OPATŘENÍ

Vedle bezpečnostních opatření, která mají zavádět samotné povinné osoby, obsahuje zákon o kybernetické bezpečnosti rovněž nástroje, které může NÚKIB využít jako reakci na hrozby či incidenty v kybernetickém prostoru. Ty se v současném znění zákona nazývají opatření.

Zákon obsahuje tři druhy opatření – varování, reaktivní opatření a ochranné opatření.

Varováním NÚKIB upozorňuje regulované subjekty, že existuje hrozba, kterou by měly zvážit ve svých analýzách rizik. Zjednodušeně řečeno NÚKIB sděluje subjektům, že by se měly zaměřit na konkrétní nebezpečí, které v dané chvíli hrozí více, než je obvyklé. Příkladem může být situace, kdy NÚKIB v rámci sledování vývoje zjistil, že přichází kampaň ransomwarových útoků zaměřených na nemocnice a na toto nebezpečí je tak upozornil.

Reaktivním a ochranným opatřením pak NÚKIB přímo stanovuje konkrétní kroky, které musí povinné osoby, kterých se reaktivní nebo ochranné opatření týká, podniknout pro zvýšení kybernetické bezpečnosti. Rozdílem mezi nimi pak je zejména to, že zatímco reaktivní opatření představuje snahu předejít hrozícímu incidentu (útoku), ochranné opatření je vydáváno v návaznosti na již vyřešený incident tak, aby se neopakoval u dalších povinných osob.

Nástrojem, kterým doposud zákon o kybernetické bezpečnosti nedisponuje, je pak ten, jež je obsažen v ustanovení čl. 32 odst. 4 směrnice NIS2. Zde směrnice požaduje, aby členské státy měly pravomoc upozornit na to, že některé organizace (povinné osoby, tedy základní a důležité subjekty) porušují povinnosti plynoucí ze směrnice.

STAV KYBERNETICKÉHO NEBEZPEČÍ

Zákon o kybernetické bezpečnosti obsahuje speciální druh stavu, ke kterému má NÚKIB přistoupit v případě, že by nebyl schopen hrozby v kyberprostoru zvládat prostřednictvím svých standardních postupů. Nazývá se stav kybernetického nebezpečí. Umožňuje mu to přístup k některým informacím, které běžně shromažďuje pouze národní CERT, použití celonárodních vysílání a rozšiřuje okruh subjektů, na které může působit prostřednictvím opatření.

Návrh zákona o kybernetické bezpečnosti přináší i na poli národní části úpravy některé změny či nové nástroje pro zajišťování kybernetické bezpečnosti. Následující text se tak zabývá změnami ve vztahu k opatřením (nově protiopatřením), stavu kybernetického nebezpečí a novým institutem – Mechanismem prověřování bezpečnosti dodavatelského řetězce.

PROTIOPATŘENÍ

Protiopatření jsou odrazem původní úpravy opatření v zákoně o kybernetické bezpečnosti. V principu se z hlediska praktické aplikace nebude jednat o zásadní změnu těchto institutů, změny a nové parametry jsou pak rozvedeny v tomto článku.

VÝSTRAHA

Většina obsahu ustanovení o výstraze byla původně součástí ustanovení o varování. Došlo tak k pojmenování tohoto institutu a jeho úprava je odrazem požadavku čl. 32 odst. 4 směrnice NIS2. Výstraha slouží jako nástroj primárně cílící na informování veřejnosti. Výstraha je pouze o upozornění, které by měly minimálně povinné subjekty, lépe celá odborná veřejnost vzít na vědomí a případně zohlednit v rámci svého systému řízení kybernetické bezpečnosti. Formálně však výstraha nepředpokládá konkrétní proces vymáhání a má spíše informativní charakter.

VAROVÁNÍ

Varování nadále upozorňuje na hrozbu, ale nově se jím dá upozornit i na zranitelnost a dát tak i tento vstup do analýz rizik dotčených povinných osob. Varování bylo rovněž vždy zveřejněno na úřední desce, nově se však počítá i s možností, že by v odůvodněných případech nebylo zveřejňováno a pouze rozesláno těm povinným osobám, kterých se týká. Varování zohledňují ve své analýze rizik poskytovatelé regulované služby v režimu vyšších povinností, poskytovatelé v režimu nižších povinností k obsahu vydaných varování přihlíží také a případně provádí opatření doporučená v konkrétním varování.

