Evropu čeká rok kybernetické bezpečnosti

Firmy a další organizace se budou muset brzy připravit na nové podmínky kybernetické bezpečnosti, které požaduje Evropská unie. Ty se projeví i v novém českém zákonu. Změny se dotknou i těch, kteří v tuto chvíli již vlastní zabezpečení mají. „Zajištění kybernetické bezpečnosti nelze brát jako strohé plnění legislativní povinnosti a už vůbec ne jako její naplnění pouze na papíře,“ říká Barbora Vlachová z advokátní kanceláře Císař, Češka, Smutný.

V poslední době je v médiích často zmiňována směrnice NIS 2. Na co se zaměřuje?
Zejména na posílení kybernetické odolnosti EU a na zvýšení schopnosti reagovat na hrozby a incidenty v kyberprostoru. Jde o směrnici o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti. Jejím cílem je zejména odstranit rozdíly mezi členskými státy v právní regulaci kyberbezpečnosti. K těm došlo na základě transpozice původní směrnice NIS z roku 2016.

Proč se musí směrnice natolik aktualizovat?
Původní směrnice NIS nebyla tak konkrétní ve vztahu k povinnostem, což způsobovalo rozdílnou úroveň zabezpečení v členských státech EU. Proto je dobré, že dochází nejen ke sjednocení, ale i k prohloubení mezinárodní spolupráce. Je nutné si uvědomit, že rozsáhlé kybernetické útoky mohou mít i dopady v několika státech, proto by „hrabání si na vlastním písečku“ v tomto případě mohlo být velmi nebezpečné.

Jaké jsou zásadní změny, které „aktualizovaná“ směrnice přináší?
Určitě přístup k určení subjektů, které se budou směrnicí muset řídit. Směrnice rozlišuje mezi takzvanými základními a důležitými subjekty, chcete-li například firmami. Rozlišení se odvíjí primárně od míry kritické důležitosti dané firmy, pokud jde o odvětví, ve kterém působí, a zároveň se rozlišuje podle velikosti subjektů, kdy rozhodující je kritérium obratu nebo počtu zaměstnanců. Zjednodušeně řečeno, směrnice určuje základní kategorie, konkrétní přehled a detaily však přinese až česká právní úprava. Současně konkretizuje, jaká bezpečnostní opatření mají tyto subjekty povinnost zavést a udržovat.

O jaká opatření jde?
Jde o technická a organizační opatření, která se týkají zejména povinného přijetí bezpečnostních politik, hlášení incidentů či zajištění bezpečnosti dodavatelského řetězce. Z bezpečnostních nástrojů je vhodné zmínit například využívání kryptografie a šifrování či vícefaktorového ověření identity. Jak přesně tyto nástroje zavést, záleží na poskytované službě a konkrétních rizicích. Jiné požadavky budou například z hlediska přístupu na pracoviště řízení letového provozu a jiné z hlediska „běžné“ kanceláře. Důraz je kladen také na pravidelné vzdělávání v kybernetické bezpečnosti, neboť investovat čas a prostředky do prevence nežádoucího chování je nezbytnost.

V médiích se také zmiňují poměrně přísné sankce…
Finanční sankce se zvyšují výrazně, a to až na 250 milionů korun nebo dvě procenta čistého celosvětového ročního obratu. Dále jsou zcela nové sankční možnosti, například pozastavení certifikace v kybernetické bezpečnosti. V nejzávažnějších případech bude dokonce možné soudně pozastavit výkon manažerských funkcí, například statutárního orgánu firmy.

Do kdy budou muset firmy splnit nové povinnosti?
Členské státy EU by měly směrnici NIS 2 promítnout do svých zákonů nejpozději do 17. října. Pro Česko to znamená přijetí nového zákona o kybernetické bezpečnosti, který upřesní i termín pro zavedení bezpečnostních opatření dle zákona.

Jeho příprava je ale opožděna…
Ano. Vypadá to, že termín pravděpodobně nestihneme. Odhady nyní hovoří o přijetí zákona do konce roku 2024. Legislativní proces vázne zejména na institutech, které úplně nevyplývají ze směrnice, konkrétně například mechanismu prověřování bezpečnosti dodavatelského řetězce.

Takže se pravidla ještě zpřísní?
Legislativní proces a jeho průběh je v tomto směru poměrně nevyzpytatelný, ale v obecné rovině skutečně může dojít ke zpřísnění i zmírnění právní úpravy.

