E-shop dnes už zriedka funguje ako samostatný systém. V pozadí sa naň viaže správa zásob, fakturácia, online platby, prepojenia na kuriérske služby, ERP systém, externé API a rôzne používateľské oprávnenia. To, čo zákazníkovi vyzerá ako jednoduchý e-shop, je v skutočnosti súčasťou oveľa zložitejšieho IT prostredia.
Ako e-commerce podnik rastie, je čoraz ťažšie ostro oddeliť e-shop od infraštruktúry fungujúcej za ním. Preto sa bezpečnostný problém nemusí nutne prejaviť cez samotný e-shop: môže vychádzať aj z kompromitovaného používateľského účtu, chybnej správy oprávnení alebo zraniteľnej externej integrácie. Regulácia kybernetickej bezpečnosti preto skúma fungovanie podniku oveľa širšie.
Pri NIS2 preto nie je najlepšou prvou otázkou, či „môj e-shop spĺňa požiadavky NIS2“. Najprv treba vyjasniť, či podnik prevádzkujúci e-shop vôbec spadá do pôsobnosti regulácie. Ak áno, osobitne treba preskúmať aj to, aké povinnosti sa naňho vzťahujú a či je medzi nimi povinný audit kybernetickej bezpečnosti. Spadanie pod NIS2 a povinnosť auditu totiž nie je to isté.
Nie každý e-shop podlieha NIS2
NIS2 výrazne rozšírila reguláciu kybernetickej bezpečnosti Európskej únie. Regulácia určuje okruh dotknutých podľa odvetví a typov organizácií. Príloha 2 a 3 zákona menuje okrem iného energetické, dopravné, zdravotnícke podniky, firmy zaoberajúce sa digitálnou infraštruktúrou, poštové, potravinárske, chemické a niektoré výrobné podniky, a medzi digitálnymi poskytovateľmi sa objavujú aj online trhoviská. To však neznamená, že každý podnik predávajúci na internete automaticky podlieha NIS2. Obchodník, ktorý predáva vlastné produkty vo vlastnom e-shope, sa sám osebe ešte nepovažuje za online trhovisko.
Online trhovisko je plocha, ktorá umožňuje aj iným obchodníkom alebo používateľom, aby cez ňu uzatvárali zmluvy na diaľku. Typicky sa teda na tej istej platforme objavuje ponuka viacerých predajcov, čo sa zásadne líši od fungovania vlastného e-shopu jediného obchodníka. To je jeden z najdôležitejších rozdielov, ktorý musí prevádzkovateľ e-shopu jasne vidieť.
Kedy je e-shop dotknutý?
V prvom rade netreba skúmať, či je na stránke košík a online platba, ale to, akú ekonomickú činnosť vykonáva podnik stojaci za e-shopom.
Môže sa napríklad stať, že firma predáva online produkty vlastnej výroby, pričom samotná výrobná činnosť patrí do niektorého z dotknutých odvetví maďarského Zákona o kybernetickej bezpečnosti. Iný podnik prevádzkuje online trhovisko alebo poskytuje digitálnu službu, ktorú právny predpis osobitne menuje.
V prílohe 3 zákona figuruje viacero oblastí relevantných aj z pohľadu e-commerce. Patria sem niektoré potravinárske podniky, výrobcovia a distribútori chemických látok, výrobcovia zdravotníckych pomôcok, niektorí priemyselní výrobcovia, poštoví poskytovatelia a online trhoviská. Dotknutosť však treba vždy posudzovať podľa skutočnej činnosti podniku.
E-shop predávajúci elektroniku sa teda nestáva automaticky dotknutým len preto, že predáva produkty, ktorých výroba figuruje v zákone. Obchodná a výrobná činnosť nie sú z tohto hľadiska totožné.
Záleží aj na veľkosti
Odvetvové zaradenie samo osebe neurčuje povinnosť v každom prípade. Súčasná maďarská regulácia sa podľa hlavného pravidla týka tých organizácií podľa prílohy 2 a 3, ktoré dosahujú veľkosť podniku alebo iné veľkostné podmienky stanovené v zákone.