REAKTIVNÍ PROTIOPATŘENÍ

Návrh zákona o kybernetické bezpečnosti navrhuje sloučení reaktivního a ochranného opatření do jednoho institutu – reaktivního protiopatření, které má být nově vydáváno v obdobných případech jako je tomu u stávajícího reaktivního a ochranného opatření. Procesní náležitosti jsou pak sloučeny do jednoho postupu, a to takového, který umožňuje variabilně stanovit opatření k prevenci, odvrácení či nápravě po incidentu ve formě rozhodnutí pro jednu konkrétní povinnou osobu či ve formě opatření obecné povahy zavazujícího širší vymezený okruh povinných osob, případně všechny. Reaktivní protiopatření lze uložit poskytovateli regulované služby jak v režimu vyšších povinností, tak i v režimu nižších povinností.

STAV KYBERNETICKÉHO NEBEZPEČÍ

Stav kybernetického nebezpečí doznal v návrhu zákona některých změn, které vyplynuly zejména ze získané praxe s aplikací zákona o kybernetické bezpečnosti a navrhované změny jsou tak v zájmu jeho větší praktické využitelnosti v případě, že dojde k ohrožení České republiky. Stav kybernetického nebezpečí v rámci svých opatření kopíruje vlastnosti, které jsou obvyklé pro stavy nebezpečí v rámci krizového řízení obecně.

NÚKIB tak v době vyhlášeného stavu kybernetického nebezpečí disponuje možností uložit opatření, kterými může zvrátit situaci významně ohrožující Českou republiku. Mezi tyto nástroje patří: poskytnutí majetku NÚKIB (věcné prostředky) k užívání jinému (např. poskytnutí sondy ke sledování provozu na síti, na kterou je útočeno), požádat o poskytnutí lidských zdrojů, uložit i osobám mimo okruh povinných osob realizaci opatření k řešení incidentu, nařídit povinným osobám pohotovostní režim v rámci jejich možností, nechat zpřístupnit neveřejnou telekomunikační síť pro použití NÚKIB či zakázat používání technických aktiv ohrožených incidentem (a to opět i mimo okruh povinných osob). Konkrétněji jsou jednotlivá opatření vymezena v § 39 návrhu zákona.

MECHANISMUS PROVĚŘOVÁNÍ RIZIKOVOSTI DODAVATELŮ

Bezpečnostní rada státu svým usnesením ze dne 21. června 2022 uložila NÚKIB připravit návrh zákona k navýšení bezpečnosti dodavatelských řetězců strategické infrastruktury státu v oblasti informačních a komunikačních technologií (ICT). Vydání samotného usnesení předcházela celá řada impulsů z tuzemské i unijní úrovně, jako například proklamace Programového prohlášení vlády či úkol Akčního plánu Národní strategie kybernetické bezpečnosti, který zadává vytvořit návrh posuzování rizikového profilu dodavatelů s možností omezit vysoce rizikové dodavatele.

Důvodem vzniku mechanismu prověřování dodavatelů, který bylo NÚKIB výše uvedeným usnesením uloženo navrhnout, jsou především strategické hrozby pocházející z dodavatelského řetězce a rizika z nich plynoucí. Přestože se lze se standardními vlastnostmi ICT produktů seznámit, bezpečnost těchto produktů nelze z důvodu jejich vysoké komplexity efektivně prověřit pouze technickými prostředky. Významný faktor představuje v tomto ohledu důvěryhodnost dodavatele, který má možnost bezpečnost svých produktů a služeb narušit. Smyslem navrhované úpravy je tak mimo jiné odhalovat rizikové dodavatele za pomoci proporcionálního mechanismu prověřování.

PROCES PROVĚŘOVÁNÍ RIZIKOVOSTI DODAVATELŮ

Dle navrhované právní úpravy provádí prověřování dodavatelů NÚKIB u specifické úzké množiny tzv. poskytovatelů strategicky významných služeb, a to ve spolupráci s ministerstvy, zpravodajskými službami a dalšími orgány státu, majícími relevantní informace pro posouzení důvěryhodnosti dodavatele. Základem procesu jsou však elementární informace o dodavatelích, poskytnuté jednotlivými poskytovateli strategicky významných služeb. Tyto informace jsou, v kombinaci s informacemi NÚKIB a spolupracujících orgánů, podrobeny hodnocení potenciálního negativního dopadu na bezpečnosti České republiky a vnitřní pořádek.