Stěžejní změny v regulaci

NIS2 přináší řadu podstatných změn stávajícího regulatorního rámce, které se dotýkají jak strategické úrovně (jde zejména o povinnosti dopadající na NÚKIB a Evropskou agenturu pro bezpečnost sítí a informací (ENISA)), tak regulace povinných osob (tj. práv a povinností konkrétních subjektů, společností a státních organizací v České republice).

Mezi nejvýznamnější povinnosti z hlediska fungování NÚKIB a České republiky v oblasti zajišťování kybernetické bezpečnosti v Evropské unii patří:

• Podle čl. 7 povinné přijetí národní strategie kybernetické bezpečnosti a kybernetických bezpečnostních politik pro vybrané oblasti (např. bezpečnost dodavatelského řetězce, koordinované zveřejňování informací o zranitelnostech, zvláštní potřeby malých a středních podniků);

  • každý členský stát přijme národní strategii kybernetické bezpečnosti, která stanovuje strategické cíle, zdroje potřebné k dosažení těchto cílů a příslušné politiky a regulační opatření s cílem dosáhnout vysoké úrovně kybernetické bezpečnosti a udržovat ji.

• Podle čl. 12 koordinované zveřejňování informací o zranitelnostech a zřízení Evropské databáze zranitelností;

  • každý členský stát určí jeden ze svých týmů CSIRT (CERT) jakožto koordinátora za účelem koordinovaného zveřejňování zranitelností. Tento koordinátor usnadňuje interakci mezi fyzickou nebo právnickou osobou oznamující zranitelnost a výrobcem nebo poskytovatelem případných zranitelných ICT produktů nebo služeb. Agentura ENISA po konzultaci se skupinou pro spolupráci vytvoří a spravuje Evropskou databázi zranitelností.

• Podle čl. 13 hlubší spolupráce s vnitrostátními úřady a organizacemi a koordinace dozorových činností u organizací, kterým plyne povinnost zajišťovat kybernetickou bezpečnost z více právních předpisů (např. v odvětvích energetiky, letectví nebo ochrany osobních údajů).

• Podle čl. 14, 15 a 16 hlubší spolupráce s členskými státy v oblastech kybernetického krizového řízení, řešení rozsáhlých kybernetických bezpečnostních incidentů a sdílení strategických informací a dobré praxe.

• Podle čl. 37 hlubší spolupráce s dozorovými orgány ostatních členských států na provádění kontrol a vymáhání dodržování uložených povinností;

  • cílem ustanovení nazvaného jako tzv. vzájemná pomoc je nastavit pravidla kontroly takovým způsobem, aby po obdržení odůvodněné žádosti poskytnul úřad vykonávající kontrolu kybernetické bezpečnosti v jednom členském státě pomoc druhému úřadu z jiného členského státu tak, aby bylo možné účinně, účelně a důsledně provést kontrolu, respektive opatření v oblasti dohledu nebo vymáhání.

• V souladu s čl. 21 a 23 větší zapojení Evropské komise do sjednocení regulace v členských státech (např. formou jednotných metodik pro zavádění bezpečnostních opatření nebo jednotných formulářů pro hlášení incidentů);

  • Komise může přijmout prováděcí akty, kterými stanoví technické, metodické a případně odvětvově specifické požadavky, pokud jde o opatření k řízení kybernetických bezpečnostních rizik nebo upřesňující druh informací, formát a postup oznámení v případě výskytu kybernetického bezpečnostního incidentu.

Výhodou České republiky je, že celou řadu těchto činností již NÚKIB vykonává alespoň na základní úrovni. Mezi nejvýznamnější změny přímo dopadající na regulované organizace patří:

• Podle čl. 2 rozšíření počtu povinných osob (odhady hovoří o nejméně 6 000 soukromých i státních organizacích), a to jednak rozšířením počtu regulovaných odvětví (např. odvětví odpadového hospodářství), dále rozšířením stávajících regulovaných odvětví o nové regulované služby (např. stávající odvětví digitální infrastruktury bude rozšířeno o nové regulované služby cloud computingu nebo poskytovatele služeb a sítí elektronických komunikací) a nebo změnou způsobu identifikace povinných osob (kdy primárním kritériem pro zařazení do regulace bude velikost organizace);

  • směrnice NIS2 se vztahuje na veřejné a soukromé subjekty, jejichž druhy jsou uvedeny v příloze I nebo II a které jsou považovány podle článku 2 přílohy Doporučení Komise 2003/361/ES za střední podniky, nebo které překračují stropy pro střední podniky a které poskytují služby nebo vykonávají činnosti v rámci Unie. Bez ohledu na jejich velikost se tato směrnice vztahuje také na subjekty, jejichž druh je uveden v příloze I nebo II a pro něž platí další pravidla uvedená v čl. 2.

