(1) Sektorové kritériá a európske sektorové kritériá sa určujú podľa charakteristiky príslušného sektora.

(2) Prierezové kritériá a európske prierezové kritériá sa ustanovujú podľa predpokladaného

a) počtu ohrozených osôb, z toho usmrtených osôb a zranených osôb,

b) hospodárskeho vplyvu, ktorým je rozsah

1. hospodárskych strát,

2. zhoršenie kvality tovaru,

3. zhoršenie kvality poskytovania služby vo verejnom záujme,

4. negatívneho vplyvu na životné prostredie,

c) vplyvu na obyvateľov, ktorým je narušenie kvality života obyvateľov z hľadiska

1. závažnosti výpadku dodávky tovaru a času jej obnovy,

2. závažnosti výpadku poskytovania služby vo verejnom záujme a času jeho obnovy,

3. dostupnosti náhrady dodávky tovaru,

4. dostupnosti náhrady poskytovania služby vo verejnom záujme.

(1) Prvok sa určuje podľa sektorových kritérií a prierezových kritérií.

(2) Na určenie prvku sa vyžaduje splnenie aspoň jedného sektorového kritéria a aspoň jedného prierezového kritéria.

(3) Prvok európskej kritickej infraštruktúry sa určuje podľa európskych sektorových kritérií a európskych prierezových kritérií.

(4) Na určenie prvku európskej kritickej infraštruktúry sa vyžaduje splnenie aspoň jedného európskeho sektorového kritéria a aspoň jedného európskeho prierezového kritéria.

(5) Prvok európskej kritickej infraštruktúry možno určiť len po dohode s príslušným orgánom dotknutého členského štátu.

(6) Postup podľa etáp pri určovaní prvku a prvku európskej kritickej infraštruktúry je uvedený v [prílohe č. 1] .

(7) Postup podľa odsekov 1 až 6 sa nevzťahuje na jadrové zariadenie, ktoré sa považuje za prvok kritickej infraštruktúry v podsektore jadrová energetika podľa tohto zákona. Orgány štátnej správy na úseku kritickej infraštruktúry a prevádzkovateľ sú povinní zosúladiť svoju činnosť a postupy zodpovedajúcim spôsobom.

(1) Prevádzkovateľ je povinný ochraňovať prvok pred narušením alebo zničením. Na ten účel prevádzkovateľ je povinný

a) uplatniť pri modernizácii prvku technológiu, ktorá zabezpečuje jeho ochranu,

b) zaviesť bezpečnostný plán po predchádzajúcom vyjadrení príslušného ústredného orgánu do šiestich mesiacov od doručenia oznámenia o určení prvku a o jeho zaradení do sektora, ak sa vo výnimočnom odôvodnenom prípade nedohodne s príslušným ústredným orgánom na predĺžení tejto lehoty; lehotu je možné predĺžiť iba jedenkrát, maximálne o tri mesiace,

c) prehodnocovať priebežne bezpečnostný plán, a ak je to potrebné, zaviesť po predchádzajúcom vyjadrení príslušného ústredného orgánu aktualizovaný bezpečnostný plán,

d) oboznámiť svojich zamestnancov v nevyhnutnom rozsahu s bezpečnostným plánom,

e) precvičiť podľa bezpečnostného plánu aspoň raz za tri roky modelovú situáciu hrozby narušenia alebo zničenia prvku,

f) určiť oprávnenú osobu, ktorá je zároveň kontaktná osoba, ak ide o prvok európskej kritickej infraštruktúry,

g) poskytnúť príslušnému ústrednému orgánu súčinnosť, najmä údaje, doklady a vysvetlenia potrebné na

1. určenie prvku a jeho zaradenie do sektora, ako aj vyradenie prvku zo sektora,

2. posúdenie ochrany prvku vrátane zabezpečenia ochrany prvku prevádzkovateľom strážnej služby 3) alebo ozbrojeným bezpečnostným zborom,

3. vypracovanie analýzy rizík sektora,

4. správu registra prvkov,

h) postupovať podľa bezpečnostného plánu v prípade hrozby narušenia alebo zničenia prvku.

