky)

-	Implementovaný nástroj na:
a)	detegovanie existujúcich zraniteľností programových prostriedkov a ich častí,
b)	detegovanie existujúcich zraniteľností technických prostriedkov a ich častí.)
-	Vypracované pravidlá a zásady pre riadenie záplat a aktualizácií s cieľom zabezpečiť konzistentné nasadzovanie potrebných softvérových opráv a aktualizácií a plošnú aplikáciu aktualizácií na zariadenia, pre ktoré je softvérová aktualizácia či záplata vydaná.
-	Úlohami procesu riadenia záplat a aktualizácií sú najmä identifikácia potrieb softvérových záplat a aktualizácií, evidencia softvérových záplat a aktualizácií a informácia o ich nasadení alebo o dôvodoch ich nenasadenia, rozhodnutie o vhodnom prístupe k otestovaniu softvérových záplat a aktualizácií, zabezpečenie implementácie softvérových záplat a aktualizácií, aktualizácia plánu softvérových záplat a aktualizácií. Využívanie verejných a výrobcom poskytovaných zoznamov, ktoré opisujú zraniteľnosti programových a technických prostriedkov, príp. iných zdrojov informácií o známych zraniteľnostiach (napr. SK-CERT)
-	Neschválené aktualizácie nie sú prípustné.
Ochranu proti škodlivému kódu a nežiaducemu obsahu zabezpečuje Tretia strana prostredníctvom opatrení definovaných v nasledovných bodoch alebo prostredníctvom požiadaviek s porovnateľnými účinkami: (§ 20 ods. 2 písm. l) Zákona v spojení s § 12 Vyhlášky)
-	(1)
-	Určenie zodpovednosti používateľov za prevenciu pred škodlivým kódom,
-	určenie pravidiel pre inštaláciu a používanie systémov prevencie škodlivého kódu,
-	monitorovanie potenciálnych ciest prieniku škodlivého kódu do prostredia sietí a informačných systémov.
-	Systémy na ochranu proti škodlivému kódu sú nakonfigurované tak, že
a)	v reálnom čase vykonávajú kontrolu prístupu k digitálnemu obsahu vrátane sieťovej prevádzky, sťahovania, spúšťania alebo otvárania súborov, priečinkov na vymeniteľnom alebo vzdialenom úložisku a prístupu k webovým sídlam a cloudovým službám,
b)	spúšťajú pravidelné kontroly úložísk vrátane cloudových a pripojených vymeniteľných úložísk, najmenej raz ročne,
c)	neoprávneným používateľom je zabránené v prístupe k obsahu prostredníctvom funkcie filtrovania obsahu,
d)	používateľom je zamedzené v pokusoch odinštalovať alebo zakázať funkcie systému na ochranu proti škodlivému kódu.
Systémovú bezpečnosť, sieťovú bezpečnosť a komunikačnú bezpečnosť zabezpečuje Tretia strana prostredníctvom opatrení definovaných v nasledovných bodoch alebo prostredníctvom opatrení s porovnateľnými účinkami: (§ 20 ods. 2 písm. m) Zákona v spojení s § 13 Vyhlášky)
-	Riadenie bezpečného prístupu medzi vonkajšími a vnútornými sieťami, a to najmä využitím nástrojov na ochranu integrity sietí, ktoré sú zabezpečené segmentáciou sietí, informačné systémy so službami priamo prístupnými z externých sietí sa nachádzajú v samostatných sieťových segmentoch a v rovnakom segmente musia byť len informačné systémy s rovnakými bezpečnostnými požiadavkami, rovnakej kategórie a s podobným účelom,
-	spojenia medzi segmentmi siete, ktoré sú chránené firewallom sú povoľované na princípe zásady najnižších privilégií,
-	aplikovanie bezpečnostných opatrení na bezpečné mobilné pripojenie do siete a vzdialený prístup, napríklad s použitím dvojfaktorovej autentizácie alebo použitím kryptografických prostriedkov,
-	v sieťach sú umožnené len špecifikované služby umiestnené vo vyhradených segmentoch počítačovej siete,