Právny predpis počíta okrem iného s počtom zamestnancov dosahujúcim 50 osôb, respektíve v niektorých prípadoch s hranicou tržieb a bilančnej sumy zodpovedajúcou 10 miliónom eur. To už môže byť relevantný rozmer aj pre mnohé e-commerce podniky s väčším obratom.
Zaradenie sa však nedá vždy vybaviť kontrolou počtu zamestnancov a ročných tržieb danej s.r.o. Pri skupinách firiem, prepojených a partnerských podnikoch si môže klasifikácia MSP vyžadovať samostatné preskúmanie. Pri e-shope fungujúcom vo viacerých krajinách, s vlastnou výrobou alebo prevádzkovanom cez viacero právnych subjektov preto nemožno vychádzať výlučne z vlastného obratu e-shopu.
Existuje aj niekoľko kategórií nezávislých od veľkosti
Pri niektorých organizáciách regulácia nevychádza z klasickej veľkosti podniku. Takým môže byť napríklad poskytovateľ elektronických komunikačných služieb, poskytovateľ dôveryhodných služieb alebo DNS služieb, register domén najvyššej úrovne, respektíve poskytovateľ registrácie doménových mien, na ktoré sa môžu vzťahovať špeciálne pravidlá.
Preto je často spomínaná „50-členná hranica NIS2“ ľahko zavádzajúca. Nie je pravdivé zjednodušenie, že pod päťdesiat zamestnancov určite nie je čo riešiť a nad päťdesiat určite áno. Odvetvie, veľkosť podniku, jeho skutočnú činnosť a prípadné špeciálne právne postavenie treba skúmať spoločne.
A pre koho je povinný samotný audit?
To je ďalšia dôležitá deliaca čiara. Podľa maďarského Zákona o kybernetickej bezpečnosti musia organizácie podliehajúce auditu pravidelne, so zapojením nezávislého audítora preukazovať, že spĺňajú predpísané požiadavky kybernetickej bezpečnosti.
Hlavné pravidlo predpisuje audit kybernetickej bezpečnosti každé dva roky. Novo registrované organizácie musia do 120 dní uzavrieť dohodu s audítorom figurujúcim v príslušnom registri a prvý audit si musia podľa hlavného pravidla nechať vykonať do dvoch rokov od registrácie.
Podľa informácie úradu SZTFH z 10. júla 2026 si z 2520 registrovaných organizácií podliehajúcich auditu túto povinnosť v termíne splnilo 2132.
Audit nie je jednoduchá bezpečnostná kontrola webu
V e-shopovom prostredí je ľahké predstaviť si audit kybernetickej bezpečnosti tak, že odborník preverí e-shop, spustí niekoľko testov zraniteľnosti a potom vystaví potvrdenie. Realita je oveľa zložitejšia.
NIS2 sa nesústreďuje na ochranu jedinej webstránky, ale skúma riziká celku sieťových a informačných systémov používaných na fungovanie organizácie. Patrí sem okrem iného analýza rizík, riešenie incidentov, kontinuita podnikania, zálohovanie a obnova, bezpečnosť dodávateľského reťazca, správa prístupov, kryptografia, školenie zamestnancov a v odôvodnených prípadoch aj viacfaktorová autentifikácia.
Pri e-shope sa preto do skúmaného okruhu môže dostať nielen samotný e-shop, ale aj ERP, skladový a administratívny systém, firemný e-mail, zariadenia zamestnancov, administrátorské prístupy, API a integrácie na externé služby. To je už oveľa viac než kontrola, či je na stránke SSL certifikát.
Ani prenajatý e-shop „nesníma“ NIS2 z pliec obchodníka
Tu je dôležité oddeliť zodpovednosť e-shopovej platformy a podniku, ktorý ju používa. Moderný SaaS systém preberá od obchodníka množstvo technických úloh: nemusí prevádzkovať vlastný webserver, inštalovať bezpečnostné aktualizácie ani dohliadať na celý aplikačný kód. To je veľká výhoda, ale neznamená to, že podnik spadajúci pod NIS2 automaticky spĺňa požiadavky len preto, že používa bezpečný prenajatý e-shopový systém. Súlad sa totiž vzťahuje na organizáciu ako celok.
