Nový zákon o kritickej infraštruktúre - limitované informácie?

MPK do 19.6. je práve nový Zákon o kritickej infraštruktúre: https://www.slov-lex.sk/legislativne-procesy/SK/LP/2024/275

Toto v ňom vzbudilo moju pozornosť: zavádza sa nový pojem “limitovaná informácia”, a do zákona 211/2000 sa dáva nová výnimka, že “limitovaná informácia” sa neposkytuje.

Limitovaná informácia a súvisiaci režim sa vkladajú do zákona o utajovaných skutočnostiach.

Pritom každý poskytovateľ základnej služby si bude môcť určiť čo sú limitované informácie, v rámci “rozsahu” ktorý určí každý ÚOŠS vo svojej pôsobnosti.

Mne sa to zdá ako zásadný zásah do rozsahu sprístupňovaných informácií.

Detaily z návrhu:

  • §2.h - definícia limitovanej informácie = “informácia … ktorej zverejnenie by mohlo ohroziť poskytovanie základnej služby” - čo znamená “by mohlo” je v zásade ponechané na voľnú úvahu poskytovateľa základnej služby, máme s týmto dosť zlú skúsenosť pri IT, napr. MVSR častokrát úplne všetky dokumenty týkajúce sa IS kritickej infraštruktúry a celý ich obsah klasifikuje bežne považuje za spadajúce do tejto kategórie

  • §5.c + §6.k - každý ÚOŠS určí “rozsah limitovaných informácií” v rámci svojej pôsobnosti pre sektory kritickej infraštruktúry - tento “rozsah” očakávam, že bude stanovený veľmi všeobecne, kvôli potrebe pokryť všetky možné prípady

  • §13.3 - zákaz sprístupňovať limitované informácie

  • II.3 - vloženie limitovanej informácie do vylúčenia sprístupňovania v §8.1 zákona č.211/2000

  • IV.2 - nový §3a o limitovaných informáciách do zákona č.215/2004 o utajovaných skutočnostiach

  • IV.2 / §3a.1.c - tu je prakticky umožnené, aby si každý “pôvodca ut.skut.” určil za limitovanú informáciu čo sám chce v rámci rozsahu definovaného jeho ÚOŠS a “vzhľadom na záujem SR alebo iný dôležitý záujem”, čo umožňuje super široký výklad

  • IV.2 / §3a.13 - zoznam čo všetko sú limitované informácie môže byť dokonca utajovaná skutočnosť

Zverejňovanie niektorých informácií (ktoré nie sú utajované skutocnosti) predstavuje bezpečnostné riziko.Heslo nie je utajované skutočnosť ale aj tak sa nehodí zverejniť. Co ti na tom nesedí?

Nie je to opačne ?Security through obscurity - Wikipedia

Paušálne nie. Secrets sú secrets.

Heslo teda je alebo nie je “secret” ?

Máme 4 úrovne utajovaných skutočností: prísne tajné, tajné, dôverné a vyhradené. Prečo potrebujeme ďalšiu úroveň “limitované”, o ktorej vraj bude rozhodovať úradník ?

Ak sa úradníkovi nebude chcieť odpovedať, tak danú informáciu klasifikuje ako “limitované”. To efektívne znemožňuje verejnú kontrolu a zároveň to bude “fungovať” ako s tým trezorom v roku 1851 ( viď link vyššie )

Pretože ak je niečo US ťažko s tým mimo sveta US robí, ten režim je pre bežné procesy komplikovaný.

Úroveň “limitované” bude bez potreby spracovania na režimov pracovisku ? Úradník môže bez problémov nechať dokument na stole, povedať o tom kamošovi, a obmedzenie sa bude týkať iba ostatnej verejnosti.

Nuž nepáči sa mi to.

  1. Doteraz boli v zákone o kritickej infraštruktúre “citlivé informácie”. V čom to nestačilo? Špeciálne: heslo na infožiadosť ešte nikto nedostal.

