Kybernetická bezpečnost za každou cenu

O tom, že kybernetická bezpečnost je v dnešní době zásadní otázkou, není pochyb. Co už ale jisté pochyby vyvolává, je přístup, jak kybernetické bezpečnosti dosáhnout.

V Česku jsme se rozhodli jít vlastní cestou – s přísnými pravidly, která po nás nikdo nepožaduje a s náklady ve vyšších desítkách miliard korun. Na stole je evropská směrnice o kybernetické bezpečnosti NIS2, kterou je potřeba přenést do českého právního řádu. Jenže dochází k tomu, že v návrhu národní legislativy se objevují mnohem přísnější pravidla, než požaduje Evropská unie. Voliči i politici si často stěžují, co si to na nás Brusel zase vymyslel. Druzí jmenovaní však taktně mlčí, že v tomto případě jsme si na sebe bič upletli sami a nejvíce kontroverzní pravidla po nás nikdo z EU nechtěl.

Současná vláda agendu NIS2 přehodila na Národní úřad pro kybernetickou bezpečnost (NÚKIB), který připravil návrh příslušného zákona a také bude pověřen jeho naplňováním. Hrozí, že pár úředníků bude rozhodovat, jaké technologie povolí, a jaké zakáže.

Navíc plánovaná úprava dává úředníkům pravomoc vyřadit dodavatele z celé infrastruktury, napříč různými odvětvími. To je skutečně evropský unikát, aniž by kdokoli z politiků uspokojivě vysvětlil, proč zrovna v Česku má mít jeden úřad tak široké pravomoci. Odhady nákladů, které by přineslo schválení navrhovaného zákona, se pohybují od 40 miliard, jak vyplývá z analýzy britské společnosti Frontier Economics, až po 65 miliard podle propočtů Hospodářské komory ČR.

V případě mobilních operátorů navíc hrozí, že se obrátí na soudy, což se ostatně stalo v Estonsku, kde v zemi působící finský operátor Elisa zažaloval vládu kvůli zákazu technologií od společnosti Huawei. Estonské soudy se pak obrátily na Soudní dvůr EU s otázkou, do jaké míry může vláda omezovat obchod na evropském vnitřním trhu s vágním poukazem na bezpečnost. Vzhledem k faktu, že většina českých operátorů je rovněž vlastněna ze zahraničí, je pravděpodobné, že zvolí stejný postup.

Vyšší desítky nových úředníků

Problematický co do nákladů není návrh zákona jen pro soukromou sféru. Aby mohl NÚKIB plnit úkoly, které si vlastním návrhem zákona přidělil, bude potřeba značně rozšířit jeho personální obsazení. Navíc nejde jen o NÚKIB, ale i o ministerstva, Bezpečnostní informační službu nebo Finanční analytický úřad. Kolik přesně nových úřednických míst by muselo vzniknout, úřad specifikuje velmi vágně jako „vyšší desítky“. Jen na kontrolu nově regulovaných firem jich má přibýt asi padesát. O tom, kde na to stát vezme peníze, mlčí všichni zúčastnění. Pro nominálně pravicovou vládu, která slibovala debyrokratizaci a úspory, to v éře brutálních rozpočtových schodků není hezkou vizitkou.

NÚKIB ani politici, kteří budou návrh zákona z dílny úřadu schvalovat, navíc nejsou schopni říci, kde odborníky vezmou. Profesionálů na kybernetickou bezpečnost je v Česku obecně nedostatek, natož aby byli k dispozici na trhu práce. Případné schválení zákona by vyvolalo tlak na zaměstnání expertů i v mnoha soukromých firmách, které téma zatím nemusely řešit. Dostupnost erudovaných lidí na trhu tedy ještě klesne. Soukromá sféra je bude schopna nalákat na atraktivní finanční ohodnocení (byť lze očekávat, že všechny náklady na podřízení se zákonu promítne do cen pro koncové zákazníky), ale stát vázaný tabulkovými platy tuto možnost nemá.

Problémem je také vyhrocenost tématu. Na tom, že Rusko a Čína představují pro západní společnost rizika, panuje shoda. Ale přijímání citlivého zákona s mnoha významnými dopady rozhodně neprospívá, když je jakákoliv kritika šmahem odmávnuta jako ohrožení demokracie. Přitom samotní operátoři nerozporují nutnost směrnici transponovat a upravit oblast kybernetické bezpečnosti. Jen si oprávněně kladou otázku, zda by to nešlo provést třeba jako v Německu, kde se vláda s operátory dohodla na vyřazení čínských technologií, ale jen z jádra sítě, tedy z její nejcitlivější součásti. To vedlo k oboustranné spokojenosti. Když je tento přístup dostatečný pro kybernetickou ochranu největší evropské ekonomiky, proč nestačí i v Česku? Zejména pokud si česká cesta vyžádá přinejmenším 50 nových úředníků, zatímco v Německu to byla nula.

Poslanci vládní koalice se mohou uklidňovat tím, že schválí důležitý zákon a vykáží úspěch v boji s kybernetickými hrozbami. Nicméně z dlouhodobého hlediska není rozumné takto silné pravomoci svěřovat úřadu, který posuzuje pouze bezpečnostní aspekty a zcela ignoruje jakékoli jiné – třeba ekonomické nebo sociální. I proto by bylo lepší, kdyby o geopoliticky motivovaných zákazech rozhodovala vláda, která má jako jeden z úkolů řešit zahraniční politiku a obchod. Nikoli úřad, který má regulovat jen kyberbezpečnost.