NIS2 venuje osobitnú pozornosť rizikám, ktoré predstavuje dodávateľský reťazec a externí poskytovatelia. E-commerce podnik podliehajúci auditu preto musí poznať aj to, na aké externé systémy sa spolieha, k akým dátam majú prístup a nakoľko sú kritické z hľadiska chodu biznisu.
Čo to znamená pri používaní e-shopu Sellvio?
Sellvio ponúka viacero technických možností, ktoré dobre zapadajú do uvedomelého fungovania v oblasti kybernetickej bezpečnosti. Pri administračnom rozhraní sa dá napríklad zapnúť dvojfaktorová autentifikácia, takže popri hesle môže byť na prihlásenie potrebný aj jednorazový kód. To je obzvlášť dôležité tam, kde sa dá dostať k objednávkam, zákazníckym dátam, cenám a nastaveniam ovplyvňujúcim fungovanie e-shopu.
Systém zabezpečuje aj podrobnú správu oprávnení. Noví používatelia nedostávajú automaticky plný prístup a správca môže na úrovni používateľov a skupín regulovať, kto čo môže vidieť, upravovať alebo mazať. Editor obsahu tak napríklad nemusí mať prístup k administrácii používateľov ani k iným modulom, ktoré nepotrebuje.
To dobre sleduje zásadu, aby mal každý používateľ prístup len k tým systémom a dátam, ktoré na svoju prácu skutočne potrebuje.
Pri API sú oprávnenia obzvlášť dôležité
Väčší e-shop zriedka funguje izolovane. Dáta sa neustále pohybujú medzi e-shopom, ERP, správou skladu, fakturačným a logistickým systémom a ďalšími externými aplikáciami. Čím viac takýchto prepojení sa vybuduje, tým dôležitejšie je presne regulovať, k akým dátam môže mať jednotlivá integrácia prístup.
REST API Sellvio používa autentifikáciu založenú na OAuth 2.0 a prístupy sa dajú regulovať samostatnými okruhmi oprávnení, takzvanými scope-mi. Integrácia tak nemusí automaticky dostať prístup k celému dátovému fondu e-shopu, ale len k tým dátam, ktoré skutočne potrebuje. Z hľadiska kybernetickej bezpečnosti je to podstatný rozdiel. Čím užší a presnejšie určený je prístup externého systému, tým menšie je riziko v prípade chybnej konfigurácie alebo kompromitovanej integrácie.
Štyri otázky, ktoré sa oplatí položiť každému väčšiemu e-shopu
Figuruje skutočná činnosť podniku medzi dotknutými odvetviami Zákona o kybernetickej bezpečnosti? Nezáleží na samotnej existencii e-shopu, ale na činnosti organizácie, ktorá za ním stojí.
Dosahuje podnik príslušný veľkostný prah, alebo patrí do špeciálnej kategórie, pre ktorú platia odlišné pravidlá?
Od akých elektronických informačných systémov závisí fungovanie biznisu? Popri e-shope sem môže patriť ERP, CRM, správa skladu, fakturácia, e-mail aj API integrácie.
Dá sa preukázať, že bezpečnostné opatrenia neexistujú len na papieri, ale skutočne aj fungujú? Počas auditu je to základná otázka.
Ak sa už na prvé dva body nedá dať jednoznačná odpoveď, oplatí sa so zapojením odborníka vyjasniť zaradenie podniku podľa NIS2.
Právna poznámka: článok je všeobecnou odbornou informáciou, nepovažuje sa za právne ani úradné stanovisko. Pôsobnosť NIS2 a Zákona o kybernetickej bezpečnosti treba v každom prípade posudzovať na základe činnosti, veľkosti, postavenia v rámci skupiny firiem a ďalších právnych okolností daného podniku.