  2. Heslá sú v každom IT systéme. Prečo sa teda limitované informácie riešia pod kritickou infraštruktúrou?

  3. Citujem z novely zákona o utajovaných skutočnostiach: " Pôvodca môže určiť … limitovanú informáciu, ak sa týka … organizácie alebo činnosti pôvodcu … a jej zverejnenie by mohlo narušiť činnosť alebo dôveryhodnosť tohto pôvodcu".

Aha, čiže kvôli “ochrane hesiel”, s ktorou doteraz neboli problémy, odteraz môže hociktorý úrad utajiť hocakú informáciu, ktorá na neho vrhá zlé svetlo, napr. informácie o podozrivých aktivitách, alebo informácie o neodborných postupoch, alebo informácie o nešetrnom hospodárení. Alebo by aspoň zlé svetlo vrhať mohla, čo posúdi ten úrad sám.

1 Like

Vnímal som to ze limitované sú len premenovane citlivé, aby sa zladila terminológia s EU. A co sa tyka dalsich otázok, predpokladám ze ide o transpoziciu CER. Možno sa v niektorých veciach ide nad rámec ?

1 Like

14k podpisov - not bad.

Za S.D som podal tieto pripomienky:

Čl.II bod 2, t.j. zmena v §11 ods.1 zákona č.211/2000
Žiadame tento bod vypustiť.
Zásadná pripomienka

Odôvodnenie:
Je známym pravidlom, že bezpečnosť nie je možné dosiahnuť utajením bezpečnostných opatrení, t.j. neplatí “security by obscurity”.

Taktiež vylúčenie celých dokumentov zo sprístupňovania je neproporcionálne voči právu na informácie. Práve pre situácie, v ktorých by sprístupnenie informácií obsiahnutých v určitom dokumente - aj bezpečnostnej dokumentácii alebo auditnej správe - predstavovalo hrozbu, ktorej závažnosť presahuje závažnosť obmedzenia práva na informácie, sú zavedené inštitúty utajovaných skutočností, alebo aj limitovaných informácií. Vylúčenie sprístupňovania celých určitých dokumentov iba na základe ich typu by preto bolo zásadným zásahom, narušujúcim rovnováhu práv.

Zároveň pojmy “bezpečnostná dokumentácia” a “auditné správy” sú vágne a je ich možné vykladať veľmi široko. Svedčí o tom aj skutočnosť, že pre tieto pojmy nie je uvedená referencia na definíciu. Za “auditnú správu” môže byť považovaný akýkoľvek dokument, v ktorom sú kriticky skúmané činnosti dotknutého subjektu, viď. definícia slova “audit” podľa Audit – Wikipédia . Napr. všetky dokumenty týkajúce sa kontrolnej činnosti je možné považovať za “auditné správy”. Preto práve naopak, možnosť prístupu k “auditným správam” je kriticky dôležitou pre možnosť výkonu verejného dohľadu nad činnosťou orgánu verejnej správy.

Príkladom, že paušálne vylúčenie “bezpečnostnej dokumentácie” z práva na informácie je neproporcionálne široké, je aj skutočnosť, že hoci ochrana atómových elektrární je zaistená na vysoko nadštandardnej úrovni (voči iným prvkom kritickej infraštruktúry), žiadna dokumentácia jadrových zariadení podľa zákona č.541/2004 nie je ako taká vylúčená zo sprístupňovania, ale podľa §3 ods.16 je sprístupňovaná po vylúčení citlivých informácií, ba čo viac, napríklad “vnútorný havarijný plán” - ktorý je súčasťou “bezpečnostnej dokumentácie” - podľa §4 ods.17 ani nie je považovaný za dokumentáciu obsahujúcu citlivé informácie.


