Táto stránka vysvetľuje, ako prebieha dohľad nad trhom – teda ako NBÚ overuje dodržiavanie povinností a hodnotí súlad produktu s požiadavkami na kybernetickú bezpečnosť. Dohľad nad trhom môže prebiehať na diaľku alebo na mieste.
Prečo vás môže NBÚ kontaktovať
Pri rozhodovaní o tom, aké kontroly vykonať, na akých typoch produktov a v akom rozsahu, úrad postupuje na základe rizika. Zohľadňuje možné nebezpečenstvá a nesúlad, predchádzajúce zistenia o hospodárskom subjekte, sťažnosti a ďalšie informácie, ktoré môžu naznačovať nesúlad. Pozrite si zverejnené plány, výsledky a upozornenia.
Ako môže dohľad nad trhom prebiehať
- na diaľku – získavaním, spracúvaním a vyhodnocovaním informácií a podkladov, najmä podkladov predložených hospodárskym subjektom alebo inou osobou, alebo kontrolou online rozhrania.
- na mieste – priamo u hospodárskeho subjektu alebo na inom mieste, ktoré súvisí s jeho dohliadanou činnosťou.
- kontrolným nákupom – úrad môže kontrolný nákup vykonať aj nepriamo alebo pod utajenou totožnosťou.
Čo môže NBÚ pri dohľade urobiť
Úrad môže vykonať dohľad na diaľku alebo na mieste a kontrolný nákup, a to aj nepriamo alebo pod utajenou totožnosťou.
Dokumenty a informácie
- požadovať prístup k dokumentom a informáciám potrebným na posúdenie kybernetickej bezpečnosti produktu alebo jeho komponentu;
- požadovať identifikačné údaje hospodárskeho subjektu a produktu a technickú dokumentáciu alebo jej časť vrátane prístupu k zabudovanému softvéru; poskytnutie technickej dokumentácie úradu sa nepovažuje za porušenie ani ohrozenie obchodného tajomstva;
- požadovať informácie o hospodárskom subjekte, ktorý produkt alebo jeho komponent dodal, a o hospodárskom subjekte, ktorému bol produkt dodaný, vrátane množstva dodaného produktu na trhu a iných produktov s rovnakými technickými vlastnosťami;
- požadovať písomné alebo ústne vysvetlenia a informácie súvisiace s predmetom dohľadu;
- overovať totožnosť hospodárskeho subjektu, jeho zamestnancov alebo osôb, ktoré v jeho mene konajú.
Produkt a jeho fungovanie
- odoberať vzorky produktu alebo jeho časti, ak to povaha produktu umožňuje, na posúdenie jeho kybernetickej bezpečnosti, a to aj pod utajenou totožnosťou;
- zabezpečiť alebo vykonať testovanie alebo iné overenie produktu na preverenie požiadaviek na jeho kybernetickú bezpečnosť v primeranom rozsahu;
- požadovať od výrobcu informácie o iných produktoch, ktoré boli vyrobené rovnakým postupom, obsahujú rovnaké komponenty a predstavujú rovnaké riziko ako produkt, ktorý nespĺňa požiadavky kybernetickej bezpečnosti;
- vyhotovovať obrazové, zvukové a obrazovo-zvukové záznamy na zdokumentovanie zistených nedostatkov.
Miesto a online prostredie
- pri dohľade na mieste vstupovať do priestorov hospodárskeho subjektu, stavieb a na pozemky, ktoré hospodársky subjekt využíva na výrobu, predaj alebo poskytovanie produktu alebo v súvislosti s touto činnosťou; nedotknuteľnosť obydlia tým nie je dotknutá;
- kontrolovať online rozhranie a požadovať informácie potrebné na zistenie vlastníctva webového sídla, ak súvisia s výkonom dohľadu;
- pri produkte predstavujúcom významné kybernetickobezpečnostné riziko požadovať odstránenie súvisiaceho obsahu z online rozhrania alebo zverejnenie upozornenia či varovania pre spotrebiteľov, ktorí k online rozhraniu pristupujú.
Čo ste povinní umožniť a poskytnúť
Hospodársky subjekt je pri dohľade nad trhom povinný:
- umožniť úradu výkon činnosti na čas nevyhnutný na vykonanie dohľadu;
- poskytnúť úradu súčinnosť pri výkone dohľadu;
- umožniť úradu prístup k produktu, jeho technickej dokumentácii a inej dokumentácii súvisiacej s produktom, ktoré sú potrebné na výkon dohľadu;
- poskytnúť úradu kópie dokumentov týkajúcich sa produktu v písomnej forme;
- poskytnúť úradu informácie o pôvode produktov sprístupnených na trhu;
- prijať opatrenia v lehote určenej úradom.
Hospodársky subjekt je povinný umožniť úradu vykonať dohľad nad trhom, najmä umožniť vstup do objektov, prevádzkarní, na pozemky alebo do iných priestorov, ktoré súvisia s uvádzaním a sprístupňovaním produktu na trh, v rozsahu nevyhnutnom na dosiahnutie účelu dohľadu.
