Centrálny systém proaktívnej kybernetickej ochrany (CSPKO)

I. Prípravná fáza

Reforma VS

Projekt nie je klasickou reformou verejnej správy, ale infraštruktúrnym projektom, pri ktorom metodika primerane zohľadňujeme jeho povahu. Centralizuje a štandardizuje dnes fragmentované preventívne a reaktívne činnosti kybernetickej ochrany, rozširuje existujúce služby VJ CSIRT a zavádza spoločné procesy pre prevenciu, reakciu a obnovu. Projekt je ukotvený v strategickom cieli 2 NKIVS 2025 – Bezpečné informačné systémy verejnej správy – a v priorite SP5 Akčného plánu NKIVS. Optimalizácia je zmysluplná, jej výsledok však veľmi závisí od reálneho využívania služieb organizáciami verejnej správy.

Merateľné ciele (KPI)

Projekt definuje východiskové a cieľové hodnoty aj spôsob merania ukazovateľov, napríklad 500 používateľov nových služieb, zvýšenie počtu služieb z troch na osem, zapojenie ďalších subjektov do MISP a používanie incidentového úložiska pri závažných incidentoch. Po zapracovaní pripomienok majú byť doplnené aj výsledkové ukazovatele reálneho používania, času detekcie, odstránených zraniteľností, obnovy a finančných prínosov. KPI sú použiteľné, ale ich kvalita bude závisieť od dôsledného merania prínosov počas prevádzky.

Postup dosiahnutia cieľov

Projekt má popísaných šesť vecných aktivít, cieľovú architektúru, technologické väzby, prevádzkový model a harmonogram na 36 mesiacov. Jednotlivé služby sa majú realizovať paralelne a integrovať do existujúcich pilierov Achilles, Afrodita a IH/IR. Postup je zrozumiteľný, rizikom však zostáva realizácia všetkých služieb v jednom inkremente, náročnosť verejného obstarávania a predpoklad prevádzky nových služieb bez posilnenia personálnych kapacít.

Súlad s KRIT (nie je zatiaľ vyhodnotený)

Biznis prínos

Projekt priamo súvisí so zákonnými a strategickými úlohami MIRRI a VJ CSIRT. Centralizované služby môžu znížiť rozdiely medzi organizáciami verejnej správy, ktoré nemajú rovnaké odborné ani technické kapacity, a zlepšiť schopnosť štátu reagovať na pokročilé útoky. Biznis prínos je vecne presvedčivý, jeho rozsah však musí byť pre jednotlivé služby overovaný podľa skutočného dopytu, využívania a prevádzkových výsledkov.

Príspevok v informatizácii

Prenositeľnosť / Modulárnosť

Riešenie je rozdelené na šesť služieb a viacero aplikačných a technologických komponentov. Architektúra oddeľuje frontendovú, integračnú a backendovú vrstvu a počíta so samostatnými rozhraniami. Pred obstarávaním treba zachovať možnosť samostatne obstarať, nahradiť a rozvíjať jednotlivé komponenty vrátane postupného rozšírenia úložiska.

Vendor Lock-in a autorské práva

Projekt požaduje technickú dokumentáciu, konfiguračné súbory, nasadzovacie postupy, testovacie scenáre a vlastníctvo prípadnej programovej implementácie zo strany MIRRI. Zároveň však prevažne obstaráva komerčné hotové produkty, preto musí verejné obstarávanie výslovne upraviť úplný export dát a konfigurácií, licenčné práva, otvorené rozhrania, odovzdanie dokumentácie a podmienky zmeny dodávateľa.

Zdrojový kód/ OpenSource

Projekt je založený prevažne na hotových produktoch a nepočíta s rozsiahlym vývojom vlastného softvéru. Rešpektujeme právo realizátora projektu definovať aj také podmienky, ktoré diskvalifikujú OpenSource softvér, ale chceli by sme dôslednejšie odôvodnenie, prečo OpenSource nie je dostatočná alternatíva.