(nasledujúce sú aj v hromadnej pripomienke)

Čl. IV bod 2 v navrhovanom § 3a ods. 1
Žiadame znenie ods.1 zmeniť na nasledovné:
„(1) Pôvodca utajovanej skutočnosti môže určiť informáciu, ktorá vznikla v jeho pôsobnosti za limitovanú informáciu, ak sa týka informácie o kritickej infraštruktúre, ktorej zverejnenie by na základe posúdenia rizík1b) ohrozilo poskytovanie základnej služby kritickým subjektom.“.
Poznámka pod čiarou k odkazu 1b znie:
„1b) § 11 zákona č. …/2024 Z. z. o kritickej infraštruktúre a o zmene a doplnení niektorých zákonov.“.
Zásadná pripomienka

Odôvodnenie:
Najlepším riešením je z návrhu zákona v časti, ktorou sa mení zákon o utajovaných skutočnostiach, úplne vypustiť celý inštitút „limitovanej informácie“ a potreby vznikajúce v súvislosti s ochranou informácií o kritickej infraštruktúre chrániť v rámci právneho režimu zákona o utajovaných skutočnostiach, ktorá je na tento účel plne využiteľná a nepredstavuje zásah do ústavného práva na informácie. Ústava SR jednoznačne hovorí, že prístup k informáciám možno obmedziť, ak je to v demokratickej spoločnosti nevyhnutné na ochranu práv a slobôd iných, bezpečnosti štátu, verejného poriadku, ochranu verejného zdravia alebo mravnosti. Navrhovaná úprava týkajúca sa „limitovanej informácie“ v návrhu zákona ide nad rámec prípustných obmedzení stanovených ústavnou úpravou práva na informácie. Ak však zákonodarca vyhodnotí ako nevyhnutné zavedenie tohto inštitútu, potom tento musí spĺňať ústavné rámce práva na informácie.

Navrhovaný zákon o kritickej infraštruktúre a o zmene a doplnení niektorých zákonov v čl. 1 § 2 písm. h) definuje, že limitovanou informáciu je neverejná informácia o kritickej infraštruktúre, ktorej zverejnenie by mohlo ohroziť poskytovanie základnej služby kritickým subjektom. Podľa § 13 ods. 3 navrhovaného zákona sa limitovaná informácia nesprístupňuje podľa zákona č. 211/2000 Z. z. o slobodnom prístupe k informáciám v znení neskorších predpisov.

Návrh zákona v čl. IV zároveň novelizuje zákon č. 215/2004 Z. z. o ochrane
utajovaných skutočnosti v znení neskorších predpisov, kde nad rámec definície limitovanej informácie, ktorá je uvedené čl. 1 § 2 písm. h) návrhu zákona, v časti kde sa novelizuje Zákon o ochrane utajovaných skutočnosti, v § 3a ods. 1 rozširuje tento pojem limitovanej informácie, a to takto:

(1) Pôvodca utajovanej skutočnosti môže určiť informáciu, ktorá vznikla v jeho
pôsobnosti za limitovanú informáciu, ak sa týka
a) utajovanej skutočnosti, najmä okolností jej vzniku, spôsobu manipulácie s ňou alebo jej technických a bezpečnostných parametrov,
b) organizácie alebo činnosti pôvodcu utajovanej skutočnosti, ktorý je orgánom verejnej moci, najmä v oblasti zabezpečenia bezpečnosti a obrany štátu a zabezpečenia verejného poriadku a jej zverejnenie by mohlo narušiť činnosť alebo dôveryhodnosť tohto pôvodcu alebo
c) skutočnosti, ktorú vzhľadom na záujem Slovenskej republiky alebo iný dôležitý
záujem treba chrániť pred neoprávnenou manipuláciou, a ktorú určil podľa osobitného predpisu.

Pôvodcom utajovanej skutočnosti sa v zmysle zákona o ochrane utajovaných
skutočnosti rozumie právnická osoba alebo fyzická osoba, ktorá je oprávnená rozhodnúť, že informácia je utajovanou skutočnosťou. To znamená, že ide o každý orgán verejnej moci, ktorý môže vytvárať utajované skutočnosti.

