Absencia špecifických sektorových kritérií: vzniká oznamovacia povinnosť PZS? Časť II



V minulom článku „Absencia špecifických sektorových kritérií: vzniká oznamovacia povinnosť PZS? Časť I“ sme sa snažili priniesť a odôvodniť náš pohľad na povinnosť prevádzkovateľov služieb podľa § 17 ods. 1 zákona č. 69/2018 Z.z. o kybernetickej bezpečnosti (ďalej ako „Zákon“). V tomto článku budeme v uvedenej analýze pokračovať, a to vo vzťahu k povinnosti prevádzkovateľa služby podľa § 18 ods. 4 Zákona. V zmysle tohto ustanovenia má totižto prevádzkovateľ služby oznamovaciu povinnosť voči Národnému bezpečnostnému úradu (ďalej ako „NBÚ“) v prípade, pokiaľ prekročí len špecifické sektorové kritérium bez dopadového kritéria. V tejto súvislosti sa teda naskytuje otázka, či sa oznamovacia povinnosť týka aj tých prevádzkovateľov služieb, ktorých sektor alebo podsektor špecifické sektorové kritériá v rámci Vyhlášky Úradu č. 164/2018 Z.z., ktorou sa určujú identifikačné kritériá prevádzkovanej služby (kritériá základnej služby) (ďalej ako „Vyhláška“) nemá určené. Práve touto problematikou sa budeme zaoberať v rámci tohto článku, v ktorom sa budeme snažiť náš právny názor odôvodniť nielen čo do právneho, ale aj aplikačného rozmeru.

Na vyslovenie nášho názoru alebo záveru sa opätovne budeme musieť dopracovať k hlbšiemu skúmaniu problematiky a aplikáciu nielen gramatického výkladu § 18 ods. 4 Zákona, ale obdobne ako v prípade § 17 ods. 1 Zákona, aj použitie teleologického výkladu.

Odpoveď áno vychádzajúca z gramatického výkladu môže mať svoj pôvod najmä v nešťastnom použití rovnakého slova v § 17 ods. 1 a § 18 ods. 4 Zákona. V oboch týchto ustanoveniach sa totižto zhodne uvádza slovo „prekročenie“ (príp. jeho príslušný slovný tvar), čo evokuje, že ak sa v zmysle § 17 ods. 1 Zákona za prekročenie považuje aj prípad, kedy špecifické sektorové kritérium nie je dané, rovnako sa musí postupovať aj v rámci § 18 ods. 4 Zákona. Podľa tohto výkladu by si teda každý prevádzkovateľ služieb, ktorého sektor alebo podsektor nemá špecifické sektorové kritérium, mal plniť oznamovaciu povinnosť podľa § 18 ods. 4 Zákona.

Uvedené vnímanie je pochopiteľné, aj keď podľa nášho názoru nepresné a dané práve zhodným použitím slova „prekročenie“ pre oba uvádzané prípady. Skúsime sa teda na § 17 ods. 1 a 18 ods. 4 Zákona pozrieť teleologicky.


Zákon bol pripravovaný v čase, kedy nielen Úrad, ale nikto nemal ani tušenie, ako bude vyzerať súčasná Vyhláška, príp. ostatné vykonávacie právne predpisy k Zákonu. Máme tým na mysli najmä to, že tvorcovia Zákona nemohli predpokladať, že v budúcnosti (pozn. návrh Zákona predložený do MPK 26.05.2017 a návrh Vyhlášky predložený do MPK 10.04.2018, teda po uplynutí 320 dní) bude čo do obsahu prijatá taká Vyhláška, ktorá už Zákonom predpokladané špecifické sektorové kritériá podľa § 18 ods. 1 Zákona nebude pre všetky sektory alebo podsektory určovať. Aj keď sme vyslovili záver, že v zmysle Smernice NIS nebola daná povinnosť vytvárať identifikačné kritériá, ako ich poznáme zo Zákona, pri tvorbe Zákona sa ešte počítalo s tým, že vyhláška v zmysle § 32 ods. 1 písm. b) Zákona skutočne určí pre všetky sektory aj podsektory príslušné špecifické sektorové a dopadové kritériá. Ako však dnes vieme, uvedené sa nestalo. Zákon teda mohol vo svojom § 17 ods. 1 obdobne ako v § 18 ods. 4 vysloviť zhodný predpoklad o prekročení špecifických sektorových kritérií, nakoľko nepočítal so stavom, kedy špecifické sektorové kritériá nebudú pre všetky sektory alebo podsektory dané vôbec.

Celkový rozsah prevádzkovateľov služieb pre ten ktorý sektor alebo podsektor je známy, príp. zistiteľný z verejne prístupných zdrojov alebo dopytom príslušného ústredného orgánu podľa § 4 Zákona (napr. dopyt zo strany Úradu). Čo však známe nebolo, je rozsah tých prevádzkovateľov služieb, ktorí si svoju oznamovaciu povinnosť podľa § 17 ods. 1 Zákona nesplnili len preto, lebo vyhodnotili, že aj napriek prekročeniu špecifického sektorového kritériá (jednoduchá analýza na úrovni počet klientov, druh poskytovanej služby, trhový podiel a pod.) neprekročili žiadne dopadové kritérium. Prekročenie dopadového kritéria si totižto vyžaduje omnoho hlbšiu analytickú činnosť, a preto Úrad chcel mať o týchto prevádzkovateľoch služieb vedomosť a príp. sám vyhodnotiť, či na ich strane skutočne k naplneniu identifikačných kritérií nedošlo. Vyhodnotenie zo strany Úradu podľa predchádzajúcej vety by totižto pokojne mohlo mať povahu rozhodnutia Úradu podľa § 17 ods. 2 písm. c) Zákona. V zmysle tohto ustanovenia je totižto Úrad oprávnený o zaradení prevádzkovateľa služieb do registra prevádzkovateľov základných služieb (ďalej ako „PZS“) rozhodnúť aj z vlastnej iniciatívy.

Ako teda vyplýva z vyššie uvedených skutočností, účely § 17 ods. 1 a §18 ods. 4 Zákona nie sú aj napriek rovnakému názvosloviu (prekročenie a špecifické sektorové kritériá / identifikačné kritériá) totožné. Skôr by sa dalo povedať, že sledujú odlišné záujmy. Zatiaľ čo účelom špecifických sektorových kritérií v zmysle § 17 ods. 1 Zákona je ich stanovením zúžiť rozsah potenciálnych PZS alebo ich absenciou celý rozsah potenciálnych PZS zachovať, účelom špecifických sektorových kritérií a ich skutočného prekročenia v zmysle § 18 ods. 4 Zákona (teda tam, kde sú dané), je tvorba zoznamu potenciálnych PZS Úradom. Pokiaľ teda vnímame celý kontext § 18 ods. 4 Zákona, najmä vnímame, že jeho účelom bola tvorba zoznamu potenciálnych PZS všade tam, kde bolo špecifické sektorové kritérium skutočne prekročené, prikláňame sa k záveru, že tí prevádzkovatelia služieb, ktorí pre svoj sektor alebo podsektor nemajú dané žiadne špecifické sektorové kritérium, si oznamovaciu povinnosť podľa § 18 ods. 4 Zákona plniť nemusia. Tento záver je daný najmä tým, že Úrad týchto prevádzkovateľov služieb pozná, nakoľko sú nimi všetci prevádzkovatelia služieb daného sektoru alebo podsektoru.

©2020 by Bukovinský & Chlipala. Proudly created with Wix.com