Existujúca open-source platforma MISP sa má naďalej využívať. Ak vznikne integračný alebo iný zdrojový kód na zákazku, musí byť vo vlastníctve MIRRI a odovzdaný s dokumentáciou; podmienky jeho zverejnenia majú byť výslovne určené v obstarávaní.

Protoyp GUI a navigácie

Projekt nevyvíja jednotné nové používateľské rozhranie, ale nasadzuje prevažne hotové bezpečnostné nástroje. Ako overený technologický základ uvádza existujúce riešenia EWS, Achilles, Afrodita a Ares. Použiteľnosť rozhraní pre pracovníkov zapojených organizácií má byť overená počas akceptačného testovania.

Elektronické služby/ funkcionalita/ formuláre

Koncové bezpečnostné služby a ich hlavná funkcionalita sú v projektovej dokumentácii pomenované a previazané na konkrétne aplikačné služby. Organizácie budú žiadať o registráciu do služieb cez web VJ CSIRT a následne získajú prístup podľa charakteru služby. Nejde o klasické elektronické služby pre občanov ani o agendové formuláre.

OpenAPI

Architektúra počíta s API na integráciu bezpečnostných nástrojov a existujúcich systémov VJ CSIRT. Vzhľadom na citlivosť údajov nebudú tieto rozhrania verejne otvorené, avšak musia byť štandardizované, zdokumentované a dostupné oprávneným integráciám bez neprimeranej závislosti od dodávateľa.

Riadenie/migrácia údajov

Dátová architektúra opisuje druhy bezpečnostných, forenzných a prevádzkových údajov, ich toky, ochranu a prístupové pravidlá. Pred obstarávaním treba doplniť záväzný úplný export údajov, metadát, konfigurácií a auditných záznamov a plán prípadnej migrácie medzi komponentmi alebo dodávateľmi.

1x a dosť

Princíp „jedenkrát a dosť“ nie je pre tento projekt priamo aplikovateľný.

MyData

Funkcionalita MyData nie je vzhľadom na charakter projektu relevantná.

OpenData

Projektové dáta nie sú určené na zverejnenie ako otvorené údaje, pretože obsahujú informácie o zraniteľnostiach, infraštruktúre, incidentoch a postupoch útočníkov. Zverejňovať možno iba bezpečne agregované štatistiky a metodické informácie, ktoré neohrozia chránené subjekty, prípadne riešenie prebiehajúcich incidentov.

Dokumentácia

Projekt počíta s odovzdaním technickej dokumentácie, konfigurácií, nasadzovacích postupov, testovacích scenárov, návodov a školení. V obstarávaní má byť ako akceptačná podmienka uvedený úplný rozsah používateľskej, prevádzkovej, integračnej a bezpečnostnej dokumentácie v stave „as built“.

Testovanie

Katalóg požiadaviek obsahuje akceptačné, záťažové, penetračné a obnovovacie testovanie. Pred prevzatím musia byť určené merateľné limity výkonu, dátové objemy, RTO/RPO, nezávislosť bezpečnostného testovania, odstránenie kritických nálezov a dôkazy o úspešnej obnove.

Kalkulácia efektívnosti

Hospodárnosť bezpečnostných projektov sa preukazuje ťažko. Budúce incidenty nemožno spoľahlivo predpovedať a výšku škody, ktorej včasné odhalenie zabránilo, možno iba odhadovať pomocou scenárov a pravdepodobností. To však neznamená, že hospodárnosť netreba preukazovať. Ide o verejné peniaze a štát musí vedieť doložiť, že zvolený rozsah prináša najväčší očakávaný prínos za primeranú cenu.CBA vykazuje kladnú ekonomickú čistú súčasnú hodnotu približne 11,2 milióna eur a pomer prínosov a nákladov 1,15. Výsledok však stojí na predpokladoch, ktoré ÚHP nepovažuje za dostatočne overené, a už malá zmena predpokladov môže návratnosť zásadne zmeniť.Pri incidentovom úložisku rešpektujeme, že verejná dokumentácia nemôže pomenovať konkrétne chránené úrady, ich krízové scenáre ani presné objemy dát potrebné pri reálnom incidente. Predkladateľ však môže uviesť agregovaný kapacitný model: typové scenáre, počet súbežných incidentov, objem a dobu uchovania dát, rast, režijnú kapacitu ochrany, výkonnostné požiadavky, podiel rýchlej a kapacitnej vrstvy a spôsob postupného rozširovania. Citlivé vstupy môžu byť overené v neverejnej prílohe. Bez takéhoto modelu štát nemá dostatočnú záruku, že nekupuje drahé vysokovýkonné úložisko, ktorého významná časť zostane nevyužitá alebo mohla byť realizovaná lacnejšou technológiou.