• Podle čl. 20 povinné vzdělávání vrcholového vedení organizace a větší odpovědnost managementu za zajišťování kybernetické bezpečnosti v organizaci;

  • členové řídících orgánů povinných osob musí absolvovat školení, aby tak získali dostatečné znalosti a dovednosti, umožňující jim správně identifikovat rizika a posoudit postupy řízení kybernetických bezpečnostních rizik a jejich dopad na poskytované služby.

• Podle čl. 30 dobrovolné hlášení relevantních incidentů, událostí, hrozeb a zranitelností.

• Podle čl. 27 a 28 podrobnější požadavky na vedení registru internetových domén nejvyšší úrovně a činnost registrátorů.

• Podle čl. 29 větší důraz na sdílení informací mezi povinnými organizacemi.

• Prohloubení spolupráce mezi regulátorem a povinnými organizacemi.

• Podle čl. 34 významné zvýšení pokut za nedodržení uložených povinností:

  • v případě porušení povinností tzv. „essential entity“ (česky „základními subjekty“), pokuty, jejichž horní hranice sazby bude stanovena na nejméně 10 milionů EUR nebo na alespoň 2 % celkového celosvětového ročního obratu v předchozím rozpočtovém roce, podle toho, co je vyšší;

  • v případě porušení povinností tzv. „important entity“ (česky „důležitými subjekty“) pokuty, jejichž horní hranice sazby bude stanovena na nejméně 7 milionů EUR nebo na alespoň 1,4 % celkového celosvětového ročního obratu v předchozím rozpočtovém roce, podle toho, co je vyšší.

Novinky ve směrnici NIS2, které jsou v českém právním řádu již obsaženy (a tedy nedojde k dramatickým změnám v obsahu regulace):

• Podle čl. 32 a 33 větší pravomoci dozorových orgánů, např. k vydávání varování, reaktivních opatření, provádění auditů a kontrol, poskytování informací.

• Podle čl. 10 a 11 větší požadavky na vybavenost CERT týmů (označovaných směrnicí CSIRT) a více pravomocí těchto týmů, např. monitoring hrozeb, zranitelností a incidentů, vydávání varování a upozornění, reakce na incidenty, forenzní analýza získaných údajů, aktivní skenování sítí a systémů.

• Podle čl. 20 a 21 konkretizace bezpečnostních opatření, která jsou založena na přístupu zohledňujícím všechny druhy rizik (fyzické i kybernetické), jejichž cílem je chránit informační systémy před incidenty, která budou muset povinné osoby zavádět a která budou zahrnovat alespoň:

  • povinnost řídicích orgánů povinné osoby schválit opatření k řízení kybernetických bezpečnostních rizik,

  • analýzu rizik a politiky bezpečnosti informací,

  • zvládání incidentů,

  • kontinuitu činností (tj. business kontinuita), přičemž směrnice tento okruh ještě rozvádí o příklad zálohování, zotavení (disaster recovery) a krizové řízení,

  • bezpečnost v rámci dodavatelského řetězce,

  • bezpečnost v rámci pořízení, vývoje a údržby systémů,

  • politiky a postupy pro hodnocení účinnosti bezpečnostních opatření (tj. audit),

  • praktiky základní počítačové hygieny a vzdělávání v oblasti kybernetické bezpečnosti,

  • politiky a postupy týkající se využívání kryptografie a tam, kde je to vhodné, také šifrování,

  • bezpečnost lidských zdrojů, řízení přístupů a aktiv a

  • využívání vícefaktorového ověření identity, bezpečných komunikačních nástrojů a nástrojů pro nouzovou komunikaci.

Detailní požadavky budou stanoveny až v rámci nového českého zákona o kybernetické bezpečnosti.

• Podle čl. 23 prohloubení spolupráce při hlášení kybernetických bezpečnostních incidentů (CERT tým má poskytnout adekvátní součinnost při zvládání a řešení incidentu a se zasaženou osobou má úzce spolupracovat).