Ak deklarovaná kybernetická bezpečnosť produktu nevyhovuje požiadavkám, hospodársky subjekt uhradí náklady vzoriek, skúšok a ďalšie súvisiace náklady na overenie kybernetickej bezpečnosti a súladu produktu. Úrad určí lehotu na úhradu, ktorá nesmie byť kratšia ako 15 pracovných dní odo dňa doručenia výzvy.
Vaše práva
- pri dohľade na mieste sa inšpektor preukazuje služobným preukazom alebo preukazom zamestnanca úradu.
- úrad zasahuje do práv a právom chránených záujmov hospodárskeho subjektu len v rozsahu nevyhnutnom na dosiahnutie cieľa dohľadu a volí prostriedky primerane k následkom, ktoré spôsobia.
- hospodársky subjekt má právo vyjadrovať sa k dohľadu počas celej doby jeho výkonu.
- pred uložením opatrenia má hospodársky subjekt právo vyjadriť sa k nemu, ak tomu nebráni naliehavosť prijatia opatrenia z dôvodu ohrozenia verejného záujmu, zdravia alebo bezpečnosti.
- inšpektor nemôže vykonať dohľad, ak možno mať vzhľadom na jeho vzťah k predmetu dohľadu alebo k hospodárskemu subjektu pochybnosti o jeho nezaujatosti. Zároveň je povinný zachovávať mlčanlivosť o skutočnostiach, ktoré sa dozvie pri dohľade a v súvislosti s ním.
- ak to povaha produktu umožňuje, hospodársky subjekt má právo za účasti inšpektora sám odobrať kontrolné vzorky a ponechať si časť z každej takto odobratej vzorky.
Protokol a výsledok dohľadu
O dohľade úrad vyhotoví protokol, ktorý je verejnou listinou, a doručí ho hospodárskemu subjektu, u ktorého sa dohľad vykonáva. Protokol obsahuje najmä identifikačné údaje hospodárskeho subjektu, meno a priezvisko inšpektora a predmet dohľadu. Ak úrad zistí nesúlad alebo porušenie povinnosti, uvedie aj porušené ustanovenie právneho predpisu, zoznam dôkazov a navrhované opatrenie vrátane lehoty na jeho prijatie.
Hospodársky subjekt dostane na vyjadrenie k protokolu a navrhovanému opatreniu primeranú lehotu, ktorá nesmie byť kratšia ako desať pracovných dní.
Čo nasleduje po zistení problému
- porušenie povinnosti – úrad uloží opatrenie na nápravu a pokutu za porušenie. Pri formálnom nesúlade úrad najprv vyzve hospodársky subjekt na jeho odstránenie v primeranej lehote. Ak nesúlad napriek výzve trvá, úrad obmedzí alebo zakáže sprístupňovanie produktu na trhu alebo nariadi jeho stiahnutie z trhu či spätné prevzatie;
- zákonná výnimka z pokuty – ak sa na zistené porušenie vzťahuje zákonná výnimka, úrad pokutu neuloží. Výnimky sa týkajú správcu softvéru s otvoreným zdrojovým kódom a výrobcu, ktorý je mikropodnikom alebo malým podnikom, ak nedodrží 24-hodinovú lehotu na včasné varovné oznámenie o aktívne zneužívanej zraniteľnosti alebo závažnom incidente, ktorý má vplyv na bezpečnosť produktu;
- riziko bez porušenia povinnosti – opatrenie môže byť potrebné aj vtedy, keď produkt predstavuje riziko, ale hospodársky subjekt neporušil povinnosť. Napríklad po uvedení produktu na trh sa môže objaviť nová, dovtedy neznáma zraniteľnosť. Ak výrobca plní svoje povinnosti, zraniteľnosť riadne nahlási a včas ju odstraňuje, úrad môže uložiť opatrenie na ochranu používateľov, ale pokutu neuloží.
Ak už riešite odstránenie zisteného nesúladu, pokračujte na stránku Náprava nesúladu produktu. Podrobnosti o opatreniach a pokutách sú na stránke Opatrenia, rozhodnutia a pokuty.
Námietka proti opatreniu
Hospodársky subjekt, ktorý nesúhlasí s opatrením, môže proti nemu podať odôvodnenú písomnú námietku do piatich pracovných dní odo dňa doručenia opatrenia. Námietka nemá odkladný účinok, preto je potrebné opatrenie splniť v určenej lehote a rozsahu, ak príslušný orgán nerozhodne inak. Ten, kto opatrenie uložil, ho môže po doručení námietky do desiatich pracovných dní zmeniť alebo zrušiť. Ak námietke nevyhovie, v rovnakej lehote ju odstúpi riaditeľovi úradu; riaditeľ rozhodne do desiatich pracovných dní od odstúpenia. Rozhodnutie riaditeľa je konečné.
Pri podaní námietky skontrolujte poučenie v doručenom opatrení a aktuálne znenie účinných právnych predpisov, najmä spôsob podania, lehotu a požadované náležitosti.
Ďalšie informácie nájdete na stránke Odvolania a sťažnosti.