Příliš drahá kyberbezpečnost

NIS 2 je zkratka, která je zatím spíše známá v odborných kruzích. Jde ale o evropskou legislativu s dalekosáhlými důsledky pro tisíce českých firem, kterým nový zákon o kybernetické bezpečnosti přikáže vynaložit miliony korun na zabezpečení jejich IT.

Největší dopad bude mít na sektor telekomunikací. „Na malé a střední firmy a na regiony zjevně nemyslel při psaní zákona vůbec nikdo,“ upozorňuje v rozhovoru pro týdeník Euro Jakub Rejzek, prezident Výboru nezávislého ICT průmyslu, který sdružuje hlavně menší a střední telekomunikační operátory. Právě sektor telekomunikací patří mezi největší kritiky přípravy zákona.

► Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) uvádí, že proběhly desítky konzultací s odbornou veřejností, formální připomínkové řízení a řada individuálních konzultací. Skoro by se chtělo říct – proč si vlastně stěžujete?

Ona je konzultace a konzultace. Ty ze strany NÚKIB byly spíše sdělením toho, co chtějí udělat a na co se budeme muset připravit. Pocit, že by stáli o nějakou zpětnou vazbu od odvětví, na něž regulace prakticky a reálně dopadne, jsme opravdu neměli.

► Jak se to projevovalo?

Od začátku nám bylo přesně nalajnované, jak úředníci chtějí regulovat především „bezpečnost dodavatelského řetězce“, tedy rozhodovat z moci úřední o tom, kdo bude nebo nebude naším dodavatelem, jestli je „důvěryhodný“ nebo „bezpečný“. Tak jsme říkali, že by bylo minimálně dobré si říct, na jakou část infrastruktury bude taková regulace dopadat, protože jsou části sítě, které jsou opravdu kritické, a části sítě, jež jsou okrajové a kde je riziko kyberútoků minimální. Odpovědí bylo, že důležité je všechno a že kdyby nám to nepřikázali, budeme se starat jen o zisk a ne o bezpečnost. Pak jsme namítali, že rozhodování o tom, zda je nějaký dodavatel rizikový, by mělo být na základě nějakých objektivních kritérií, jak to ostatně předpokládá i celounijní doporučení 5G Security Toolbox, když mluví o vytvoření „rámce s jasnými kritérii“. Na něm se mimochodem NÚKIB podle svých slov významně podílel. Tak z tohohle rámce zbylo jedno kritérium, a to hrozba pro bezpečnost České republiky, kterou bude vyhodnocovat úřad podle své vlastní vnitřní metodiky.

► Jak to dopadne na vaše členy – hlavně malé a střední české firmy?

Úřad neustále tvrdí, že onen mechanismus zakazování dodavatelů dopadne na strategicky významné firmy – tedy na velké operátory a na kritické části jejich infrastruktury. To není pravda. Dopadne to prakticky na celou infrastrukturu do posledního šroubku, a tím i na subdodavatele oněch velkých operátorů. A to jsme často v regionech my, respektive naši členové, protože jim dodáváme infrastrukturu, záložní spoje, celou řadu služeb. Asi polovina optické infrastruktury v Česku je vlastněná a provozovaná menšími operátory či páteřními operátory mimo zorné pole NÚKIB. Naši členové, pokud budou mít v síti dodavatele, kterého úředník označí za závadného, ho budou muset buď vyměnit, nebo ztratit velkého zákazníka, a tím i příjmy. Velký operátor bude muset svého menšího partnera požádat o výměnu dodavatele, nebo si sehnat jiného partnera, nebo postavit síť paralelně vedle té od nějakého menšího hráče.

► Když jsem četl vyjádření úřadu, říkal, že nechce, abychom v ICT byli závislí na dodavateli tak jako na Rusku v případě plynu. To se mi nezdá jako chybná myšlenka.

Na první pohled ne. Ale ve skutečnosti nám taková argumentace nedává smysl. Závislost na ruském plynu bylo rozhodnutí státu. Žádný podnikatel by nic takového nikdy nedopustil. Přehnaná regulace naopak závislost vytváří, menší podniky dostane do nevýhodného vyjednávacího postavení. Nám jde ale hlavně o to, aby regulace byla nastavená proporcionálně problému, který chce úřad postihnout, a mířila skutečně jenom na ty části sítě, jejichž nedostupnost nebo výpadek by postihl velkou část obyvatelstva.

