Nová směrnice EU o kybernetické bezpečnosti

„NIS2“

a návrh

NOVÉHO ZÁKONA O KYBERNETICKÉ BEZPEČNOSTI

plánovaná platnost změn v kybernetické bezpečnosti od 2025

Autorem a garantem obsahu je:

Od 2. září 2024 bude tento web vypnut a veškeré informace budou nadále dostupné pouze na Portálu NÚKIB. Ten aktuálně funguje v pilotním režimu a naleznete ho na adrese https://portal.nukib.gov.cz/.

Vítejte na webových stránkách věnovaných novému zákonu o kybernetické bezpečnosti, který do českého právní řádu transponuje směrnici NIS2. Připravované změny regulace kybernetické bezpečnosti budou účinné nejdříve začátkem roku 2025.

Vybrali jsme 12 nejzajímavějších a nejdůležitějších témat spojených s budoucí úpravou kybernetické bezpečnosti České republiky, které vám chceme představit. Zveřejněné informace budeme průběžně doplňovat.

NÁVRH NOVÉHO ZÁKONA
O KYBERNETICKÉ BEZPEČNOSTI
A DALŠÍCH PŘEDPISŮ

Změny, které evropská bezpečnostní směrnice NIS2 přináší jsou natolik zásadní, že NÚKIB k tomuto úkolu přistoupil přípravou zcela nového zákona o kybernetické bezpečnosti a jeho vyhlášek.

Návrh zákona byl dne 17. července 2024 schválen vládou. Další fází legislativního procesu je projednání návrhu zákona v Poslanecké sněmovně. Aktuální znění návrhu a další informace k průběhu legislativního procesu naleznete zde:

(odkaz na vládní návrh zákona o kybernetické bezpečnosti, kde naleznete také návrhy vyhlášek)

Návrh doprovodného zákona k zákonu o kybernetické bezpečnosti naleznete zde.

Veškeré předcházející verze návrhu zákona a další podklady z legislativního procesu naleznete níže v archivu.

ORIENTAČNÍ HARMONOGRAM NOVÉ PRÁVNÍ ÚPRAVY

harmonogram příprav NIS2

Transpoziční lhůta dle směrnice NIS2 požaduje účinnost nového zákona k 18. říjnu 2024. Dle průběhu legislativního procesu předpokládáme účinnost zákona začátkem roku 2025. Termíny pro plnění dalších povinností pak budou záležet na finálním datu účinnosti zákona.

PŘEHLEDOVÉ FACTSHEETY K NOVÉMU ZÁKONU

Jakým způsobem pohlížet na zabezpečování financí na zajištění kybernetické bezpečnosti, a to včetně metodického dokumentu pro přibližný odhad nutných finančních prostředků

Otevřít okruh

ZNĚNÍ SMĚRNICE NIS2

Konečné oficiální znění směrnice NIS2 bylo zveřejněno v Úředním věstníku Evropské unie dne 27. prosince 2022 ve všech úředních jazycích Evropské unie. NÚKIB doporučuje při čtení české verze oficiálního textu využít i anglické varianty, jelikož v tomto jazyce byla směrnice vytvářena a nejvíce odpovídá záměru regulace.

Další informace o směrnici NIS2

CyberSecurity Podcast#9: Vše o nové evropské směrnici NIS2

Záznam prezentace na téma „Směrnice NIS2 a hlavní plány její transpozice v ČR“, která byla prezentována na konferenci CyberCon 2022.

Podrobný rozhovor na téma budoucí regulace směrnice NIS2

Kulatý stůl: Úvod do problematiky NIS 2 - Legislativa EU zaměřená na kybernetickou bezpečnost

ŽIVĚ: EU přitvrzuje v boji s hackery a nové podmínky není radno ignorovat. Týkají se i vás?

NIS 2 a Bankovnictví – spolupráce ČBA, ČNB a NÚKIB (Kulatý stůl CyberBlog.cz, 11.08.2022)

V případě, že najdete v obsahu chybu či budete mít dotaz, kontaktujte nás na adrese: regulace@nukib.gov.cz a do předmětu uveďte "web NIS2".

Upozornění

Prezentované informace týkající se budoucí úpravy právních předpisů České republiky v závislosti na obsahu směrnice NIS2 mohou obsahovat názory a plány NÚKIB jako gestora této problematiky. V takovém případě je potřeba mít na paměti, že se při jejich tvorbě vychází z aktuálně dostupných informací a že nezbytnou součástí přijímání právních předpisů je legislativní proces, v rámci něhož může prezentovaná problematika projít změnami.