V praxi to bude znamenať, že pôvodca utajovanej skutočnosti, čím sa rozumenie každý štátny orgán, bude môcť prakticky každú informáciu označiť za „limitovanú informáciu“, a teda takúto informáciu nesprístupniť v zmysle zákona o slobode informácií. Dôvodom je výklad navrhovaného ustanovenia § 3a ods. 1 písm. b), kde sa za limitovanú považuje informácia „najmä“ v oblasti zabezpečenia bezpečnosti a obrany štátu a zabezpečenie verejného poriadku. Takto formulované sa to dá vykladať ako príkladný výpočet dôvodov toho, čoho sa má limitovaná informácia týkať. Zároveň však ďalšou podmienkou je, zverejnenie takejto informácie by mohlo narušiť činnosť alebo dôveryhodnosť štátnych orgánov. Dôveryhodnosť orgánov štátnej správy nie je legálne definovaná a teda to prakticky môže byť akákoľvek informácia, záleží od toho, ako sa interpretuje v konkrétnom prípade to, či daná informácia „môže ohroziť dôveryhodnosť štátneho orgánu“. Zároveň je potrebné upozorniť na to, že prezradenie informácie ako limitovanej podľa navrhovaných zmien stačí, ak existuje možnosť ohrozenia.

V podstate to bude mať za následok, že si štátne organy budú môcť svojvoľne rozhodovať, ktoré informácie zaradia medzi tzv. limitované informácie a teda ich verejnosti v zmysle zákona o slobode informácií neposkytnú. Takýto návrh zákona je v rozpore s ústavným právom na informácie, ktoré sa v zmysle ústavy zaručujú a štátne organy sú povinné tieto informácie poskytovať.

Inými slovami povedané, ak sa občania budú dožadovať informácií, ktoré sú
nepríjemne (napríklad tykajúce sa nehospodárneho nakladania, vyplatených vysokých odmien funkcionárom a podobne.), tak sa štátny organ zo zákona môže vyhovoriť, že takéto informácie nesprístupni, keďže je logické, že nepríjemné informácie z podstaty veci automatický znižujú dôveryhodnosť štátnej inštitúcie. To iste sa týka napríklad pojmu „narušiť jej činnosť“. Ide o tak vágny pojem, kde je možné zahnúť hoci čo. V podstate sa touto novelou zavedie to, že občania nebudú mať nárok na informácie, a to či ich dostanú bude len na svojvôli úradíkov.

Podľa § 3a ods. 1. písm. c) ministerstvo vnútra navrhuje, že limitovanú informáciu je aj informácia, ktorá sa týka skutočnosti, ktorú vzhľadom na záujem Slovenskej republiky alebo iný dôležitý záujem treba chrániť pred neoprávnenou manipuláciou. Rovnako ide o tak vágne ustanovenie, že pod je možné si pod tým predstaviť v podstate akúkoľvek informáciu.

Zároveň štátne orgány môžu utajiť zoznamy stanovujúce to, čo sa považuje za
limitované informácie. Teda verejnosť sa ani nikdy nebude môcť dozvedieť, aké typy informácií si štátny orgán stanovil, že sú limitovanými informáciami.

Z uvedeného dôvodu navrhujeme, aby sa za limitovanú informáciu považovala len taká informácie, ktorá sa týka kritickej infraštruktúry, tak ako ju definované sama predkladateľom zákona v zmysle čl. 1 § 2 písm. h).


Čl. IV v bode 2 §3a ods. 10 písm. d)
Žiadame zmeniť písm. d) nasledovne:
“d) zverejňuje na svojom webovom sídle zoznam limitovaných informácií spolu s odôvodnením potreby ich určenia za limitovanú informáciu podľa písmena a), zásady manipulácie s limitovanými informáciami a oblasti ich vzniku.”.
Zásadná pripomienka

Odôvodnenie:
Informácie, pre ktoré samotnú vedomosť o ich existencii je potrebné chrániť, spĺňajú charakteristiky utajovaných skutočností, a teda nebudú limitovanými informáciami. Nie je preto potreba zoznam limitovaných informácií chrániť. Naopak, za účelom zachovania záujmu transparentnosti verejnej správy je vhodné tento zoznam zverejňovať. Verejnými informovaním o tom, ktoré informácie sú považované za limitované, sa zároveň zvýši povedomie o potrebe ich ochrany.