(2) Prevádzkovateľ je povinný vopred oznámiť príslušnému ústrednému orgánu

a) zmenu v predmete činnosti, ktorá môže mať vplyv na určenie prvku a jeho zaradenie do sektora,

b) prevod alebo prechod prvku na iného, vrátane predaja podniku alebo časti podniku, ako aj zmien v osobách, ktoré majú priamu alebo nepriamu účasť na prevádzkovateľovi v rozsahu presahujúcom účasť 10 % na jeho základnom imaní alebo hlasovacích právach alebo majú možnosť uplatňovania vplyvu na riadenie prevádzkovateľa, ktorý je porovnateľný s vplyvom zodpovedajúcim tomuto podielu (ďalej len „nadobúdateľ“),

c) vstup do likvidácie, začatie konkurzného konania, reštrukturalizačného konania alebo iného obdobného konania, exekúcie alebo iného obdobného vykonávacieho konania, ako aj začatie výkonu záložného práva alebo iného obdobného práva vo vzťahu k prevádzkovateľovi alebo jeho majetku, a to bez ohľadu na to, či ide o konanie, na ktoré je daná právomoc orgánov Slovenskej republiky.

(3) Na prevádzkovateľa, ktorý vypracúva havarijný plán alebo obdobný bezpečnostný dokument podľa osobitného predpisu, 4) sa nevzťahuje odsek 1 písm. b), c), d) e) a h).

Ak ide o prvky zo sektorov 3. Energetika a 5. Priemysel podľa [prílohy č. 3] , prevod alebo prechod prvku podľa [§ 9 ods. 2 písm. b)] a prevod alebo prechod prvku v dôsledku [§ 9 ods. 2 písm. c)] sa môže preveriť podľa osobitného predpisu. 4aa)

(1) Bezpečnostný plán obsahuje popis možných spôsobov hrozby narušenia alebo zničenia prvku, zraniteľné miesta prvku a bezpečnostné opatrenia na jeho ochranu.

(2) Bezpečnostné opatrenia na ochranu prvku sú najmä mechanické zábranné prostriedky, technické zabezpečovacie prostriedky, bezpečnostné opatrenia podľa osobitného predpisu, 4a) fyzická ochrana, organizačné opatrenia, kontrolné opatrenia a ich vzájomná kombinácia.

(3) Rozsah bezpečnostných opatrení na ochranu prvku sa určuje na základe posúdenia hrozby narušenia alebo zničenia prvku.

(4) Minimálny postup pri vypracúvaní bezpečnostného plánu je uvedený v [prílohe č. 2] .

(1) Kontaktná osoba zabezpečuje styk medzi prevádzkovateľom prvku európskej kritickej infraštruktúry, príslušným ústredným orgánom a ministerstvom pri ochrane prvku európskej kritickej infraštruktúry, najmä výmenu informácií o hrozbe jeho narušenia alebo zničenia.

(2) Kontaktná osoba je zamestnancom prevádzkovateľa.

(3) Kontaktná osoba musí byť bezúhonná. Za bezúhonnú sa na účely tohto zákona považuje fyzická osoba, ktorá nebola právoplatne odsúdená za trestný čin. Bezúhonnosť sa preukazuje výpisom z registra trestov. Na účel preukázania bezúhonnosti poskytne fyzická osoba údaje potrebné na vyžiadanie výpisu z registra trestov. 4b) Údaje podľa štvrtej vety ministerstvo bezodkladne zašle v elektronickej podobe prostredníctvom elektronickej komunikácie Generálnej prokuratúre Slovenskej republiky na vydanie výpisu z registra trestov.

(1) Písomnosť alebo iný hmotný nosič, ktorý obsahuje citlivú informáciu, sa označuje slovami „Kritická infraštruktúra – nezverejňovať“.

(2) Oprávnená osoba je povinná zachovávať mlčanlivosť o citlivej informácii, a to aj po zániku jej oprávnenia oboznamovať sa s citlivou informáciou.

(3) Citlivá informácia sa nesprístupňuje podľa osobitného predpisu. 5)

(1) Prvok sa vyradí zo sektora, ak nespĺňa aspoň jedno sektorové kritérium a aspoň jedno prierezové kritérium.

(2) Prvok európskej kritickej infraštruktúry sa vyradí zo sektora, ak nespĺňa aspoň jedno európske sektorové kritérium a aspoň jedno európske prierezové kritérium.

(1) Priestupku na úseku kritickej infraštruktúry sa dopustí fyzická osoba, ak poruší povinnosť podľa [§ 12 ods. 2] .

(2) Priestupku na úseku kritickej infraštruktúry sa dopustí iná fyzická osoba ako v odseku 1, ak úmyselne vyzradí citlivú informáciu.

(3) Priestupky podľa tohto zákona prejednáva ústredný orgán, v ktorého pôsobnosti došlo k porušeniu povinnosti zakladajúcej priestupok.