Vraťme se k rozdělení na základní a důležité subjekty. Jak firmy zjistí, že se jich nová pravidla týkají?
V první řadě je nutné na základě směrnice a navazujících českých právních předpisů určit, zda firma či organizace spadá do některé z kategorií povinných subjektů. Prvním kritériem je odvětví, ve kterém firma působí. Návrh zákona o kybernetické bezpečnosti pracuje s pojmem poskytovatel regulované služby. Mezi ně patří například energetika, doprava, zdravotnictví, veřejná správa, poštovní a kurýrní služby či digitální infrastruktura.

Až potom přichází rozlišení dle „důležitosti“?
Ano. Zákon rozlišuje poskytovatele regulované služby v režimu nižších a vyšších povinností, kdy rozdíl mezi nimi je především v počtu a rozsahu opatření, která musí zavést. Režim se určuje na základě počtu zaměstnanců nebo obratu, přičemž zasáhne střední a velké podniky.

Kdo přesně sem spadá, se tedy neví?
Aktuálně se dá budoucí postavení odhadnout podle návrhu vyhlášky o regulovaných službách. Odhady počtu povinných subjektů hovoří až o deseti tisících. Pro srovnání, pod regulaci dle současného zákona o kybernetické bezpečnosti spadá pouze několik set subjektů. Dopady nové regulace jsou tedy poměrně zásadní.

Změní se něco pro ty, kteří pod zákon spadají už dnes?
V novém zákoně bude řada nových povinností, které bude nutné v současném přístupu reflektovat. Mnoho organizací si rovněž nese technologický dluh při zajišťování kybernetické bezpečnosti již z minulosti, je tedy vhodná doba to změnit, což je zejména u veřejných subjektů podpořeno i řadou dotačních programů.

Předpokládám, že jako právnička doporučujete nečekat na nový zákon a začít zavádět opatření již nyní.
Předpokládáte správně. Kybernetickou bezpečnost v organizaci je nezbytné řešit bez ohledu na to, zda je, či není v jednání nový zákon. Určitým pragmatickým důvodem, proč nečekat se zaváděním opatření až na nový zákon, je nákladovost, se kterou je nutné počítat v rozpočtech na budoucí roky. V neposlední řadě je motivátorem i nedostatek odborníků v této oblasti, kdy ti, kteří mohou se zaváděním opatření k zajištění kybernetické bezpečnosti pomoci, budou v následujících měsících velmi vytíženi, což vnímám z vlastní praxe při pomáhání firmám, kterých se NIS 2 týká. Pokud se po odbornících začnete shánět „za pět minut 12“, nemusíte být úspěšní.

Jak se firmy k nové legislativě stavějí?
Je znát určitý odpor k novým zákonným povinnostem. Na druhé straně zajištění kybernetické bezpečnosti nelze brát jako strohé plnění legislativní povinnosti a už vůbec ne jako její naplnění pouze „na papíře“. Každá odpovědná organizace by měla řešit kybernetickou bezpečnost již nyní bez ohledu na to, zda se na ni nový zákon bude vztahovat, či nikoliv. Nová regulace může dát určitý návod, kde začít, a zároveň určuje minimální úroveň zabezpečení. Věřím, že firmy nakonec názor změní už při procesu zavádění opatření a budou brát novou legislativu spíše jako přínos, kterým rozhodně bude.

Pokud se už teď připravit na NIS 2, s čím začít?
V první řadě si ujasnit, zda spadáte pod regulaci a v jakém režimu. Od toho se odvíjí úroveň opatření. Následovat by mělo zmapování aktuálního stavu zajištění kybernetické bezpečnosti, které je nutné srovnat s povinnostmi, jež regulace ukládá. Organizační a technická opatření se odvíjejí nejen od toho, co bude chtít zákon, ale i od konkrétních rizik, které organizaci hrozí. Ta jsou specifická pro každý subjekt. Klíčovým krokem je tedy správně provedená analýza rizik, která určí konkrétní hrozby a zranitelnosti. Následně je nutné si vyjasnit strategii pro zajištění kybernetické bezpečnosti organizace. A podle ní je pak vhodné systematicky postupovat při zavádění opatření s tím, že zajištění kybernetické bezpečnosti je kontinuální a nikdy nekončící proces. Opatření je proto třeba kontrolovat a aktualizovat.