69/2018 Z. z. Zbierka zákonov Slovenskej republiky Strana 15 systémov a v súlade s bezpečnostnými štandardami v oblasti kybernetickej bezpečnosti pre všetky siete a informačné systémy a sektorové, ktoré sa realizujú na základe špecifík kategorizácie sietí a informačných systémov ústredného orgánu v rozsahu svojej pôsobnosti podľa prílohy č. 1 a v súlade s bezpečnostnými štandardami v oblasti kybernetickej bezpečnosti. (2) Klasifikácia informácií a kategorizácia sietí a informačných systémov podľa odseku 1 sa vykonáva na základe významnosti, funkcie a účelu informácií a informačných systémov s ohľadom na dôvernosť, integritu, dostupnosť, kvalitu služby a kontrolnú činnosť. (3) Bezpečnostné opatrenia sa prijímajú a realizujú najmä pre oblasť a) organizácie kybernetickej bezpečnosti a informačnej bezpečnosti, b) riadenia rizík kybernetickej bezpečnosti a informačnej bezpečnosti, c) personálnej bezpečnosti, d) riadenia prístupov, e) riadenia kybernetickej bezpečnosti a informačnej bezpečnosti vo vzťahoch s tretími stranami, f) bezpečnosti pri prevádzke informačných systémov a sietí, g) hodnotenia zraniteľností a bezpečnostných aktualizácií, h) ochrany proti škodlivému kódu, i) sieťovej a komunikačnej bezpečnosti, j) akvizície, vývoja a údržby informačných sietí a informačných systémov, k) zaznamenávania udalostí a monitorovania, l) fyzickej bezpečnosti a bezpečnosti prostredia, m) riešenia kybernetických bezpečnostných incidentov, n) kryptografických opatrení, o) kontinuity prevádzky, p) auditu, riadenia súladu a kontrolných činností. (4) Bezpečnostné opatrenia musia zahŕňať najmenej a) určenie manažéra kybernetickej bezpečnosti, ktorý je pri návrhu, prijímaní a presadzovaní bezpečnostných opatrení nezávislý od štruktúry riadenia prevádzky a vývoja služieb informačných technológií a ktorý spĺňa znalostné štandardy pre výkon roly manažéra kybernetickej bezpečnosti, b) detekciu kybernetických bezpečnostných incidentov, c) evidenciu kybernetických bezpečnostných incidentov, d) postupy riešenia a riešenie kybernetických bezpečnostných incidentov, e) určenie kontaktnej osoby pre prijímanie a evidenciu hlásení, f) pripojenie do komunikačného systému pre hlásenie a riešenie kybernetických bezpečnostných incidentov a centrálneho systému včasného varovania. (5) Bezpečnostné opatrenia sa prijímajú a realizujú na základe analýzy rizík kybernetickej bezpečnosti, ktorá určuje pravdepodobnosť vzniku škodlivej udalosti. Súčasťou analýzy rizík je aj analýza politického rizika tretej strany, pričom politické riziko sa posudzuje najmä vzhľadom na a) plnenie záväzkov z medzinárodných zmlúv, ktorými je Slovenská republika viazaná, a na jej členstvo v medzinárodných organizáciách, b) možnosť ovplyvňovania a zasahovania do činnosti tretej strany štátom, ktorý nie je členským