-	spojenia do externých sietí sú smerované cez sieťový firewall,
-	servery dostupné z externých sietí sú zabezpečené podľa odporúčaní výrobcu,
-	udržiavanie zoznamu vstupno-výstupných bodov na hranici siete v aktuálnom stave,
-	používanie automatizačných prostriedkov, ktorými sú identifikované neoprávnené sieťové spojenia na hranici s vonkajšou sieťou,
-	blokovanie neoprávnených spojení zo zdrojov identifikovaných ako škodlivé alebo spôsobujúce hrozby, ak to nastavenie informačného systému umožňuje,
-	neumožnenie komunikácie a prevádzky aplikácií cez neautorizované porty,
-	systém monitorovania bezpečnosti, musí byť nakonfigurovaný tak, že zaznamenáva a vyhodnocuje aj informácie o sieťových paketoch na hranici siete,
-	implementovanie systému detekcie prienikov alebo systému prevencie prienikov na identifikáciu nezvyčajných mechanizmov útokov alebo proaktívneho blokovania škodlivej sieťovej prevádzky,
-	smerovane odchádzajúcej používateľskej sieťovej prevádzky cez autentizovaný server filtrovania obsahu,
-	požadovať používanie dvojfaktorovej autentizácie od každého vzdialeného pripojenia do internej siete,
-	vykonávanie pravidelného alebo nepretržitého posudzovania technických zraniteľností, a posudzovania technických zraniteľností zariadenia, ktoré sa vzdialene pripája do internej siete, alebo zmluvného zaručenia vrátane preukázania plnenia tejto povinnosti.
Monitorovanie, zaznamenávanie a hlásenie udalostí zabezpečuje Tretia strana prostredníctvom opatrení definovaných v nasledovných bodoch alebo prostredníctvom opatrení s porovnateľnými účinkami: (§ 20
ods. 2 písm. n) Zákona v spojení s § 15 Vyhlášky)
-	Zaznamenávanie udalostí a monitorovanie sietí a informačných systémov sa uskutočňuje implementáciou centrálneho nástroja na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov zabezpečujúceho dohľad nad sieťami a informačnými systémami zaznamenávaním prevádzky týchto sietí a informačných systémov, a to najmenej v rozsahu
a)	centrálnych sieťových prvkov a serverov,
b)	služieb prístupných do externých sietí a
c)	kritických interných serverov a služieb.
-	Nástroj na zaznamenávanie činnosti sietí a informačných systémov a ich používateľov umožňuje vytvárať prevádzkové záznamy a zaznamenávať najmenej:
a)	aktivity v podobe vytvorenia, čítania, aktualizácie alebo odstránenia chránených a prísne chránených informácií a údajov alebo ďalších informačných aktív s nimi spojených,
b)	iniciáciu pripojenia do siete alebo informačného systému a akceptáciu alebo odmietnutie pripojenia do siete alebo informačného systému zaznamenaním aspoň dátumu a času aktivity, identifikácie technického prostriedku, v rámci ktorého je činnosť zaznamenaná, identifikáciu osoby a zdroja vo forme IP adresy,
c)	pridelenie, úpravu alebo zrušenie prístupových práv používateľa vrátane pridania nového používateľa alebo skupiny používateľov, zmenu úrovne oprávnenia používateľa, zmenu pravidiel firewallu alebo zmenu hesla,
d)	automatické varovné alebo chybové hlásenia systémov,
e)	detegované podozrivé alebo škodlivé aktivity a
f)	ďalšie informácie nevyhnutné na posúdenie závažnosti kybernetického bezpečnostného incidentu v spojení s kritickosťou danej služby alebo zariadenia a korektné informácie o dátume, čase a použitej časovej zóne.
-	Prevádzkové záznamy sú zabezpečené najmenej tak, že
a)	sú čitateľné výlučne osobám povereným ich analýzou,
b)	zamedzujú možnosti prepísania alebo vymazania záznamu,

