Ak sa subjekt identifikuje ako PZS (t. j. spĺňa príslušné kritériá), vzniká mu povinnosť podať Národnému bezpečnostnému úradu (ďalej len „NBÚ“) oznámenie o vykonávaní činnosti podľa ZoKB, a to najneskôr do 60 dní. Keďže mnohé subjekty spĺňali kritériá podľa ZoKB už v deň nadobudnutia účinnosti novely ZoKB (1. 1. 2025), táto lehota im už uplynula.

Ak bol subjekt PZS alebo prevádzkovateľom digitálnej služby ku koncu roka 2024, automaticky patrí medzi PZS aj po novele ZoKB, teda oznámenie zasielať NBÚ nemusí.

Práva a povinnosti stanovené v ZoKB vznikajú prevádzkovateľovi základnej služby dňom uvedeným v oznámení o zápise do registra PZS, najskôr však tridsiaty deň nasledujúci po dni tohto zápisu.

Za nesplnenie povinnosti zaslať NBÚ predmetné oznámenie v danej lehote môže NBÚ uložiť pokutu od 300 EUR do 500 000 EUR.

PZS sú povinní do 12 mesiacov odo dňa zápisu do registra PZS prijať bezpečnostné opatrenia stanovené zákonom a vyhláškou (v nadväznosti na vykonanú analýzu rizík).

Za neprijatie bezpečnostných opatrení môže byť zo strany NBÚ uložená pokuta od 300 EUR až do 7 000 000 EUR alebo do výšky 1,4 % celkového celosvetového ročného obratu za predchádzajúce účtovné obdobie podľa toho, ktorá suma je vyššia. U prevádzkovateľov kritickej základnej služby hrozí pokuta až v rozmedzí od 500 EUR do 10 000 000 EUR alebo do výšky 2 % celkového celosvetového ročného obratu za predchádzajúce účtovné obdobie.

PZS sú povinní uzatvoriť písomnú zmluvu o zabezpečení plnenia bezpečnostných opatrení a notifikačných povinností podľa ZoKB s tretími stranami (dodávateľmi), ktoré zabezpečujú služby súvisiace so základnou službou.

V porovnaní s predchádzajúcou úpravou sa posilňuje bezpečnosť a kontrola celého dodávateľského reťazca. Počas trvania zmluvného vzťahu je tak dodávateľ povinný vykonávať a realizovať bezpečnostné opatrenia nielen v súlade s písomnou zmluvou, ale už aj v súlade so samotným ZoKB.

Zároveň bude dodávateľ povinný podrobiť sa kontrole plnenia týchto opatrení zo strany PZS. U dodávateľov, ktorí budú mať uzatvorenú zmluvu s PZS prevádzkujúcimi kritickú základnú službu, bude môcť kontrolu vykonávať aj priamo NBÚ (takýto dodávateľ sa považuje za PZS).

Povinnosť uzatvoriť predmetnú zmluvu neplatí, ak je dodávateľ sám PZS alebo ak sa riziko vo vzťahu k činnosti, ktorá priamo súvisí s dostupnosťou, dôvernosťou a integritou prevádzky sietí a informačných systémov PZS prostredníctvom tohto dodávateľa, považuje za nízke.

Do 2 rokov odo dňa zaradenia PZS do registra PZS je PZS povinný preveriť účinnosť prijatých bezpečnostných opatrení a plnenie požiadaviek ustanovených týmto zákonom vykonaním auditu kybernetickej bezpečnosti. Audit vykonáva certifikovaný audítor (interne alebo externe ako subdodávateľ), ktorý musel prejsť náročným certifikačným mechanizmom. 

Subjekty, ktoré nie sú prevádzkovateľmi kritickej základnej služby, môžu zabezpečiť plnenie povinnosti vykonať audit kybernetickej bezpečnosti (v uvedenej lehote 2 rokov) prostredníctvom samohodnotenia. Aj v tomto prípade sa však musia podrobiť auditu kybernetickej bezpečnosti do 5 rokov odo dňa zaradenia do registra PZS. Samohodnotenie vykonáva manažér kybernetickej bezpečnosti (určený interne alebo ako subdodávateľ).Za nesplnenie predmetných povinností môže NBÚ uložiť pokutu od 300 EUR do 500 000 EUR.

V príslušných lehotách je PZS povinný hlásiť každý závažný kybernetický bezpečnostný incident. Hlásenie sa vykonáva prostredníctvom jednotného informačného systému kybernetickej bezpečnosti, t. j. najmä prostredníctvom príslušného webového formulára.

Za neohlásenie závažného kybernetického bezpečnostného incidentu hrozia rovnaké pokuty ako za nedodržanie bezpečnostných opatrení (pozri vyššie).

Okrem závažných kybernetických bezpečnostných incidentov PZS prostredníctvom jednotného informačného systému kybernetickej bezpečnosti hlási aj významnú kybernetickú hrozbu, o ktorej sa dozvie, udalosť odvrátenú v poslednej chvíli, ktorá mohla spôsobiť závažný kybernetický bezpečnostný incident, alebo zraniteľnosť ním prevádzkovaných verejne dostupných sietí a informačných systémov, ktorá podľa dostupných informácií a technických znalostí môže byť zneužitá na spôsobenie závažného kybernetického bezpečnostného incidentu a vo vzťahu ku ktorej PZS nemohol v primeranom čase prijať opatrenia na jej odstránenie alebo zníženie rizika.

Za nesplnenie niektorých povinností môžu byť zo strany NBÚ sankcionovaní aj priamo jednotlivci, napr. štatutári, zamestnanci alebo manažéri kybernetickej bezpečnosti, a to do výšky 5 000 EUR.