NIS2 a nový Zákon o kybernetické bezpečnosti

NIS2 je směrnice Evropského parlamentu a Rady Evropské unie, která by měla přispět ke zvýšení kybernetické bezpečnosti napříč EU. Každá členská země je povinna přenést povinnosti vyplývající z této směrnice do lokální legislativy. Česká republika respektive NÚKIB bude tyto povinnosti upravovat v novém Zákonu o kybernetické bezpečnosti a navazujících vyhláškách.

Směrnice NIS2 byla na úrovni EU přijata v prosinci 2022. Členské státy musí přenést povinnosti směrnice do lokální legislativy do 18. října 2024. Aktuálně je nový Zákon o kybernetické bezpečnosti a navázané vyhlášky v připomínkovém řízení. Od data účinnosti ZKB začne organizacím běžet lhůta na ohlášení regulované služby u Národního úřadu pro kybernetickou a informační bezpečnost. Následně jim NÚKIB zašle vyrozumění o registraci regulované služby, a poté budou mít 1 rok na zavedení nezbytných bezpečnostních opatření.

NIS2 respektive nový Zákon o kybernetické bezpečnosti dopadne v Česku na minimálně 6 000 organizací oproti stávajícím 300. Zákon bude regulovat přes 105 služeb v 18 odvětvích. Hlavními kritérii pro určení, jestli organizace spadá pod povinnosti nového Zákona, jsou její velikost (počet zaměstnanců nebo obrat) a služby, které poskytuje (poskytuje alespoň jednu tzv.regulovanou službu). Zákon rozděluje poskytovatele regulované služby, kteří naplní daná kritéria, do dvou kategorií – režimu nižších nebo vyšších povinností.

Oproti původní směrnici NIS a Zákonu o kybernetické bezpečnosti významně naroste počet regulovaných subjektů. Zvyšují se také sankce z původních 5 milionů Kč na 250 mil. Kč (nebo 2 % celosvětového ročního obratu) a přibyly také nefinanční sankce jako pozastavení certifikace nebo pozastavení výkonu řídicí funkce vrcholného managementu. Mezi nejvýznamnější změny v povinnostech patří:

• zodpovědnost vrcholného managementu za řízení kybernetické bezpečnosti,
• nutnost kontinuálního zvyšování bezpečnostního povědomí,
• potřeba identifikovat a evidovat aktiva (u vyššího režimu pak ještě povinnost identifikovat a hodnotit rizika),
• zavedení minimálních (smluvních i bezpečnostních) požadavků na dodavatele.

Organizace musí samy posoudit, jestli splňují podmínky pro registraci regulované služby a tedy vztahují se na ně povinnosti nového Zákona. Může jim k tomu pomoci Vyhláška o regulovaných službách anebo náš webový rozcestník. Pokud společnost podmínky naplňuje, musí se ohlásit u Národního úřadu pro kybernetickou a informační bezpečnost prostřednictvím jejich platformy Portál NÚKIB. Následně musí stanovit systém řízení kybernetické bezpečnosti dle rozsahu povinností, které se liší podle toho, zda regulovaná služba spadá do vyššího nebo nižšího režimu povinností (přehled povinností se dozvíte v našem rozcestníku).

Oficiální kontroly bude provádět NÚKIB, nicméně kontrolu může provést i dozorový orgán dle odvětví, například pro letectví Úřad pro civilní letectví (ÚCL) nebo Česká národní banka (ČNB) pro finanční instituce.

Záleží na tom, do jakého režimu povinností spadá vámi poskytovaná regulovaná služba.

Pro nižší režim je potřeba zajistit osobu, která bude zodpovědná za řízení kybernetické bezpečnosti.

Pro vyšší režim je třeba určit manažera kybernetické bezpečnosti, architekta kybernetické bezpečnosti a auditora kybernetické bezpečnosti.

Jedná se o dvě rozdílné regulace vydané Evropským parlamentem a Radou Evropské unie, které byly publikovány v podobném období.

NIS2 je „směrnice“, takže každá členská země musí zavést povinnosti vyplývající z této směrnice do lokální legislativy. Zatímco DORA je „nařízení“, takže je již v tomto znění platné pro všechny členské země EU.

Regulace se od sebe liší rozsahem povinností a hlavně tím, koho se týkají. DORA je určena primárně pro finanční instituce, NIS2 se týká i organizací z dalších odvětví, včetně těch finančních.

Další rozdíl je v datech platnosti a účinnosti těchto regulací – DORA vešla v platnost v lednu 2023 a organizace mají 2 roky na zavedení jejích povinností, tj. do ledna 2025. NIS2 vešla v platnost v prosinci 2022 a členské státy mají povinnost zavést její obsah do lokální legislativy do října 2024, v ČR formou nového Zákona o kybernetické bezpečnosti. Od data účinnosti nového Zákona začne organizacím běžet lhůta na ohlášení regulované služby u NÚKIBu, a poté lhůta 1 roku na zavedení povinností.

V České republice se také liší dozorový orgán pro jednotlivé regulace – u NIS2 to bude Národní úřad pro kybernetickou a informační bezpečnost, v případě DORA to bude Česká národní banka.