(4) Za priestupky podľa odsekov 1 a 2 ústredný orgán uloží pokutu od 200 eur do 3 000 eur.

(5) Na priestupky a ich prejednávanie sa vzťahuje všeobecný predpis o priestupkoch, 6) ak tento zákon neustanovuje inak.

(1) Prevádzkovateľ sa dopustí správneho deliktu na úseku kritickej infraštruktúry, ak poruší niektorú z povinností podľa [§ 9 ods. 1 a 2] .

(2) Ústredný orgán, v ktorého pôsobnosti došlo k porušeniu povinnosti zakladajúcej správny delikt, uloží prevádzkovateľovi pokutu

a) od 500 eur do 50 000 eur, ak poruší niektorú z povinností podľa [§ 9 ods. 2] ,

b) od 1 000 eur do 200 000 eur, ak poruší niektorú z povinností podľa [§ 9 ods. 1] .

(3) Ústredný orgán prihliada pri určení výšky pokuty na závažnosť, okolnosti, spôsob, čas trvania a následky porušenia povinnosti.

(4) Pokutu možno uložiť do dvoch rokov odo dňa, keď sa ústredný orgán dozvedel o porušení povinnosti, najneskôr však do troch rokov odo dňa, keď k porušeniu povinnosti došlo.

(5) Pokuta je splatná do 30 dní od nadobudnutia právoplatnosti rozhodnutia o uložení pokuty.

(6) Na ukladanie pokút sa vzťahuje všeobecný predpis o správnom konaní. 7)

(7) Výnos pokút je príjmom štátneho rozpočtu.

(1) Sektory v pôsobnosti ústredných orgánov sú uvedené v [prílohe č. 3] .

(2) Na rozhodovanie o určení prvku a jeho zaradení do sektora, ako aj na rozhodovanie o vyradení prvku zo sektora sa nevzťahuje všeobecný predpis o správnom konaní. 7)

(3) Na určenie utajovanej skutočnosti na úseku kritickej infraštruktúry sa vzťahuje osobitný predpis. 8)

(4) Na výkon kontroly plnenia povinností prevádzkovateľa sa vzťahujú základné pravidlá kontrolnej činnosti podľa osobitného predpisu. 9)

(5) Ustanovenia [§ 1 ods. 1 písm. b) a c),] [§ 2 písm. b), c)] , [i)] , [k) a l)] , [§ 4 písm. d),] [§ 5 písm. e), f)] [a j)] , [§ 6 písm. b), c)] a [i)] , [§ 9 ods. 1 úvodnej vety] , [§ 9 ods. 1 písm. a), b)] , [e)] , [g) a h)] , [§ 9 ods. 2 písm. a) a b)] , [§ 10 ods. 1 až 3] , [§ 16 ods. 2] , [§ 17 ods. 3 a 4] a [prílohy č. 2] sa vzťahujú aj na prvok európskej kritickej infraštruktúry.

(6) Ustanoveniami tohto zákona nie sú dotknuté vylúčenia podľa osobitného predpisu o kybernetickej bezpečnosti 10) z požiadaviek týkajúcich sa bezpečnosti sietí, infraštruktúr a informačných systémov a oznamovania kybernetických bezpečnostných incidentov v sektore bankovníctva, financií alebo finančného systému podľa osobitných predpisov 11) vrátane štandardov a zásad vydaných alebo prijatých Európskou centrálnou bankou, Európskym systémom centrálnych bánk, Eurosystémom alebo európskymi orgánmi dohľadu, 12) ak ich účinok je najmenej rovnocenný s účinkom povinností podľa tohto zákona, vrátane rozhodnutí, štandardov a zásad vydaných alebo prijatých Národnou bankou Slovenska, ak ich cieľom je dosiahnuť rovnocennú alebo vyššiu úroveň bezpečnosti sietí, infraštruktúr a informačných systémov, než sa dosiahne pri dodržiavaní ustanovení tohto zákona, a ani na platobné systémy a na systémy zúčtovania a vyrovnania cenných papierov a ich infraštruktúry dohliadané alebo prevádzkované Európskou centrálnou bankou alebo Eurosystémom podľa osobitných predpisov. 13)

(7) Ústredný orgán si vyžiada vyjadrenie Národnej banky Slovenska alebo Európskej centrálnej banky, ak plní úlohy podľa tohto zákona týkajúce sa dohliadaných subjektov finančného trhu podľa osobitných predpisov. 14)