Cílem je poskytnout základní přehled o oblasti regulace spojené se směrnicí NIS2, nikoli detailní návod na implementaci požadavků do konkrétní organizace.

Archiv doposud zveřejněných návrhů a dalších podkladů

Návrh nového zákona o kybernetické bezpečnosti a jeho prováděcích právních předpisů ve znění před zahájením veřejných konzultací (26. ledna 2023)

1a Návrh nového zákona o kybernetické bezpečnosti

1b Odůvodnění návrhu nového zákona o kybernetické bezpečnosti

2a Návrh vyhlášky o regulovaných službách

2b Odůvodnění návrhu vyhlášky o regulovaných službách

3a Návrh vyhlášky o bezpečnostních opatřeních poskytovatele regulovaných služeb v režimu vyšších povinností

3b Odůvodnění návrhu vyhlášky o bezpečnostních opatřeních poskytovatele regulovaných služeb v režimu vyšších povinností

4a Návrh vyhlášky o bezpečnostních opatřeních poskytovatele regulovaných služeb v režimu nižších povinností

4b Odůvodnění návrhu vyhlášky o bezpečnostních opatřeních poskytovatele regulovaných služeb v režimu nižších povinností

5a Návrh vyhlášky o portálu NÚKIB

5b Odůvodnění návrhu vyhlášky o portálu NÚKIB

6a Návrh vyhlášky o nepominutelných funkcích stanoveného rozsahu

6b Odůvodnění návrhu vyhlášky o nepominutelných funkcích stanoveného rozsahu

7a Návrh vyhlášky o kritériích rizikovosti dodavatele

7b Odůvodnění návrhu vyhlášky o kritériích rizikovosti dodavatele

8a Návrh vyhlášky o inspektorech

8b Odůvodnění návrhu vyhlášky o inspektorech

9a Návrh vyhlášky o bezpečnostních úrovních pro využívání cloud computingu

9b Odůvodnění návrhu vyhlášky o bezpečnostních úrovních pro využívání cloud computingu

• Shrnutí vypořádání připomínek a podnětů z veřejných konzultací
• Návrh nového zákona o kybernetické bezpečnosti ve znění do meziresortního připomínkového řízení (19. června 2023)
• Shrnutí meziresortního připomínkového řízení k návrhu nového zákona o kybernetické bezpečnosti
• Návrh nového zákona o kybernetické bezpečnosti ve znění pro Legislativní radu vlády (22. ledna 2024)
• Přehled hlavních změn znění návrhu zákona o kybernetické bezpečnosti v rámci jednání Legislativní rady vlády
• Návrh nového zákona o kybernetické bezpečnosti ve znění pro jednání vlády (29. května 2024)

Archiv výsledků a vypořádání veřejné konzultace

Veřejná konzultace odborné veřejnosti k návrhu nového zákona o kybernetické bezpečnosti a tezím navazujících vyhlášek probíhala od 26. ledna do 12. března 2023.

NÚKIB během více než 6 týdnů obdržel celkem 1144 unikátních připomínek, podnětů a komentářů k zveřejněným legislativním materiálům. Při aktualizaci návrhu zákona a vyhlášek byla zohledněna nadpoloviční většina všech obdržených podnětů.

statistika vypořádání podnětů

Souhrnné vypořádání veškerých obdržených podnětů je k dispozici zde:

Za všechny zaslané podněty tímto jejich autorům děkujeme. Vážíme si jejich iniciativy a vstřícnosti při spolupráci vedoucí k optimálnímu nastavení regulatorního rámce kybernetické bezpečnosti v České republice.

Informace o zpracování osobních údajů

Informace o zpracování osobních údajů dle čl. 13 a 14 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „GDPR“)

1. Obecné informace o správci

Správcem osobních údajů je Národní úřad pro kybernetickou a informační bezpečnost, Mučednická 1125/31, 616 00 Brno, IČO: 05800226, e-mail: posta@nukib.cz, ID datové schránky: zzfnkp3, jako ústřední orgán státní správy. Jako správce osobních údajů určuje účel, prostředky a způsob zpracování osobních údajů, provádí zpracování a odpovídá za něj.

Pověřencem pro ochranu osobních údajů správce je Mgr. Pavel Král, e-mail: DPO@nukib.cz

Zpracování osobních údajů probíhá v souladu s GDPR a dále v souladu s relevantními vnitrostátními právními předpisy v oblasti ochrany osobních údajů. Jako správce osobních údajů na základě povinnosti dané zvláštními zákony při zpracování osobních údajů správce dbá práva na ochranu soukromého a osobního života subjektu údajů.