Štúdia uskutočniteľnosti

Projektová dokumentácia je rozsiahla a konkrétne opisuje ciele, služby, architektúru, bezpečnosť, prevádzku, riziká, rozpočet a požiadavky. Súčasťou podkladov sú I-02, I-03, CBA, register rizík, architektonický model, vyhodnotenie pripomienok, stanovisko MIRRI a hodnotenie ÚHP. Dokumentácia poskytuje dobrý základ na prípravu projektu, ale významné otázky hospodárnosti, dopytu, dimenzovania a udržateľnosti ešte vyžadujú preukázateľné uzavretie.

Alternatívy

Dokumentácia porovnáva centralizovaný, decentralizovaný a hybridný model v biznisovej vrstve a viaceré aplikačné a technologické varianty vrátane open-source a cloudu. Porovnanie je prevažne kvalitatívne a preferovaný variant je v kritériách nastavený ako jednoznačný víťaz. Chýba rovnocenné porovnanie celkových nákladov, prínosov a rizík komerčného, open-source, hybridného, cloudového a postupne škálovaného riešenia.

Transparentnosť a participácia

Projektová dokumentácia bola zverejnená na verejné pripomienkovanie a predkladateľ zverejnil vyhodnotenie pripomienok. Projekt bol prezentovaný členom Komisie pri Monitorovacom výbore, následne vysvetlené ako sa projekt dopĺňa s ostatnými projektmi SKB a po pripomienkovaní prebehli ďalšie pracovné rokovania so Slovensko.Digital. Pozitívne hodnotíme aj záväzok CSIRT zapracovať všetky pripomienky a otvorenosť ďalšej kontroly projektových podkladov.

Dokumenty

Aktuálne projektové dokumenty a informácie o projekte sú zverejnené v MetaIS.

https://metais.slovensko.sk/ci/Projekt/2c55ca74-19e5-43d8-97de-66c21c55997eHodnotenie ÚHP: Centrálny systém proaktívnej kybernetickej ochrany, september 2026.

Aktivity

• 24. 06. 2026 – prvotné predstavenie ideového zámeru členom Komisie pri Monitorovacom výbore na okrúhlom stole

• 07. 07. 2026 – predstavenie zámeru v časti Rôzne na zasadnutí Komisie pri Monitorovacom výbore

• 23. 07. 2026 – stretnutie MIRRI „Diferenciácia projektov a ich služieb v oblasti kybernetickej bezpečnosti vzhľadom na projekt Centrálny systém proaktívnej kybernetickej ochrany“ zvolané na objasnenie vzťahu CSPKO k ostatným projektom kybernetickej bezpečnosti

• 28. 07. – 10. 08. 2026 – verejné pripomienkovanie projektovej dokumentácie

• 07. 09. 2026 – aktualizácia CBA, revízia 1

• 14. 09. 2026 – aktualizácia dokumentov I-02 a I-03 a vydanie stanoviska orgánu vedenia MIRRI

• · 01. 10. 2026 – stretnutie Slovensko.Digital s VJ CSIRT k pripomienkam a prísľub VJ CSIRT zapracovať všetky pripomienky

• · 08.10.2026 - Schvaľovanie financovania projektu v Komisii CP1, monitorovacieho výboru, Programu Slovensko.