Firmy čeká nejdražší kyberregulace v historii. Zvládnou NIS 2 bez ztráty kyberdůvěry?

Podle aktuální studie datové společnosti Datarun přesáhnou jednorázové náklady spojené s implementací 36 miliard korun. Dalších 8,9 miliardy si vyžádá každoroční provozní udržování systémů a procesů v souladu s novými požadavky. Dopady se přitom dotknou nejen velkých hráčů, ale i tisíců menších firem a institucí, které do této chvíle kybernetickou bezpečnost řešily spíše okrajově.

Podle návrhu zákona předloženého ministerstvem vnitra má začít nový režim platit od října 2025. Povinnosti z něj vzejdou pro více než 7 800 subjektů. Dotknou se všech, kdo poskytují kritické nebo důležité služby — od energetiky přes zdravotnictví po logistiku, dopravu, cloudové platformy nebo poskytovatele internetové konektivity.

„NIS 2 je bez nadsázky nejzásadnější změna v oblasti kybernetické regulace od přijetí prvního zákona o kybernetické bezpečnosti. Finančně i provozně to bude náročné i pro firmy, které si zatím myslely, že se jich to netýká,“ říká analytik a spoluautor studie Martin Šrubař ze společnosti Datarun.

Zákon vychází ze stejnojmenné evropské směrnice, nicméně některá ustanovení v české verzi jdou ještě dál. Kritici upozorňují například na požadavky ohledně lokalizace dat, detailního dohledu nad subdodavatelskými vztahy či rozsah hlášení incidentů. „V některých bodech se návrh dostává mimo rámec evropské legislativy. To může pro řadu firem znamenat nepřiměřené náklady a zároveň právní nejistotu, co přesně mají plnit,“ konstatuje Jan Los, právník specializující se na IT právo a regulaci.

Základní požadavky směrnice zahrnují nejen zavedení technických opatření a řízení rizik, ale také včasné hlášení incidentů, zabezpečení dodavatelských řetězců nebo pravidelné školení zaměstnanců. V praxi tak budou firmy muset přizpůsobit celé své fungování – od IT systémů přes smluvní dokumentaci až po reporting.

Složitou situaci umocňuje akutní nedostatek kvalifikovaných pracovníků v oblasti kyberbezpečnosti. „Trh už teď neobsahuje dostatek expertů. Hrozí, že některé firmy budou muset kvůli NIS 2 soutěžit nejen o zakázky, ale i o samotné lidské zdroje. Ceny konzultací i řešení půjdou nahoru,“ říká Michal Černý, partner poradenské společnosti Grantex Advisory Group.

Studie Datarunu odhaduje, že jednorázové náklady budou činit v průměru 4,7 milionu korun na jeden subjekt, s tím že částka se bude výrazně lišit podle velikosti a odvětví. Roční provozní výdaje pak v průměru vycházejí na více než 1,1 milionu korun. V případě větších subjektů nebo těch s komplexními systémy může být částka mnohonásobně vyšší.

Implementace bude složitá i proto, že dělení na „významné“ a „kritické“ subjekty v praxi přináší různou míru povinností. Zatímco „kritičtí“ poskytovatelé budou podléhat přímé kontrole Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB), u „významných“ subjektů se očekává spíše následná kontrola na základě incidentů nebo oznámení.