c)	záznamy prenášané alebo presmerované od pôvodného zdrojového zariadenia do bezpečnostného monitorovacieho systému sú presmerované prostredníctvom zabezpečených kanálov alebo prostredníctvom dedikovanej správcovskej siete,
d)	sú uchovávané po dobu zodpovedajúcu kategórii informačného systému.
-	Za monitorovanie prevádzkových záznamov, ich vyhodnocovanie a vykonanie nahlásenia podozrivej aktivity je zodpovedný na to poverený zamestnanec prevádzkovateľa základnej služby alebo zamestnanec tretej strany, ak je jej táto činnosť zverená.
Riadenie udalostí a kybernetických bezpečnostných incidentov zabezpečuje Tretia strana prostredníctvom opatrení definovaných v nasledovných bodoch alebo prostredníctvom opatrení s porovnateľnými účinkami: (§ 20 ods. 2 písm. d) Zákona v spojení s § 17 Vyhlášky)
-	Oboznámenie sa so štandardmi a postupmi Prevádzkovateľa základnej služby pre riešenie
-	kybernetických bezpečnostných incidentov,
-	spracovanie vlastných štandardov a postupov riešenia kybernetických bezpečnostných incidentov, ktoré obsahujú najmä:
a)	postup pri internom nahlasovaní kybernetických bezpečnostných incidentov,
b)	postup pri hlásení kybernetických bezpečnostných incidentov podľa § 24 ods. 1 zákona,
c)	postup pri riešení jednotlivých typov kybernetických bezpečnostných incidentov a spôsob ich vyhodnocovania a
d)	spôsob evidencie kybernetických bezpečnostných incidentov a použitých riešení.
-	monitorovanie a analyzovanie udalostí v sieťach a informačných systémoch, ktoré sú využívané na poskytovanie služieb pre Prevádzkovateľa základnej služby,
-	detekcia kybernetických bezpečnostných incidentov, prostredníctvom nástroja na detekciu kybernetických bezpečnostných incidentov, ktorý umožňuje v rámci sietí a informačných systémov a medzi sieťami a informačnými systémami, ktoré sú využívané na poskytovanie služieb pre Prevádzkovateľa základnej služby, overenie a kontrolu prenášaných dát.
-	Zabezpečiť zber a vyhodnocovanie relevantných informácií o kybernetických bezpečnostných incidentoch prostredníctvom nástroja na zber a nepretržité vyhodnocovanie kybernetických bezpečnostných udalostí, ktorý umožňuje zber a vyhodnocovanie informácií o kybernetických bezpečnostných incidentoch; vyhľadávanie a zoskupovanie záznamov súvisiacich s kybernetickým bezpečnostným incidentom; vyhodnocovanie bezpečnostných udalostí na ich identifikáciu ako kybernetických bezpečnostných incidentov; revíziu konfigurácie a monitorovacích pravidiel na vyhodnocovanie bezpečnostných udalostí pri nesprávne identifikovaných kybernetických bezpečnostných incidentoch.
-	Zabezpečiť proces riešenia kybernetických bezpečnostných incidentov prostredníctvom:
a)	pridelenia zodpovednosti a určenia postupov na zvládanie kybernetických bezpečnostných incidentov,
b)	zavedenia procesu získavania a uchovávania podkladov potrebných na analýzu kybernetickej bezpečnostnej udalosti a kybernetického bezpečnostného incidentu,
c)	prijímania opatrení na odvrátenie alebo zmiernenie vplyvu kybernetického bezpečnostného incidentu,
d)	zavedenia pravidelného testovania, najmenej raz ročne, procesu nahlasovania kybernetických bezpečnostných incidentov, v zmysle štandardov a postupov vypracovaných podľa odseku 2, s vedením záznamov o takomto testovaní,
e)	vedenia záznamov o kybernetických bezpečnostných incidentoch vrátane použitých riešení,
f)	prešetrovania a určenia príčin vzniku kybernetického bezpečnostného incidentu,
g)	aktualizácie bezpečnostnej politiky a prijatia primeraných bezpečnostných opatrení zamedzujúcich opakovanému výskytu kybernetického bezpečnostného incidentu a

h)	určenia fyzickej osoby zodpovednej za nahlasovanie a odovzdávanie hlásení o kybernetických bezpečnostných incidentoch.
-	Riešenie zistených kybernetických bezpečnostných incidentov a zníženie následkov zistených kybernetických bezpečnostných incidentov a
-	vyhodnocovanie spôsobov riešenia kybernetických bezpečnostných incidentov po ich vyriešení a prijatia opatrení alebo zavedenia nových postupov s cieľom minimalizovať výskyt obdobných kybernetických bezpečnostných incidentov v súčinnosti s Prevádzkovateľom základnej služby.

Príloha č. 4
Zoznam subdodávateľov Tretej strany