2. Působnost správce a z něj vyplývající oblasti účelů zpracování osobních údajů.

Správce zpracovává osobní údaje za účelem vypořádání připomínek k návrhu nového zákona o kybernetické bezpečnosti a souvisejících předpisů.

Správce zpracovává osobní údaje při výkonu veřejné moci (zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen).

Vaše osobní údaje nebudou využity k automatizovanému rozhodování, tedy ani k profilování.

3. Subjekty osobních údajů

Národní úřad pro kybernetickou a informační bezpečnost zpracovává osobní údaje zasílatelů připomínek.

4. Kategorie osobních údajů

Identifikační a kontaktní údaje – jméno, příjmení, titul, organizace, e mailová adresa, telefonní číslo.

5. Způsob a doba zpracování osobních údajů

Zpracování osobních údajů provádí správce. Správce bude poskytnuté osobní údaje zpracovávat pouze po dobu nezbytně nutnou pro splnění účelu, k němuž byly shromážděny.

Veškeré osobní údaje budou vymazány nejpozději do 1 roku od vypořádání připomínek k návrhu nového zákona o kybernetické bezpečnosti a souvisejících předpisů.

Osobní údaje v elektronické formě (e-maily, dokumenty, databáze atd.) jsou uloženy na serverech Národního úřadu pro kybernetickou a informační bezpečnost.

Za účelem ochrany vašich osobních údajů zavedl správce řadu technických a organizačních opatření. Technická opatření zahrnují náležité kroky k zajištění bezpečnosti a ochrany před ztrátou údajů, jejich pozměněním nebo neoprávněným přístupem k nim, s přihlédnutím k riziku spojenému se zpracováním údajů a k povaze zpracovávaných osobních údajů. Organizační opatření zahrnují omezení přístupu k osobním údajům výlučně na oprávněné osoby, jež mají legitimní důvod se s nimi seznámit pro účely zpracování.

6. Komu jsou osobní údaje poskytovány

Přístup k vašim osobním údajům se poskytuje zaměstnancům správce, kteří odpovídají za provedení této operace zpracování.

V některých případech je Národní úřad pro kybernetickou a informační bezpečnost povinen v souladu s právními předpisy poskytovat osobní údaje jiným správcům osobních údajů.

Jde zejména o tyto případy:

a) poskytování osobních údajů orgánům činným v trestním řízení;

b) poskytování osobních údajů jiným orgánům státní správy při plnění zákonných povinností;

c) poskytování osobních údajů jiným členským státům Evropské unie nebo mezinárodním organizacím, pokud to vyplývá z přímo použitelných předpisů Evropské unie, mezinárodní smlouvy, kterou je Česká republika vázána, nebo jiných mezinárodních závazků.

7. Informace o základních právech subjektů údajů

Subjekt údajů je oprávněn uplatnit svá práva vyplývající z GDPR vůči správci osobních údajů, a to zasláním žádosti na adresu správce nebo na e-mailovou adresu pověřence.

Subjekt údajů má právo na přístup k osobním údajům, které se jej týkají, jejich opravu nebo výmaz, případně omezení zpracování, vznést námitku proti zpracování a uplatnit právo na přenositelnost údajů.

Jestliže je zpracování založeno na souhlasu, je subjekt údajů oprávněn kdykoliv souhlas odvolat, aniž je tím dotčena zákonnost zpracování založená na souhlasu uděleném před jeho odvoláním.

Subjekt údajů má právo podat stížnost na zpracování osobních údajů dozorovému úřadu, kterým je v České republice Úřad pro ochranu osobních údajů, se sídlem Pplk. Sochora 27, 170 00 Praha 7, e mail: posta@uoou.cz, ID datové schránky: qkbaa2n.

Licence, autorství, kontakt

Obsahovým garantem těchto webových stránek je Odbor regulace NÚKIB.

Obsah je publikován s licencí CC:

Nová směrnice EU o bezpečnosti sítí a informací

Osnova témat

„NIS2“

ORIENTAČNÍ HARMONOGRAM NOVÉ PRÁVNÍ ÚPRAVY

PŘEHLEDOVÉ FACTSHEETY K NOVÉMU ZÁKONU

Tématické okruhy

1. Obecné informace o směrnici NIS2

2. Koho se nové povinnosti týkají

3. Rozdělení povinných organizací

4. Povinnost zavádět bezpečnostní opatření

5. Incidenty a způsob jejich hlášení

6. Ohlášení regulované služby a komunikace s NÚKIB

7. Způsob kontroly plnění povinností

8. Sankce a donucovací prostředky

9. Národní a mezinárodní spolupráce

10. Další specifika úpravy v České republice

11. Jak se připravit na novou právní úpravu

12. Finanční aspekty

Licence, autorství, kontakt