Čl. IV bod 2 §3a ods. 13
Žiadame ods.13 vypustiť.
Zásadná pripomienka

Odôvodnenie:
Ide o úpravu v nadväznosti na zmenu § 3a ods. 10 písm. d) v predchádzajúcom novelizačnom bode.


Čl. IV bod 2 §3a
Žiadame za ods.1 vložiť nový odsek 2, ktorý znie:
“(2) Za limitovanú nemôže byť označená informácia:
a) týkajúca sa závažného vplyvu na zdravie ľudí, svetové kultúrne a prírodné dedičstvo, životné prostredie vrátane biologickej diverzity a ekologickej stability,
b) o znečisťovaní životného prostredia,
c) ktorá sa získala za verejné prostriedky, alebo sa týka používania verejných prostriedkov, nakladania s majetkom štátu, majetkom obce, majetkom vyššieho územného celku alebo majetkom právnických osôb zriadených zákonom, na základe zákona alebo nakladania s finančnými prostriedkami Európskej únie,
d) o štátnej pomoci,
e) o obsahu, plnení a činnostiach vykonávaných na základe uzatvorenej zmluvy.”.
Nasledujúce odseky a odkazy na ne sa primerane prečíslujú.
Zásadná pripomienka

Odôvodnenie:
Obmedzenie rozsahu limitovaných informácií je potrebné pre zachovanie záujmu transparentnosti verejnej správy a hospodárenia s verejnými zdrojmi.

Tu si trošku protirečís.

Čiže si proti tomu, aby bezpečnostne zneužiteľné informácie (napr. čerstvé výsledky pentestov IS, ktorý nie je KI) boli označené ako limitované ? Ako občan štátu, ktorý je na zozname nepriateľských krajín istej veľmoci, ktorá aj voči nám de facto vedie vojnu v kybernetickom priestore, toto vo mne vyvoláva značný diskomfort.

Logika je takáto: IS je dôležitý → je to prvok KI → má spravené posúdenie rizík → z neho vypadne čo je nevyhnutné mať v režime

Napr. “nečerstvé” výsledky pentestov, kde situácia je dávno iná, nie je dôvod chrániť. Veď aj pre najutajenejšie skutočnosti tu existuje mechanizmus zrušenia režimu, napr. ak už nie sú aktuálne. Tu sa ale navrhuje, že ak niečo je “bezpečnostná dokumentácia”, tak je to utajené naveky a nedá sa s tým nič spraviť.

A ešte jedna poznámka: téma “infožiadosť na heslá a čerstvé výsledky pentestu” je tu viac ako 10 rokov, veď si to aj sám pamätáš. Nezaregistroval som k tomu skutočný záujem znepokojených bezpečákov o dialóg s občianskou spoločnosťou, ktorá sa snaží strážiť prístup k informáciám a transparentnosť VS. Ale že žiadny. Bezpečnosť tu riešia 3 úrady, sú k tomu pracovné skupiny, profesné združenie. Príďte s návrhom, na druhej strane máte Min.spravodlivosti (gestor z.211/2000), Radu vlády pre mimovládne neziskové organizácie, Splnomocnenca vlády pre rozvoj občianskej spoločnosti. Takto sa naťahovať v MPK je neskoro, tu už má byť hotové znenie.

Čiže utlm prosím svoj značný diskomfort, situácia sa nezhoršuje oproti tomu čo bolo v posledných rokoch. Zľahka som pozrel do merateľných ukazovateľov štátnej stratégie pre verejnú správu - bezpečnosť máme na výbornej úrovni!

Nezhoršuje. Veď vlastne ani pandémia nebola. A snaha EU (NIS, NIS2, CSA, CER …), to je len nejake zbytočné huncútstvo …

Ja chápem tvoje obavy zo zneužívania obmedzovania. Ale cháp aj moje obavy z obnažovania zraniteľných a zneužiteľných vecí. Kým tento štát nebude mať odolnosť na úrovni kryptonitu, niektoré informácie (nie len utajované skutočnosti) sa podľa mna nebudu dat len tak zverejnit. Chapem v com je podstata pripomienky, snad sa to stretne niekde v strede.