► Jaké odhadujete náklady na tato nová opatření?

Pokud úřad bude posuzovat opravdu extrémně všechny části sítě, půjde to do miliard. Pro naše členy jsme to odhadli na přibližně čtyři miliardy. V podstatě by nás to stálo asi dva roky investic, které bychom jinak vložili do pokrývání venkova a zlepšování kvality naší sítě.

► Na všechny telekomunikační firmy se bez rozdílu vztáhnou i povinnosti, jež vyplývají z evropské části nového zákona, ze směrnice NIS 2. To vás vyjde na kolik? A co to bude znamenat pro menší hráče?

Další regulační zátěž. Přijde mi, že na malé a střední firmy nemyslel při psaní směrnice ani zákona vůbec nikdo. Je to dobře vidět i z důvodové zprávy a z hodnocení dopadů regulace, kde se sousloví „malé a střední podniky“ neobjevuje vůbec, ačkoli podle legislativních pravidel vlády by dopad na ně měl předkladatel vyhodnotit. Řada našich členů jsou významní regionální hráči, i ti budou mít problém se s vzrůstající administrativou vypořádat. Je dobré si uvědomit, že zákon není ani tak o reálném zabezpečení kybernetické bezpečnosti jako spíše o zavedení administrativních a firemních procesů a postupů, jak operátor bezpečnost zajišťuje, a souvisejícím papírování. A to stojí miliony na konzultantech a právnících, pochopitelně. Jak to zvládnou ti opravdu malí o třech až pěti zaměstnancích, to je fakt ve hvězdách, může to pro ně být likvidační. Chtě- li bychom zavádět jen to nejnutnější, co NIS2 požaduje.

► Není ale lepší mít to ošetřené?

Je. Ale je skutečně nutné, aby úřad předepisoval na desítkách stran malým firmám, jak to mají dělat? Takhle to bude naše menší členy stát statisíce korun, které nepůjdou do rozvoje sítě, naše větší členy miliony, které nepůjdou do rozvoje sítě. Když se podívám na státy, které už směrnici NIS 2 převedly do národního práva, jako jsou Maďarsko, Chorvatsko nebo Belgie, ty ji v podstatě jenom přeložily a zjevně nechávají na povinných subjektech, jak těch asi deset hlavních opatření ve směrnici splní. U nás na to musí být sto stránek vyhlášek s „checklistem“, kde stát předepisuje i to, kolik znaků má mít heslo a co má být ve smlouvě s dodavateli.

► Jak si představujete, že by měla zákon vláda nebo případně sněmovna „opravit“?

Především by si měli ministři a poslanci vyžádat od úřadu jasné vyčíslení nákladů, tedy kolik miliard, možná desítek miliard to bude českou ekonomiku stát, a pak případně rozhodnout, jestli chce opravdu jít cestou takto extrémní regulace. NÚKIB předložil zákon a do důvodové zprávy napsal, že, a teď cituji, „výši finančních dopadů není možné předem stanovit a veškeré předchozí požadavky na jejich vyčíslení vedly k vytvoření odhadů s nízkou vypovídající hodnotou“. To je přece úplně neuvěřitelné, chtít po poslancích a senátorech schválit zákon a nebýt schopen jim říct, kolik to bude byznys a veřejnou správu stát? A za druhé, úřad chce úplně obludné navýšení počtu úředníků. Jsem zároveň krajský zastupitel za ODS ve Středočeském kraji a neměl jsem nikdy pocit, že naše strana by ráda schvalovala zákony, které generují nové úřady a úředníky. A za třetí, návrh regulace předpokládá další stovky, možná tisíce lidí ve funkcích manažerů kybernetické bezpečnosti, auditorů kybernetické bezpečnosti, architektů kybernetické bezpečnosti a dalších. Tito lidé fyzicky neexistují, rozhodně ne v rozsahu a kvalitě, ve které zákon předpokládá jejich existenci. Opravdu chceme zákon, který bude vyžadovat po regulovaných subjektech najmout si lidi, kteří nejsou?